Conformité 360

Chaque cadre porte son état réel

Union européenne, Luxembourg, normes internationales, référentiels sectoriels, provenance. Trois états et pas de badge vert sans instrument. La matrice complète est remise avec chaque jeu de données jumeau synthétique.

TENU — mesuré, un instrument refuseDÉCLARÉ — écrit, motivé, datéÀ INSTRUIRE — travail ou décision en attente

Figure 12 — Les trois matrices, en un regard

Chaque barre est la somme des lignes des tableaux de cette page. Vert tenu, or déclaré, brun à instruire.

Union européenne et Luxembourg

Les cadres qui s'appliquent ici

Cadre	Ce qui nous concerne	État
RGPD cons. 26 · EDPB 02/2026 (projet, 7 juillet 2026) · CJUE SRB C-413/23 P	singling-out, linkability, inference : anonymat relatif au destinataire ; aucune personne réelle en entrée, à démontrer, pas à affirmer	TENU unicité, k, triplet mesurés · à instruire : 51 paramètres
AI Act 2024/1689 art. 10, 59(1)(b), 74.12, 50 · Omnibus 2026/1744 (annexe III : 2 déc. 2027)	provenance documentée, accès de l'autorité aux jeux de test, marquage synthétique	TENU provenance, marquage FHIR · à instruire : représentativité
CNPD : bac à sable Sandkëscht, autorité IA et DGA (loi du 19 déc. 2025)	lecture par le régulateur ; qualification de non-intermédiation de données	À INSTRUIRE dossier déposé en novembre 2026
EHDS 2025/327 · TEHDAS2 (5 juin 2026) · DigiSanté EEDS 16 (DTE 26 mars 2027)	usage secondaire, synthétique « à risques évalués », environnement de test des éditeurs	DÉCLARÉ jeu EHDS · à instruire : profils EEHRxF
Data Act · DORA · NIS2 art. 29 · CRA 2024/2847	données de test non personnelles, partage CTI, produit numérique	DÉCLARÉ
Gaia-X 25.11 · Dataspace Protocol 1.0 · DCAT-AP 3.0.1 · ODRL 2.2 · Croissant 1.1	credential participant, catalogue, offre lisible par une machine	TENU DCAT-AP, ODRL, Croissant publiés · à instruire : credential Gaia-X

International

Les normes que vos auditeurs liront

Cadre	Ce qui nous concerne	État
ISO/IEC 27559:2022 · ISO/IEC 5259-2/3/4 (2024) · ISO/IEC 27001 et 42001	dé-identification, qualité des données pour l'IA, SMSI, SMIA	DÉCLARÉ 27001 et 42001 : feuille de route, pas une revendication
NIST SP 800-188 (sept. 2023) · NIST AI RMF 1.0 · NIST IR 8509	dé-identification, gouvernance des risques IA, données synthétiques pour l'évaluation	DÉCLARÉ
ICO (UK) anonymisation (mars 2025) · PDPC Singapour guide synthétique (juillet 2024)	test d'intrus motivé ; cycle de vie d'un jeu synthétique	DÉCLARÉ test d'intrus : à instruire
HIPAA Safe Harbor et Expert Determination · 21 CFR Part 11	18 identifiants ; détermination d'expert ; enregistrements électroniques	DÉCLARÉ aucun identifiant réel en entrée ; Expert Determination hors champ, déclaré
OCDE : principes IA (2024) · G7 Hiroshima	transparence, traçabilité, documentation	TENU notice, registres, états

Sectoriel

Sept secteurs, sept référentiels épinglés

Santé

HL7 FHIR R4 · IPS 2.0.0 STU2 · OMOP CDM v5.4 · DICOM 2024e · LOINC, SNOMED CT, ATC, UCUM

TENU · structureDÉCLARÉ · validation

Banque

ISO 20022 (vocabulaire) · DORA · CSSF, autorité IA des services financiers

DÉCLARÉ

Cyber

STIX 2.1 · NIS2 · ENISA

DÉCLARÉ

Défense

double évaluation des informations, fenêtres temporelles, aucune donnée classifiée

TENU · invariantsDÉCLARÉ · référentiels

Juridique

clauses typées, obligations tracées, procédure datée ; DGA, Commissariat à la souveraineté des données

DÉCLARÉ

Fiduciaire

Loi du 10 juin 1999 (experts-comptables) · loi du 31 mai 1999 (domiciliation) · TVA : seuils de 112 000 et 620 000 €, eCDF · comptes annuels déposés au RCS sous 7 mois · LBC/FT : loi du 12 novembre 2004

DÉCLARÉ

Biologie médicale

ISO 15189:2022 (accréditation OLAS) · nomenclature des actes de laboratoire de l'assurance maladie · LOINC · UCUM

DÉCLARÉ

La donnée synthétique d'abord

Deux textes qui placent le jumeau avant la donnée réelle

DÉCLARÉ

La donnée synthétique d'abord, avant toute catégorie particulière

Le fournisseur d'un système d'IA à haut risque ne traite des catégories particulières de données (santé, origine…) pour corriger des biais que si d'autres données, « y compris des données synthétiques ou anonymisées », n'y suffisent pas. Un essai documenté sur un jeu de données jumeau synthétique, aux distributions déclarées, devient une pièce du dossier.

Limite : si le jeu synthétique ne suffit pas, le traitement des données réelles reste soumis aux conditions b) à f) du même paragraphe : registre des traitements, interdiction de transfert, effacement.

Règlement (UE) 2024/1689 (AI Act), article 10, paragraphe 5, point a) ; annexe III : crédit, recrutement, santé

DÉCLARÉ

Le code d'abord, la donnée réelle ensuite

Les équipes écrivent et testent leur analyse sur le jumeau, au schéma de la base réelle ; seul le code validé s'exécute ensuite sur les données réelles, dans l'environnement sécurisé du détenteur. C'est le modèle des environnements de traitement sécurisés de l'EHDS (règlement (UE) 2025/327).

Limite : une analyse complexe faite sur un jumeau reste approchée : aucune conclusion tirée du seul jeu synthétique ne se présente à un régulateur.

Simulacrum, registre du cancer en Angleterre : 18 projets, 14 jours en moyenne de la demande de diffusion aux résultats (PMC12446092) — étude des opérateurs eux-mêmes, non indépendante

Provenance

D'où viennent les paramètres du moteur

Figure 13 — Paramètres qualifiés par une source nommée

Figure 14 — Par type de paramètre, et part qualifiée

Qualifié : rattaché à une norme, une étude ou un référentiel nommé, sans donnée personnelle. Le reste est déclaré tel quel, avec son échéance.

paramètres recensés : poids, plages, fenêtres, vocabulaires

qualifiés par une source nommée

à qualifier, avec leur échéance

Versions épinglées

HL7 FHIR R4 (4.0.1) · IPS 2.0.0 STU2 (2025-10-03) · OMOP CDM v5.4 · DICOM 2024e (metadonnees)

Tester en direct Les instruments