Les 4 enjeux

Enjeu 1

Interne

Un brouillon de travail. Personne d’autre ne le lit, rien ne se joue dessus.

Enjeu 2

Transmis

Le document part vers un collègue ou un stagiaire, sans engager l’organisme.

Enjeu 3

Opposable

La pièce peut être produite le jour où quelqu’un conteste. Elle doit tenir.

Enjeu 4

Engageant

Le document sort et engage l’organisme devant un financeur ou un client.

Prompts · Enjeu 1 · Interne Chantier Accès
Nettoyer un extrait de code et de journaux avant de le soumettre à l’assistant Une trace d’erreur collée telle quelle emporte la chaîne de connexion, le jeton d’API du client final et trois numéros de contrat d’assuré dans un outil dont personne n’a lu les conditions.Chaîne · Développeur(se) : sécurité applicative, de la configuration de l’assistant aux faits remis au DPO Premiers réflexes Afficher
Faire la revue critique d’une fonction proposée par l’assistant avant de l’intégrer La fonction compile, les tests passent, et elle appelle une méthode dépréciée du SDK, avale silencieusement une exception réseau et bloque le fil principal sur les téléphones lents.Chaîne · Développeur : concevoir et livrer, du contrat d’API validé par ses consommateurs à la revue critique d’une fonction proposée par l’assistant et à l’estimation fondée sur les tickets livrés Premiers réflexes Afficher
Écrire les tests de caractérisation d’un module hérité avant de le refactorer Refactorer un calcul de tarif sans figer son comportement actuel, c’est corriger au passage trois « bugs » que des clients facturés depuis des années considèrent comme la règle.Chaîne · Développeur(se) : refonte d’un module de calcul hérité, de la lecture du code à la note de version publiéeMéthode & exigenceAfficher
Estimer une fonctionnalité à partir des tickets réellement livrés par l’équipe L’estimation se fait à l’intuition en réunion, la fonctionnalité dépasse de moitié et personne ne sait si c’est l’estimation ou le périmètre qui a glissé.Chaîne · Développeur : concevoir et livrer, du contrat d’API validé par ses consommateurs à la revue critique d’une fonction proposée par l’assistant et à l’estimation fondée sur les tickets livrés Quand le ticket arrive Abonnement
Comprendre un code hérité avec l’assistant sans croire son explication sur parole L’assistant décrit avec aplomb ce que fait un service de facturation de huit mille lignes, et se trompe sur la règle d’arrondi que les clients paient depuis des années.Chaîne · Développeur(se) : refonte d’un module de calcul hérité, de la lecture du code à la note de version publiée Quand le ticket arrive Abonnement
Configurer l’usage de l’assistant de code dans un dépôt sensible L’assistant indexe le dépôt entier, fichiers d’environnement et jeux de données de recette compris, et chaque développeur l’a configuré à sa façon.Chaîne · Développeur(se) : sécurité applicative, de la configuration de l’assistant aux faits remis au DPO Quand l’assistant écrit le code Abonnement
Faire écrire des tests par l’assistant qui vérifient le besoin et non le code Les tests générés à partir de l’implémentation recopient son comportement, bugs compris : la couverture monte, la protection reste nulle.Chaîne · Développeur(se) : service en ligne soumis à l’accessibilité, du ticket flou aux éléments de la déclaration Quand vient l’heure des tests et de la recette Abonnement
Relire une migration de base générée avant de l’exécuter en production La migration générée renomme une colonne en une seule instruction : en production, elle verrouille la table pendant de longues minutes et casse l’ancienne version de l’application encore déployée.Chaîne · Développeur(se) : mise en production, de la demande de changement au post-mortem Quand la mise en production approche Abonnement
Analyser des journaux d’erreur avec l’assistant sans exporter de données personnelles Pour aller vite, les journaux bruts partent dans l’assistant, avec les adresses IP, les identifiants de comptes et parfois les jetons inscrits par une ancienne version.Chaîne · Développeur : les données personnelles, de la cartographie préparée pour le DPO avant de coder à la copie de base transformée pour la préproduction et aux journaux d’erreur analysés sans export Quand la production casse Abonnement
Modéliser les menaces d’un assistant conversationnel branché sur les documents du client Un courriel client contient une phrase cachée qui ordonne à l’assistant d’ignorer ses consignes et de recopier le contrat d’un autre assuré : personne ne l’avait imaginé, parce que personne n’avait considéré les documents indexés comme une entrée hostile.Chaîne · Développeurs : application qui embarque un modèle de langage, de la modélisation des menaces à la fiche de sécurité remise au RSSI Quand l’application embarque un modèle de langage Abonnement
Traiter la réponse du modèle comme une entrée non fiable dans le code d’intégration La réponse du modèle est injectée telle quelle dans la page et dans une requête de recherche : un document piégé fait exécuter un script dans le navigateur des lecteurs de l’intranet.Chaîne · Développeurs : application qui embarque un modèle de langage, de la modélisation des menaces à la fiche de sécurité remise au RSSI Quand l’application embarque un modèle de langage Abonnement
Repérer si une fonctionnalité demandée relève d’un usage à haut risque ou d’une pratique interdite avant de la chiffrer La demande arrive en une ligne dans le ticket, « analyser l’humeur des équipes pendant les réunions » ; elle est chiffrée, codée, démontrée, et c’est au moment de la mise en production que quelqu’un pose la question de sa licéité.Chaîne · Développeurs : modèle d’IA intégré au produit, du repérage avant chiffrage à la notice remise au client Quand le modèle d’IA entre dans le produit Abonnement
Vérifier si un logiciel livré entre dans le champ du règlement sur la cyberrésilience et qui en serait le fabricant L’ESN pense que le règlement concerne seulement les objets connectés de ses clients ; le client industriel, lui, considère que c’est l’ESN qui fabrique le logiciel, et les deux découvrent la question en lisant un appel d’offres.Chaîne · Développeurs : logiciel sous le règlement sur la cyberrésilience, de l’analyse du champ à la notification d’une vulnérabilité exploitée Quand le logiciel tombe sous le règlement sur la cyberrésilience Abonnement
Prompts · Enjeu 2 · Transmis Chantier Accès
Transformer un ticket flou en critères d’acceptation à faire valider par le product owner « Permettre l’export des absences » se code en une après-midi et se refait trois fois : format, filtres, droits, volumétrie et fuseau horaire n’étaient écrits nulle part.Chaîne · Développeur(se) : service en ligne soumis à l’accessibilité, du ticket flou aux éléments de la déclaration Premiers réflexes Afficher
Rédiger la description d’une pull request qui permet une vraie revue Une pull request de quarante fichiers titrée « refacto + fix » se relit en diagonale, et c’est précisément celle qui casse la facturation un vendredi.Chaîne · Développeur(se) : une fonctionnalité livrée en recette, de la demande de fusion documentée à l’avis qualité de mise en production Méthode & exigence Afficher
Rédiger une décision d’architecture avec les options écartées et leurs raisons Deux ans plus tard, personne ne sait pourquoi la file de messages a été préférée au simple appel synchrone, et l’équipe suivante refait le débat ou défait le choix sans en voir les raisons.Chaîne · Développeur(se) : refonte d’un module de calcul hérité, de la lecture du code à la note de version publiéeMéthode & exigenceAfficher
Chiffrer et prioriser la dette technique d’un module pour la direction « Il faudrait tout réécrire » ne convainc aucune direction, et la dette non chiffrée reste invisible jusqu’au jour où une évolution simple prend trois semaines.Chaîne · Développeur(se) : refonte d’un module de calcul hérité, de la lecture du code à la note de version publiée Haut niveau Abonnement
Écrire le contrat d’une API avant le code et le faire valider par ses consommateurs Une API codée d’abord et documentée ensuite fige des noms de champs, des codes d’erreur et une pagination que les équipes clientes découvrent en intégration, quand il est trop tard pour les changer sans rupture.Chaîne · Développeur : concevoir et livrer, du contrat d’API validé par ses consommateurs à la revue critique d’une fonction proposée par l’assistant et à l’estimation fondée sur les tickets livrés Quand le ticket arrive Abonnement
Cartographier les données personnelles d’une fonctionnalité pour le DPO avant de la coder Le DPO découvre la fonctionnalité en production, avec des commentaires libres de managers stockés sans durée de conservation et visibles par le support.Chaîne · Développeur : les données personnelles, de la cartographie préparée pour le DPO avant de coder à la copie de base transformée pour la préproduction et aux journaux d’erreur analysés sans export Quand le ticket arrive Abonnement
Évaluer une dépendance proposée par l’assistant avant de l’ajouter au projet L’assistant suggère un paquet au nom plausible qui n’existe pas, ou qui existe depuis deux semaines sous un nom voisin d’une bibliothèque connue, et quelqu’un l’installe.Chaîne · Développeur(se) : code généré et composants open source, de la trace du commit à la réponse au client Quand l’assistant écrit le code Abonnement
Rédiger le cahier de recette d’une version à partir des critères d’acceptation Une recette menée sans cahier se résume à « on a cliqué partout » : le client signe, puis conteste une anomalie qu’il prétend avoir signalée.Chaîne · Développeur(se) : service en ligne soumis à l’accessibilité, du ticket flou aux éléments de la déclaration Quand vient l’heure des tests et de la recette Abonnement
Contrôler l’accessibilité d’un composant d’interface généré par l’assistant Le composant de liste déroulante généré est élégant, et il est inutilisable au clavier, muet pour un lecteur d’écran et piège le focus dans la fenêtre modale.Chaîne · Développeur(se) : service en ligne soumis à l’accessibilité, du ticket flou aux éléments de la déclaration Quand vient l’heure des tests et de la recette Abonnement
Rédiger la demande de changement avec son plan de retour arrière Un déploiement validé sur la seule phrase « petite évolution, sans risque » se révèle irréversible quand la migration a déjà réécrit la moitié des lignes.Chaîne · Développeur(se) : mise en production, de la demande de changement au post-mortem Quand la mise en production approche Abonnement
Écrire le runbook d’un service avant de le confier à l’astreinte À trois heures du matin, l’ingénieur d’astreinte ouvre un runbook qui dit « redémarrer le service si besoin », sans dire comment savoir si c’est le besoin ni ce que le redémarrage fait perdre.Chaîne · Développeur(se) : mise en production, de la demande de changement au post-mortem Quand la mise en production approche Abonnement
Proposer à l’équipe une norme d’usage des assistants de code Chacun utilise l’assistant à sa façon : certains collent du code client dans un outil personnel, d’autres fusionnent sans relire, et la DSI découvre l’ampleur de l’usage au premier incident.Chaîne · Développeur : l’IA et les engagements, de la norme d’usage des assistants de code proposée à l’équipe au questionnaire sécurité et IA d’un grand compte Quand le code engage le contrat et les droits Abonnement
Restreindre les outils et les droits d’un agent qui agit dans le système d’information du client L’agent a reçu le jeton d’API de l’administrateur pour aller plus vite en démonstration : une demande client piégée suffit pour qu’il annule des livraisons et écrive à des destinataires que personne n’a choisis.Chaîne · Développeurs : application qui embarque un modèle de langage, de la modélisation des menaces à la fiche de sécurité remise au RSSI Quand l’application embarque un modèle de langage Abonnement
Qualifier le rôle de l’éditeur au regard du règlement sur l’IA avant de développer une fonctionnalité qui s’appuie sur un modèle tiers L’équipe considère que tout incombe au fournisseur du modèle puisqu’elle « ne fait qu’appeler une API » ; le jour où un client demande qui est fournisseur du système mis sur le marché, personne ne sait répondre ni où est la documentation.Chaîne · Développeurs : modèle d’IA intégré au produit, du repérage avant chiffrage à la notice remise au client Quand le modèle d’IA entre dans le produit Abonnement
Préparer pour la direction la proposition de période d’assistance et de diffusion séparée des mises à jour de sécurité Les correctifs de sécurité ne sortent qu’avec les nouvelles fonctionnalités, et certains commerçants refusent les mises à jour depuis longtemps : la direction veut annoncer une durée d’assistance sans savoir ce que l’équipe peut réellement maintenir.Chaîne · Développeurs : logiciel sous le règlement sur la cyberrésilience, de l’analyse du champ à la notification d’une vulnérabilité exploitée Quand le logiciel tombe sous le règlement sur la cyberrésilience Abonnement
Prompts · Enjeu 3 · Opposable Chantier Accès
Tracer dans le commit et la pull request la part de code produite avec l’assistant Le jour où un client, un auditeur ou un acquéreur demande quelle part du code vient d’un assistant et qui l’a relue, l’historique Git ne dit rien et chacun reconstitue de mémoire.Chaîne · Développeur(se) : code généré et composants open source, de la trace du commit à la réponse au client Premiers réflexes Afficher
Instruire la licence d’un extrait qui ressemble trop à un projet open source connu Un bloc de deux cents lignes sorti de l’assistant reprend les noms de variables et les commentaires d’une bibliothèque sous licence copyleft : intégré au produit, il change ce que la startup doit publier.Chaîne · Développeur(se) : code généré et composants open source, de la trace du commit à la réponse au client Méthode & exigence Afficher
Préparer le post-mortem d’un incident de production à partir de la chronologie réelle Un post-mortem écrit de mémoire désigne une cause racine commode, oublie l’alerte ignorée pendant quarante minutes et ne change rien, jusqu’au même incident trois mois plus tard.Chaîne · Développeur(se) : mise en production, de la demande de changement au post-mortemHaut niveauAfficher
Produire un jeu de données de test réaliste sans extraire la production Une copie de production « juste pour la recette » finit sur le poste d’un prestataire, dans un ticket et dans un assistant de code, avec les données de milliers de salariés.Chaîne · Développeur(se) : une fonctionnalité livrée en recette, de la demande de fusion documentée à l’avis qualité de mise en production Haut niveau Abonnement
Instruire la provenance d’un bloc généré proche d’un code sous licence copyleft Un outil d’analyse de composition signale une correspondance forte entre un module généré et un projet sous licence copyleft, la veille d’une livraison chez un client qui exige l’absence de ce type de licence.Chaîne · Développeur(se) : code généré et composants open source, de la trace du commit à la réponse au client Quand l’assistant écrit le code Abonnement
Faire la revue de sécurité d’une pull request largement générée Le code généré est propre, lisible, testé, et il construit une requête SQL par concaténation dans un chemin rarement emprunté, ou vérifie l’authentification sans vérifier que la ressource appartient à l’utilisateur.Chaîne · Développeur(se) : sécurité applicative, de la configuration de l’assistant aux faits remis au DPO Quand l’assistant écrit le code Abonnement
Traiter un secret poussé dans le dépôt ou collé dans un assistant Supprimer le fichier dans un nouveau commit ne retire rien : la clé reste dans l’historique, dans les forks, dans les journaux de l’intégration continue et dans la conversation avec l’assistant.Chaîne · Développeur(se) : sécurité applicative, de la configuration de l’assistant aux faits remis au DPO Quand l’assistant écrit le code Abonnement
Concevoir la transformation d’une copie de base pour la préproduction Remplacer les noms par des noms fictifs laisse le numéro de sécurité sociale, la date de naissance et la commune : la personne reste reconnaissable, et la copie circule chez trois prestataires.Chaîne · Développeur : les données personnelles, de la cartographie préparée pour le DPO avant de coder à la copie de base transformée pour la préproduction et aux journaux d’erreur analysés sans export Quand vient l’heure des tests et de la recette Abonnement
Consigner les résultats de recette et les anomalies acceptées avec réserve Une version passée en production avec « quelques anomalies mineures à corriger » sans liste écrite devient, deux mois plus tard, une discussion sur ce qui était mineur et sur qui devait corriger.Chaîne · Développeur(se) : service en ligne soumis à l’accessibilité, du ticket flou aux éléments de la déclaration Quand vient l’heure des tests et de la recette Abonnement
Tenir la main courante d’un incident en cours Pendant l’incident, tout se décide dans le canal de discussion ; une heure plus tard, plus personne ne sait quelle action a été faite avant quel rétablissement, ni qui a décidé de couper le service.Chaîne · Développeur(se) : mise en production, de la demande de changement au post-mortem Quand la production casse Abonnement
Qualifier une vulnérabilité signalée par un chercheur et préparer la réponse Le courriel d’un chercheur reste trois semaines dans la boîte du support, la faille est publiée, et l’entreprise découvre qu’elle n’avait ni procédure ni trace de réception.Chaîne · Développeur(se) : sécurité applicative, de la configuration de l’assistant aux faits remis au DPO Quand la production casse Abonnement
Établir pour le DPO les faits techniques d’une possible violation de données Un défaut de contrôle d’accès a exposé des fiches d’intérimaires à d’autres agences pendant plusieurs jours ; le DPO doit décider vite et ne dispose que d’impressions.Chaîne · Développeur(se) : sécurité applicative, de la configuration de l’assistant aux faits remis au DPO Quand la production casse Abonnement
Tenir le journal d’apport et la liste des composants tiers d’un livrable Au moment de céder les droits, personne ne sait plus ce qui vient du freelance, de bibliothèques tierces, de gabarits préexistants ou de l’assistant, et la cession porte sur un périmètre flou.Chaîne · Développeur(se) : mission au forfait et droits sur le code, du chiffrage au bordereau de cession Quand le code engage le contrat et les droits Abonnement
Mener et consigner une campagne de tests d’injection de prompt sur la fonctionnalité avant la recette sécurité Quelques essais à la main le vendredi ont tous échoué et l’équipe annonce l’assistant « résistant » ; le premier test du pentesteur du client fait sortir la consigne système et des extraits de dossiers d’autres salariés.Chaîne · Développeurs : application qui embarque un modèle de langage, de la modélisation des menaces à la fiche de sécurité remise au RSSI Quand l’application embarque un modèle de langage Abonnement
Constituer le dossier documentaire du modèle à usage général avant de l’intégrer au produit Un client grand compte demande sur quelles données le modèle a été entraîné, ses limites connues et ses conditions d’usage : l’équipe ne retrouve qu’une page commerciale et une version de modèle qui n’est plus celle en production.Chaîne · Développeurs : modèle d’IA intégré au produit, du repérage avant chiffrage à la notice remise au client Quand le modèle d’IA entre dans le produit Abonnement
Rassembler les faits techniques d’une vulnérabilité activement exploitée pour la notification du fabricant Les échanges sur la vulnérabilité sont éparpillés entre le canal d’incident, deux tickets et des courriels de clients : au moment de notifier, personne ne sait dater le moment où l’éditeur a eu connaissance de l’exploitation.Chaîne · Développeurs : logiciel sous le règlement sur la cyberrésilience, de l’analyse du champ à la notification d’une vulnérabilité exploitée Quand le logiciel tombe sous le règlement sur la cyberrésilience Abonnement
Documenter l’évaluation des risques de cybersécurité du produit pour sa documentation technique L’évaluation des risques tient en un tableur sans date, rempli une fois au lancement : elle ne dit pas pourquoi certaines exigences ont été jugées non applicables, et personne ne peut la défendre devant un organisme d’évaluation.Chaîne · Développeurs : logiciel sous le règlement sur la cyberrésilience, de l’analyse du champ à la notification d’une vulnérabilité exploitée Quand le logiciel tombe sous le règlement sur la cyberrésilience Abonnement
Prompts · Enjeu 4 · Engageant Chantier Accès
Répondre à un client qui demande si le code livré contient du code généré Répondre « non » par réflexe alors que l’assistant a écrit la moitié des tests, ou « oui, mais c’est sans importance », expose le jour où le contrat interdisait l’un ou exigeait de signaler l’autre.Chaîne · Développeur(se) : code généré et composants open source, de la trace du commit à la réponse au client Premiers réflexes Afficher
Rédiger les notes de version publiées aux clients à partir des tickets livrés Des notes de version générées depuis les titres de tickets annoncent une « amélioration du calcul de TVA » que le support devra expliquer cent fois, ou passent sous silence un changement de comportement.Chaîne · Développeur(se) : refonte d’un module de calcul hérité, de la lecture du code à la note de version publiée Méthode & exigence Afficher
Chiffrer une proposition au forfait qui sépare hypothèses, risques et exclusions Un forfait chiffré sur l’enthousiasme d’une démo, sans hypothèses écrites, transforme chaque précision du client en travail gratuit et chaque retard en pénalité.Chaîne · Développeur(se) : mission au forfait et droits sur le code, du chiffrage au bordereau de cessionHaut niveauAfficher
Préparer les éléments de la déclaration d’accessibilité avant la mise en ligne d’un service Une déclaration d’accessibilité recopiée d’un autre site annonce un taux qui n’a jamais été mesuré, et c’est le premier document que lit l’usager qui ne parvient pas à remplir le formulaire.Chaîne · Développeur(se) : service en ligne soumis à l’accessibilité, du ticket flou aux éléments de la déclaration Haut niveau Abonnement
Répondre par écrit à un client qui exige une date de livraison ferme Une date lâchée au téléphone pour rassurer devient, trois semaines plus tard, l’échéance d’une pénalité que le contrat ne prévoyait pas mais que le courriel confirme.Chaîne · Développeur(se) : mission au forfait et droits sur le code, du chiffrage au bordereau de cession Quand le ticket arrive Abonnement
Vérifier la nomenclature logicielle avant de la remettre au client avec la livraison Le client industriel exige la liste des composants et de leurs licences : celle générée automatiquement oublie les bibliothèques embarquées à la main et une version vulnérable reste dans l’image livrée.Chaîne · Développeur(se) : code généré et composants open source, de la trace du commit à la réponse au client Quand la mise en production approche Abonnement
Rédiger le message d’indisponibilité planifiée envoyé aux clients Un message d’intervention qui annonce « quelques minutes de coupure » un mardi à midi, sans dire ce qui sera indisponible, déclenche une vague de tickets et rappelle aux clients leurs engagements de service.Chaîne · Développeur(se) : refonte d’un module de calcul hérité, de la lecture du code à la note de version publiée Quand la mise en production approche Abonnement
Rédiger les messages d’incident envoyés aux clients pendant et après la panne Un premier message qui annonce « un incident mineur, résolu sous peu » alors que la cause est inconnue oblige à se contredire deux heures plus tard, devant des clients en pleine période fiscale.Chaîne · Développeur(se) : mise en production, de la demande de changement au post-mortem Quand la production casse Abonnement
Relire les clauses de propriété et d’usage d’outils d’IA d’un contrat de prestation Le contrat cède « tous droits sur tous développements », y compris les bibliothèques personnelles réutilisées depuis des années, et interdit tout outil d’IA sans que la freelance l’ait remarqué.Chaîne · Développeur(se) : mission au forfait et droits sur le code, du chiffrage au bordereau de cession Quand le code engage le contrat et les droits Abonnement
Rédiger le bordereau de livraison et de cession d’un livrable Une livraison par simple lien vers un dépôt, sans bordereau, laisse ouverts la date de livraison, la version livrée et l’étendue de la cession, et la facture finale reste impayée faute d’accord sur ce qui a été remis.Chaîne · Développeur(se) : mission au forfait et droits sur le code, du chiffrage au bordereau de cession Quand le code engage le contrat et les droits Abonnement
Répondre au questionnaire sécurité et IA d’un grand compte Le questionnaire demande si des données client servent à entraîner un modèle et si le code est relu : répondre « oui » partout pour passer l’étape crée des engagements que l’audit vérifiera.Chaîne · Développeur : l’IA et les engagements, de la norme d’usage des assistants de code proposée à l’équipe au questionnaire sécurité et IA d’un grand compte Quand le code engage le contrat et les droits Abonnement
Rédiger la fiche de sécurité de la fonctionnalité d’IA remise au RSSI du client avant la mise en production La fiche remise au RSSI affirme que « les données ne quittent pas l’Union » et que « tous les échanges sont journalisés » : le contrat d’hébergement du modèle dit autre chose et la journalisation des requêtes n’a jamais été activée.Chaîne · Développeurs : application qui embarque un modèle de langage, de la modélisation des menaces à la fiche de sécurité remise au RSSI Quand l’application embarque un modèle de langage Abonnement
Spécifier l’information des utilisateurs et le marquage des contenus générés avant la mise en ligne L’assistant se présente sous un prénom et une photo de conseillère, sans rien d’autre ; les images générées partent dans les newsletters sans aucun marquage, et la question de la transparence arrive après la publication.Chaîne · Développeurs : modèle d’IA intégré au produit, du repérage avant chiffrage à la notice remise au client Quand le modèle d’IA entre dans le produit Abonnement
Rédiger la notice d’utilisation et les consignes de supervision humaine remises au client qui déploie l’outil Le client découvre en formation que l’outil se trompe davantage sur certaines catégories de demandes : la notice n’en disait rien, et les agents d’accueil suivaient la priorité proposée sans savoir qu’ils pouvaient la corriger.Chaîne · Développeurs : modèle d’IA intégré au produit, du repérage avant chiffrage à la notice remise au client Quand le modèle d’IA entre dans le produit Abonnement
Rédiger la politique de divulgation coordonnée des vulnérabilités et le point de contact publiés sur le site Un chercheur ne trouve aucune adresse pour signaler une faille et la publie sur un réseau social ; la page rédigée ensuite à la hâte promet des délais de correction que l’équipe n’a jamais tenus.Chaîne · Développeurs : logiciel sous le règlement sur la cyberrésilience, de l’analyse du champ à la notification d’une vulnérabilité exploitée Quand le logiciel tombe sous le règlement sur la cyberrésilience Abonnement

La ligne rouge : ce que l’IA ne doit jamais faire seule

L’IA ne décide jamais seule d’une fusion, d’une mise en production, d’un niveau de gravité, d’une date promise au client, d’un prix au forfait ou d’une cession de droits : elle structure la revue, le plan de changement, le post-mortem, le chiffrage ou le bordereau à partir du code, des traces, du contrat, des licences et des règles que le ou la développeur(se) a relevés et datés. Elle ne déclare aucun code sûr, aucun extrait libre de droits, aucune dépendance fiable, aucun jeu de données anonyme, aucune interface accessible ni aucune violation de données qualifiée sans l’avis de la personne compétente.

L’IA ne reçoit aucun secret, aucune donnée de production ni aucun code client dans un outil dont les conditions n’ont pas été vérifiées, et n’envoie rien au client, au chercheur en sécurité, au DPO ou à l’équipe sans relecture humaine. Elle ne présente aucune API, aucune option ni aucun comportement d’un moteur comme vérifiés sans la documentation fournie, et ne reconstitue jamais un horodatage, une trace de revue ou l’origine d’un bloc de code par supposition.

Sources

  1. CNIL, guide RGPD du développeur
  2. ANSSI, Agence nationale de la sécurité des systèmes d’information
  3. ANSSI, recommandations de sécurité pour un système d’IA générative
  4. DINUM, référentiel général d’amélioration de l’accessibilité (RGAA)
  5. EUR-Lex, règlement (UE) 2024/1689 sur l’intelligence artificielle
  6. ANSSI, Recommandations de sécurité pour un système d’IA générative, guide ANSSI-PA-102, version 1.0 du 29 avril 2024 (page de présentation)
  7. Commission européenne, AI Act, cadre réglementaire et calendrier d’application (mise à jour du 3 août 2026)
  8. Commission européenne, questions-réponses sur les obligations de transparence de l’article 50 du règlement (UE) 2024/1689 (mise à jour du 24 juillet 2026)
  9. Commission européenne, Cyber Resilience Act, page de présentation et calendrier (mise à jour du 7 septembre 2026)
  10. Commission européenne, CRA reporting, obligations de signalement des fabricants et plateforme unique de signalement de l’ENISA

Ces prompts, enchaînés dans un vrai process.

Process IA reprend la chaîne « Développeur(se) : code généré et composants open source, de la trace du commit à la réponse au client » étape par étape : coût mensuel, statut RGPD, temps gagné et ROI.

Utiliser Process IA →

Fiches du même secteur

Partager ce contenu

Articles liés