Avancé : la bibliothèque de règles, exigences légales et recommandations
En bref
La bibliothèque de règles se trouve sous Paramètres > Avancé et contient deux sortes de règles. Les exigences légales – par ex. qu'un humain décide des dossiers sur des personnes – sont toujours activées et ne se modifient pas. Les recommandations – par ex. la validation automatique des usages à faible risque et la passkey pour les décisions – sont activées dès le départ et peuvent être désactivées ou réactivées avec des initiales et un motif. Chaque modification est enregistrée dans le journal d'audit.
Toutes les règles
Ouvrez Paramètres > Avancé. GoalCube est configuré selon les bonnes pratiques dès le départ : laissez les règles telles quelles, sauf si vous avez une bonne raison. Vous y trouvez aussi l'e-mail du lundi.
C’est le vrai système avec des données fictives. Essayez les démonstrations dans les articles pour cliquer vous-même.
La liste vient directement du système.
Exigences légales (toujours activées)
| Exigence | Base juridique |
|---|---|
| Les décisions sur des personnes sont prises par un humain, pas par l'IA. L'IA peut seulement recommander. | article 22 du RGPD ; articles 14 et 26, paragraphe 2, du RIA |
| Si l'humain prend une autre décision que la recommandation de l'IA, il doit la motiver par au moins une phrase complète, utilisable auprès de la personne. | article 22, paragraphe 3, du RGPD ; article 86 du RIA |
| Une décision ne peut plus être modifiée ensuite. Elle est consignée avec une empreinte dans une chaîne de hachage. | articles 12 et 26, paragraphe 6, du RIA |
| Le journal d'audit ne contient que des identifiants et des codes, aucun nom (d'anciennes entrées antérieures au 18 oct. 2026 peuvent contenir des noms), et il est conservé au moins 6 mois. | article 26, paragraphe 6, du RIA ; article 5, paragraphe 1, point c), du RGPD |
| L'IA reçoit des pseudonymes au lieu de noms et de numéros (voir l'annexe C.2 du contrat de sous-traitance). Les vraies valeurs ne s'affichent que chez GoalCube, dans l'UE. | articles 5, 25, 32 et 44 du RGPD |
| Les usages interdits de l’IA sont bloqués : reconnaissance des émotions sur le lieu de travail ou dans l’éducation ; notation sociale des personnes ; catégorisation biométrique selon, par ex., la race, les opinions politiques, la religion ou la sexualité ; manipulation ou exploitation de vulnérabilités pouvant nuire à des personnes. | article 5 du RIA |
| Domaines à haut risque : recrutement et sélection de personnes ; décisions relatives à la relation de travail (par ex. promotion, conditions, licenciement, répartition des tâches, évaluation) ; éducation (accès, évaluation, surveillance des examens) ; évaluation de crédit ou tarification des assurances vie et santé ; accès aux prestations publiques ; identification ou catégorisation biométrique ; sécurité des infrastructures critiques. Exception pour les tâches étroites et préparatoires sans profilage. | article 6 et annexe III du RIA |
| Les salariés qui utilisent l'IA doivent avoir une maîtrise de l'IA suffisante. | article 4 du RIA |
Recommandations (désactivables avec une justification)
| Recommandation | Pourquoi |
|---|---|
| L'usage de l'IA à risque minimal ou limité est validé automatiquement selon les règles fixes de GoalCube, s'il ne concerne pas des décisions sur des personnes. La personne responsable le voit dans la liste des tâches. | Les salariés peuvent travailler sans attendre ; un humain ne confirme que le haut risque et les décisions sur des personnes (article 26 du RIA et article 22 du RGPD). |
| L'IA ne reçoit de données qu'une fois l'usage enregistré et confirmé dans le registre des usages de l'IA. | Tout usage de l'IA sur les données de l'entreprise est connu et évalué au regard de l'AI Act et du RGPD avant d'avoir lieu, et l'utilisateur avance une étape à la fois. (La loi n'exige pas de registre en soi ; le registre montre quelles exigences s'appliquent.) |
| Exigez une passkey (Face ID, empreinte digitale ou clé de sécurité) pour les décisions, lorsque des utilisateurs avec passkey ont été créés. | Montre sans ambiguïté qui a décidé du dossier et que la personne avait le rôle requis. |
| Seuls les utilisateurs ayant le bon rôle peuvent décider des dossiers d'un domaine (par ex. dossiers RH uniquement par les RH ou un administrateur). | L'article 26, paragraphe 2, du RIA exige un contrôle par des personnes compétentes et habilitées. |
| Marquez les décisions prises en moins de 15 secondes par dossier comme « durée d'évaluation courte ». | Aide à repérer si l'humain se contente de suivre l'IA (biais d'automatisation, article 14, paragraphe 4, point b), du RIA). |
| Affichez l'incertitude de l'IA pour chaque dossier. | Aide à évaluer de façon critique la recommandation de l'IA (article 14, paragraphe 4, du RIA). |
| Affichez uniquement les faits utiles à la décision (pas l'e-mail, le téléphone ni les numéros). | Minimisation des données (article 5, paragraphe 1, point c), du RGPD). |
| Faites horodater le journal d'audit par un service d'horodatage indépendant après chaque décision. | Prouve à un tiers que le journal existait à un moment précis (dans le produit, un service qualifié au sens d'eIDAS). |
Désactiver une recommandation
Cliquez sur le champ mis en évidence ou utilisez Suivant.
Les exigences légales sont verrouillées. Les recommandations peuvent être désactivées. Cliquez sur « Pourquoi · Désactiver » sous la recommandation que vous voulez désactiver.
Toutes les étapes (5)
- Les exigences légales sont verrouillées. Les recommandations peuvent être désactivées. Cliquez sur « Pourquoi · Désactiver » sous la recommandation que vous voulez désactiver.
- Saisissez vos initiales.
- Écrivez pourquoi vous la désactivez. La justification est enregistrée dans le journal d'audit.
- Cliquez sur « Désactiver la recommandation ».
- La recommandation est désactivée, et la modification figure dans le journal d'audit. Elle peut être réactivée.
Si vous désactivez une recommandation, réfléchissez à ce que vous faites à la place. L'auditeur et l'autorité de contrôle peuvent voir la modification et le motif dans le journal d'audit et dans le rapport pour l'autorité de contrôle.
Écrans enregistrés dans GoalCube 0.26.0 le 22 octobre 2026 avec des données fictives.