Guides & EssaysGuides & Essais
Guides answer a question you might actually be facing — what can still be established, and what cannot. Essays are the working research positions underneath them, open to critique; selected objections and responses are published alongside the text. Les guides répondent à une question que vous vous posez peut-être déjà — ce qui peut encore être établi, et ce qui ne le peut pas. Les essais sont les positions de recherche qui les sous-tendent, ouvertes à la critique ; les objections sélectionnées et leurs réponses sont publiées aux côtés du texte.
Guides — practical answersGuides — réponses pratiques
How Do You Prove Your AI Agent Is Safe to a Customer's Risk Team? Comment prouver que votre agent IA est sûr à l'équipe risque du client ?
The demo went well; then the deal stalled in the customer's security review. Why a SOC 2 report and a policy PDF don't move a risk committee — and what does: verifiable evidence of what the agent actually did, honest about its gaps. La démo s'est bien passée ; puis le deal a calé dans la revue sécurité du client. Pourquoi un rapport SOC 2 et une politique PDF ne font pas bouger un comité risque — et ce qui le fait : une preuve vérifiable de ce que l'agent a réellement fait, honnête sur ses lacunes.
SOC 2 Doesn't Cover What Your AI Agent Does. Here's What Does. SOC 2 ne couvre pas ce que fait votre agent IA. Voici ce qui le couvre.
You have the report and the risk team still wants more about the agent. SOC 2 attests your control environment; it doesn't reconstruct what the agent did on a given run. Why the gap is widening, and the complementary layer that fills it. Vous avez le rapport et l'équipe risque en veut encore plus sur l'agent. SOC 2 atteste votre environnement de contrôle ; il ne reconstitue pas ce que l'agent a fait sur une exécution. Pourquoi l'écart se creuse, et la couche complémentaire qui le comble.
How Do You Reconstruct What an AI Agent Did When Nothing Was Instrumented For It? Comment reconstituer ce qu'un agent IA a fait quand rien n'avait été instrumenté pour ça ?
Six months after an incident, someone asks what actually happened — and most organisations cannot answer. What you can still establish, what you cannot, and a worked example on a real coding-agent run that you can verify yourself. Six mois après un incident, quelqu'un demande ce qui s'est réellement passé — et la plupart des organisations ne savent pas répondre. Ce qu'on peut encore établir, ce qu'on ne peut pas, et un exemple travaillé sur une vraie exécution d'agent de code, vérifiable par vous-même.
What Is AI Evidence Reconstruction? Qu'est-ce que la reconstitution de preuve IA ?
Establishing what an AI system actually did, from records never created for the purpose — and how it differs from observability, monitoring, explainability, audit trails, forensics and GRC. Établir ce qu'un système IA a réellement fait, à partir d'enregistrements jamais créés pour ça — et en quoi cela diffère de l'observabilité, du monitoring, de l'explicabilité, des pistes d'audit, de la forensique et du GRC.
Collecting the Evidence Is Cheap. Proving What It Shows Is Not. Collecter la preuve est facile. Prouver ce qu'elle démontre ne l'est pas.
Pulling a log is cheap; adjudicating that it proves a given action happened is not. Where the hours and the margin actually sit — and what a tool can honestly take off a professional who does this for a living, without pretending to replace the judgement. Récupérer un log est facile ; adjuger qu'il prouve qu'une action a eu lieu ne l'est pas. Où sont vraiment les heures et la marge — et ce qu'un outil peut honnêtement retirer à un professionnel du métier, sans prétendre remplacer le jugement.
A Regulator Is Asking About an AI Decision. What Do You Send Them? Un régulateur vous interroge sur une décision d'IA. Que lui envoyez-vous ?
A regulator sends a request for information, not a question to discuss. The response that holds up mirrors it — request by request, including the matters that cannot presently be demonstrated. What to send, and why the form matters. Un régulateur envoie une demande d'information, pas une question à discuter. La réponse qui tient l'épouse — demande par demande, y compris ce qui ne peut être démontré à ce jour. Que renvoyer, et pourquoi la forme compte.
AI Observability vs AI Evidence: What Is the Difference? Observabilité IA vs preuve IA : quelle différence ?
"We already have Langfuse, Datadog and OpenTelemetry — what would we need beyond that?" A team can have excellent observability and still be unable to answer a regulator. Five gaps, and where incident response sits between them. « On a déjà Langfuse, Datadog et OpenTelemetry — qu'est-ce qu'il nous faudrait de plus ? » Une équipe peut avoir une excellente observabilité et rester incapable de répondre à un régulateur. Cinq manques, et où se situe la réponse à incident.
Why AI Logs Are Not Evidence Pourquoi les logs IA ne sont pas des preuves
A perfect log can document a perfectly unauthorized decision. The fix isn't more logging — it's when the evidence is bound. On contemporaneity, before-ness, and NOT ASSESSABLE. Un journal parfait peut documenter une décision parfaitement non autorisée. Le correctif n'est pas plus de journalisation — c'est le moment où la preuve est liée. Sur la contemporanéité, l'antériorité, et NON ÉVALUABLE.
How Do You Prove a Control Actually Ran? Comment prouver qu'un contrôle a réellement tourné ?
Proving a control exists is easy. Proving it ever operated — on the decision that mattered — is the question almost nobody answers. Existence vs execution, effectiveness, and NOT ASSESSABLE. Prouver qu'un contrôle existe est facile. Prouver qu'il a opéré — sur la décision qui comptait — est la question que presque personne ne traite. Existence vs exécution, efficacité, et NON ÉVALUABLE.
How to Collect Audit Evidence for AI Agents Comment collecter la preuve d'audit pour les agents IA
Screenshots and sampling break when the audited thing is an agent making thousands of decisions. You don't collect evidence — you confront declared-vs-observed, grade it by independence, and report an honest NOT ASSESSABLE where the channel wasn't there. Captures d'écran et échantillonnage cassent dès que l'audité est un agent qui prend des milliers de décisions. On ne collecte pas la preuve — on confronte déclaré-vs-observé, on la grade par indépendance, et on signale un NON ÉVALUABLE honnête là où le canal manquait.
How to Answer the AI Section of an Enterprise Security Questionnaire Répondre au volet IA d'un questionnaire sécurité grands comptes
Security questions — not model quality — are where AI deals stall in 2026. A committee discounts assertions on sight; here is what an evidence-answer looks like, including the gaps you honestly can't prove yet. Ce sont les questions sécurité — pas la qualité du modèle — qui bloquent les deals IA en 2026. Un comité décote les assertions à vue ; voici à quoi ressemble une réponse-preuve, y compris les lacunes que vous ne pouvez pas encore prouver.
Essays — research positionsEssais — positions de recherche
AI Governance Is Not a Separation of Responsibilities. It Is a Separation of Assertions. La gouvernance IA n'est pas une séparation des responsabilités. C'est une séparation des assertions.
An observation is not a conclusion. Evidence is not assurance. A verdict is not truth. A platform that observes, evaluates and concludes becomes witness, analyst and judge at once — the largest trust assumption in the architecture. Une observation n'est pas une conclusion. La preuve n'est pas de l'assurance. Un verdict n'est pas la vérité. Une plateforme qui observe, évalue et conclut devient témoin, analyste et juge à la fois — la plus grande hypothèse de confiance de l'architecture.
Unfalsifiable Governance Is Indistinguishable From Absent Governance Une gouvernance infalsifiable est indistinguable d'une gouvernance absente
The two-axis framework: Provenance × Consistency. A governance claim that produces no observable operational difference is, epistemically, indistinguishable from its absence. Le cadre à deux axes : Provenance × Consistance. Une affirmation de gouvernance qui ne produit aucune différence opérationnelle observable est, épistémiquement, indistinguable de son absence.
Evidence Sovereignty: Verifying AI Governance Without Trusting the Vendor Souveraineté de la preuve : vérifier la gouvernance IA sans faire confiance au fournisseur
When proof is independent and re-verifiable, you don't import a foreign certificate and take it on faith. Framework-agnostic verification — the framework is the question, the evidence is the same. Quand la preuve est indépendante et re-vérifiable, on n'importe pas un certificat étranger qu'on croit sur parole. Vérification agnostique au cadre — le cadre est la question, la preuve est la même.
Why Human Oversight Breaks for AI Agents Pourquoi la supervision humaine casse pour les agents IA
"Human in the loop" breaks at 10,000 decisions. Oversight stops being review and becomes evidence the accountability structure held — authority, gates, segregation — with an honest NOT ASSESSABLE instead of a rubber-stamp. « Un humain dans la boucle » casse à 10 000 décisions. La supervision n'est plus une revue mais la preuve que l'architecture d'imputabilité a tenu — autorité, gates, ségrégation — avec un NON ÉVALUABLE honnête au lieu d'un tampon.