Passer au contenu principal
L’essentiel du travail de conformité IA est un travail de preuve : démontrer que les contrôles qu’un framework exige tournent réellement sur le chemin qu’empruntent vos agents, et remettre à un auditeur quelque chose qu’il peut vérifier sans vous croire sur parole. OrcaRouter transforme un framework en un ensemble de contrôles opérationnels et un rapport signé en quelques étapes — vous installez un pack, l’observez en mode observe, puis activez l’application et générez les preuves. Cette page est le hub. Elle explique les rouages et renvoie vers la page dédiée à chacun d’eux.

​
1. Ce que signifie la conformité IA sur la passerelle

Un pack de conformité est un framework exprimé sous forme de contrôles. Installer un pack matérialise deux objets réels et éditables dans votre espace de travail :
  • un Guardrail — les contrôles du plan de contenu (PII, secrets, sorties non sûres) que le framework attend sur les requêtes et les réponses ;
  • une politique Firewall et ses règles — les contrôles du plan d’action (quels appels d’outils, dispatchs MCP et destinations d’egress sont autorisés).
Parce que les objets sont réels, le pack n’est pas une case à cocher — c’est la même machinerie de guardrail et de firewall que le reste de votre espace de travail utilise, taguée au framework pour que les rapports puissent en lire l’état.
Parcourir le catalogue, les packs installés et la readiness est ouvert à chaque Member de l’espace de travail et est gratuit. Installer un pack et passer en production requièrent le rôle Admin de l’espace de travail et un plan payant. Générer un rapport est aussi réservé à l’Admin — le plan gratuit inclut un rapport PDF ; les exports CSV/JSON et les rapports supplémentaires requièrent un plan payant. Définir la résidence est réservé à l’Admin. Voir Plan gating.

​
2. Observez avant d’appliquer

Un pack fraîchement installé atterrit en mode observe : les actions du guardrail sont contraintes à flag (annoter, ne pas bloquer) et la politique firewall tourne en shadow (elle journalise [shadow] would … au lieu de refuser). Rien de ce que font vos agents n’est interrompu pendant que vous apprenez ce que les contrôles auraient attrapé. Lorsque les flux de correspondances et d’événements semblent propres, vous passez en production — les mêmes objets basculent vers une application réelle. Cet arc observe-puis-applique est l’habitude la plus importante d’un déploiement de conformité, et il a sa propre page.

Observer vs appliquer

L’arc de déploiement complet — ce que le mode observe journalise, comment le passage en production le bascule, et comment lire le signal avant de vous engager.

Ce que contient un pack

Les objets guardrail et firewall exacts qu’un pack matérialise, et comment ils correspondent aux contrôles du framework.

​
3. Choisissez un framework

Le catalogue couvre les frameworks généraux de sécurité et de gouvernance de l’IA (soc2, iso_27001, iso_42001, nist_ai_rmf, eu_ai_act, owasp_llm), les régimes sectoriels (hipaa, pci_dss, glba, nist_800_53), et un large ensemble de lois régionales sur la vie privée (gdpr, uk_gdpr, ccpa, et d’autres). Parcourez la liste en direct plutôt que de la coder en dur.

SOC 2

HIPAA

GDPR

EU AI Act

ISO 27001

ISO 42001

NIST AI RMF

OWASP LLM Top 10

PCI DSS

CCPA

Tous les frameworks

Matrice de contrôles

​
4. Installer un pack (un flux concret)

L’installation se fait depuis la console sous Compliance → Catalog, en tant qu’Admin de l’espace de travail. L’action est gardée côté serveur derrière un plan payant ; elle matérialise les objets guardrail et firewall en mode observe. La console pilote cette route de gestion pour vous (elle utilise votre session, pas une clé de relais) : 
POST /api/compliance/packs/soc2/install
Authorization: Bearer <your console session>
Après l’installation, ouvrez Readiness pour voir quels contrôles sont satisfaits, surveillez les flux pendant une semaine, puis passez en production. La page Installer un pack parcourt la séquence complète ; Exporter les preuves couvre ce qui en ressort.
Les lectures restent ouvertes aux Members afin que vos relecteurs sécurité et audit puissent surveiller la readiness sans accès en écriture. Seul l’Admin qui pilote le déploiement a besoin de la capacité d’installation et de passage en production.

​
5. Des rapports signés et vérifiables

Un rapport de conformité est une preuve à laquelle un auditeur peut se fier sans vous faire confiance. Chaque rapport porte un hash de contenu SHA-256 et une signature Ed25519 sur ce hash, et est exportable en CSV, JSON ou PDF. La signature est publiquement vérifiable — quiconque possède le rapport et la clé publique d’OrcaRouter peut confirmer qu’il n’a pas été altéré.
Un Admin de l’espace de travail génère le rapport ; il est hashé et signé à la création. Voir Rapport signé.
Récupérez la clé publique depuis GET /api/public/compliance/pubkey et faites un POST /api/public/compliance/verify du rapport — aucun compte requis. Voir Vérifier un rapport.
Frappez un lien en lecture seule que votre auditeur ouvre à GET /api/public/compliance/share/:token — limité à un seul rapport, sans connexion. Voir Exporter les preuves.

​
6. Résidence des données pour les preuves

La résidence sur la passerelle gouverne où vos rapports de conformité signés sont stockés et servis — pas où l’inférence s’exécute. Chaque rapport est estampillé avec votre région déclarée, et un rapport n’est servi que sous une région déclarée correspondante ; une lecture inter-régions est retenue. La région est l’une des valeurs us, eu, uk, ap, cn ou global, réglable par un Admin de l’espace de travail : 
PUT /api/compliance/residency
Authorization: Bearer <your console session>

{ "region": "eu" }
La résidence est une propriété de l’artefact de rapport, pas une garantie que le trafic de modèle est géo-épinglé. Si une réglementation exige que l’inférence reste dans une région, c’est une décision de routage amont, distincte de l’endroit où vivent les preuves.

Résidence des données

Définissez et changez la région sous laquelle vos preuves sont stockées et servies.

Lectures inter-régions

Pourquoi un rapport estampillé d’une région ne sera pas servi sous une autre, et comment gérer les programmes multi-régions.

​
7. Rétention et effacement

Deux horloges comptent pour la conformité IA, et toutes deux ont des défauts observables par le client :
SujetDéfautLimite stricte
Rétention des logs de requêtes30 jours180 jours (bornée par le serveur)
Délai de grâce de suppression d’utilisateur30 jours, puis purge des PII—
Le droit à l’effacement est intégré : une auto-suppression démarre une fenêtre de grâce de 30 jours, après quoi les PII sont purgées et la cascade élimine les correspondances de guardrail, les logs de requêtes et les événements firewall. Les pages Rétention, Droit à l’effacement et Consentement couvrent les mécaniques DSAR.

​
8. Où cela s’inscrit

La conformité lit les mêmes contrôles que configure le reste du modèle de sécurité. Si vous atterrissez ici en premier, commencez par les concepts :

Responsabilité partagée

Ce que la passerelle sécurise versus ce qui reste le vôtre — la carte honnête des frontières pour toute affirmation de conformité.

Modes d'application

Observe, audit et enforce — le vocabulaire partagé derrière le passage en production.

La pile de contrôle

Clés, guardrails, firewall et audit en une seule image.

Glossaire

Pack, readiness, résidence, attestation, et le reste des termes.
Un programme de conformité sur OrcaRouter est la même boucle à chaque fois : installer le pack, observer ce qu’il attrape, passer en production, et remettre à votre auditeur un rapport signé qu’il peut vérifier lui-même.