Note technique KOREV AI · version 1.0.2
Dossiers de décision vérifiables : prouver qu'un historique d'IA est complet
Page mise à jour le
En bref
Un dossier de décision vérifiable permet à un examinateur de détecter qu'un historique de décisions d'IA a été modifié, tronqué ou laissé incomplet, sans devoir faire confiance à la base de données de celui qui le présente. KOREV AI l'a implémenté et testé dans KOREV Evidence et PRISM : chaque dossier exporté est classé VERIFIED, INCOMPLETE ou FAILED par un vérificateur.
Cette propriété est volontairement étroite. Elle ne prouve ni la vérité des contenus, ni la conformité réglementaire, ni la réalité d'une revue humaine.
Télécharger la note complète (PDF, 12 pages)Définition
- Dossier de décision vérifiable
- Export signé de l'historique d'un traitement d'IA, dont un vérificateur peut contrôler l'intégrité des enregistrements, la continuité de l'historique et la complétude des opérations admises, à partir de clés de confiance fournies séparément du dossier.
Le problème : un historique peut être cohérent et pourtant incomplet
Un journal classique répond à la question « qu'est-ce que le système a enregistré ? ». Un audit pose une question plus exigeante : « qu'est-ce qui aurait dû apparaître dans l'historique, et celui qui le produit peut-il en supprimer une partie sans que cela se voie ? »
Signer chaque enregistrement ne suffit pas. Un opérateur peut supprimer la fin d'une chaîne, reconstruire un historique cohérent et le signer de nouveau avec sa propre clé. Une chaîne de hachage détecte une modification par rapport à une chaîne connue, mais ne permet pas à un tiers de savoir si la chaîne a été raccourcie avant de lui être présentée.
Trois propriétés à distinguer
| Propriété | Question | Ce qui la garantit |
|---|---|---|
| Intégrité des enregistrements | Les octets présentés sont-ils ceux qui ont été enregistrés ? | Empreintes des contenus et signature du producteur |
| Continuité de l'historique | L'ordre et les liens entre événements ont-ils été réécrits ou tronqués ? | Numéros de séquence, empreinte de l'événement précédent, point de contrôle d'un témoin |
| Complétude après admission | Chaque opération admise est-elle toujours présente et arrivée à un état final ? | Admission enregistrée avant exécution, acquittement du témoin, réconciliation avec un état terminal |
La troisième propriété est l'apport principal de la note.
Journal, chaîne de hachage, dossier vérifiable : les différences
| Critère | Journal applicatif | Chaîne de hachage signée | Dossier de décision vérifiable |
|---|---|---|---|
| Détecte une modification d'enregistrement | Non | Oui | Oui |
| Détecte une troncature de la fin de l'historique | Non | Non, si le producteur re-signe | Oui, par rapport à l'état du témoin |
| Détecte une opération admise puis omise | Non | Non | Oui |
| Rend visible une opération interrompue | Rarement | Non | Oui, comme non résolue |
| Clés de confiance indépendantes du producteur | Non | Non | Oui, fournies séparément au vérificateur |
| Prouve que la décision était juste | Non | Non | Non |
Comment cela fonctionne
- Admission avant exécution. L'opération est enregistrée dans une transaction locale (identité, métadonnées, empreintes des données) avant que le modèle ou l'outil ne s'exécute. Un arrêt brutal laisse une admission non résolue plutôt qu'une action invisible.
- Journal ordonné. Chaque événement porte un numéro de séquence, l'empreinte de l'événement précédent, son état et l'empreinte d'un contenu conservé séparément.
- Témoin à clé distincte. Un processus séparé, avec sa propre clé et son propre état, n'accepte qu'une extension exacte de l'historique qu'il connaît déjà et renvoie un point de contrôle signé.
- Fraîcheur. Le vérificateur refuse un ancien point de contrôle, même correctement signé, s'il ne correspond pas à l'état courant du témoin.
- Réconciliation. Chaque admission doit aboutir à un état terminal explicite : succès, refus, erreur, annulation ou remplacement. Sinon, elle reste visible comme non résolue.
- Capture avant libération. Certaines sorties (résultats de modèles, résultats d'outils, sorties affichées, réponses HTTP) sont enregistrées et acquittées avant d'être transmises.
- Export et vérification. Le dossier exporté contient l'historique ordonné et un inventaire signé. Le vérificateur reçoit les clés de confiance et le périmètre attendu séparément.
Les trois verdicts
| Verdict | Signification |
|---|---|
| VERIFIED | Inventaire, contenus et état courant du témoin concordent ; aucune exécution requise n'est restée sans état final |
| INCOMPLETE | La fraîcheur ou la réconciliation manque, ou une opération admise reste ouverte |
| FAILED | Échec de signature, de périmètre, de séquence, d'empreinte, de fraîcheur ou d'inventaire |
Ces verdicts sont des états de vérification technique, pas des labels réglementaires.
Ce qui a été testé
- Deux lots synthétiques de 10 puis 100 recommandations, chacun soumis à 11 scénarios prédéfinis.
- Sur les 22 observations enregistrées, chaque verdict observé correspond au verdict attendu.
- Une suite ciblée de 67 tests : 24 hérités du travail initial, 43 ajoutés pour la capture durable et le comportement du témoin.
- Les appels à des LLM externes ont été évités pour que les scénarios restent déterministes.
| Scénario | Verdict attendu |
|---|---|
| Point de contrôle courant intact | VERIFIED |
| Annulation réconciliée | VERIFIED |
| Témoin absent | INCOMPLETE |
| Admission interrompue | INCOMPLETE |
| Point de contrôle obsolète | FAILED |
| Ancien reçu présenté pour un nouveau défi | FAILED |
| Historique tronqué | FAILED |
| Admission réécrite | FAILED |
| Refus omis | FAILED |
| Signature d'export invalide | FAILED |
| Ancien dossier confronté à un état plus récent du témoin | FAILED |
Ces résultats montrent seulement que les attaques décrites sont détectées dans le périmètre testé.
Ce que ce travail ne démontre pas
- Une certification ou une conformité juridique.
- La vérité factuelle d'une source ou la justesse d'un modèle.
- L'adéquation métier d'une décision.
- L'efficacité d'une revue humaine, ni même qu'elle a eu lieu.
- La complétude en dehors des points de capture déclarés.
- L'indépendance opérationnelle du témoin : dans les expériences, il est séparé en processus et en clé, mais administré localement.
- Une protection contre la compromission simultanée du producteur et du témoin sans référence conservée à l'extérieur.
- Des performances (latence, débit) qualifiées à l'échelle de la production.
- Une reproduction par un tiers indépendant.
Lien avec l'AI Act
L'AI Act impose aux systèmes d'IA à haut risque une journalisation automatique des événements (article 12) et, aux fournisseurs comme aux déployeurs, la conservation des journaux sous leur contrôle pendant au moins six mois, sauf disposition contraire (articles 19 et 26, paragraphe 6). Source : règlement (UE) 2024/1689.
Ces exigences rendent utiles des historiques fiables. Elles ne prescrivent pas ce protocole, et un verdict VERIFIED n'est pas une preuve de conformité. Voir aussi : AI Act dès la conception.
Travaux en cours
- Faire administrer le témoin par une partie distincte, avec une garde de clés séparée.
- Conserver les points de contrôle à l'extérieur et renforcer les garanties contre les historiques divergents présentés à des auditeurs différents.
- Publier un pack de reproduction expurgé (vérificateur minimal, données synthétiques, verdicts attendus, clés publiques) et obtenir une reproduction externe.
- Mesurer latence, débit et croissance du stockage en mode de capture obligatoire.
- Formaliser la rotation et la révocation des clés.
Glossaire
- Admission : enregistrement d'une opération avant son exécution.
- Témoin : processus disposant de sa propre clé, qui atteste de l'état de l'historique qu'il connaît.
- Point de contrôle : attestation signée par le témoin, qui lie le périmètre, la séquence, la tête de l'historique, l'heure et le défi.
- État terminal : issue explicite d'une opération admise (succès, refus, erreur, annulation, remplacement).
- Réconciliation : vérification que chaque admission a un état terminal.
- Frontière instrumentée : point du système où la capture est effectivement en place.