Il faut un historique des décisions d’accès : qui a accordé chaque accès, qui l’a approuvé, et quand il a changé. Une capture d’écran des réglages prouve l’état d’aujourd’hui et rien de plus. C’est ce qu’enregistre une chaîne d’audit scellée, où chaque entrée est liée à la précédente : modifier une entrée passée casse le scellé des suivantes et se voit à la vérification.
Le jour où la question arrive
Le courriel de l’auditeur tient en une phrase : « merci de nous transmettre la liste des traitements où une IA accède aux données clients, avec les habilitations correspondantes et leur historique ». La demande paraît raisonnable, et elle l’est. C’est la réponse qui pose problème.
L’équipe y passe deux réunions. On fait le tour des outils, on ouvre les pages de réglages, on capture des écrans. Au bout du compte, le dossier contient une pile de captures qui prouvent l’état d’aujourd’hui et rien d’autre. Personne ne peut dire ce que l’IA avait le droit de lire il y a six mois, ni qui a accordé les accès actuels, ni qui les a validés. L’auditeur ne demande pourtant que cela.
Ce qu’un auditeur accepte comme preuve
Un auditeur ne cherche pas à vous croire. Son métier consiste à vérifier. Une déclaration sur l’honneur ne l’engage à rien, et une capture d’écran ne prouve que l’instant où elle a été prise. Ce qu’il accepte comme preuve, c’est un enregistrement qui porte trois choses : l’auteur de la décision, la personne qui l’a approuvée, et la date. Il doit aussi pouvoir s’assurer que cet enregistrement n’a pas été réécrit après coup, au moment où la question devenait gênante.
C’est exactement ce que fait une chaîne d’audit scellée. Chaque décision d’accès s’y écrit comme une entrée, et chaque entrée est liée à celle qui la précède. Modifier une entrée passée casse le scellé de toutes les suivantes, et la vérification le détecte. On ne demande plus à personne de croire l’historique, on le vérifie. Cette différence entre un réglage qui se croit sur parole et une décision qui se prouve est le cœur de la gouvernance du contexte.
D’où viennent ces enregistrements
Une chaîne d’audit n’a de valeur que si elle enregistre de vraies décisions. Chez Kastel, la mémoire de l’entreprise est gouvernée : chaque personne a un périmètre de lecture attaché à sa responsabilité, et une IA qui travaille pour quelqu’un ne lit que ce que cette personne a le droit de lire. Nous détaillons ce mécanisme dans qui a le droit de voir quoi quand une IA se branche.
Chaque modification de ce périmètre passe par une validation humaine avant de s’appliquer, et c’est cette décision, avec son auteur, son approbateur et sa date, qui s’écrit dans la chaîne. Le jour du courriel, la réponse existe déjà : elle a été enregistrée au moment où chaque accès a été accordé, modifié ou retiré. Vous n’avez rien à reconstituer, et surtout rien à reconstituer de mémoire.
Le dossier à l’échelle d’une organisation
Une chaîne d’audit locale répond pour un déploiement. Une organisation qui compte plusieurs déploiements, ou un compte régulé, doit répondre plus largement, et son dossier contient trois pièces de plus. L’audit consolidé rassemble les chaînes de plusieurs déploiements en une vue unique, celle que l’auditeur demande quand il audite l’organisation entière. Les attestations signées permettent de remettre un extrait dont l’origine se vérifie. L’ancrage externe dépose régulièrement l’empreinte de la chaîne hors de vos murs, ce qui permet à un tiers de vérifier l’historique sans avoir à vous croire, ni à nous croire.
Ce dossier-là relève du plan Enterprise. La gouvernance elle-même, avec le périmètre par responsabilité, la validation humaine et l’audit local scellé, fait partie du cœur gratuit et ne s’achète pas.
Vérifiez-le avant de nous en parler
Vous pouvez tester tout ce que cet article décrit sans nous demander la permission. Le cœur de Kastel s’installe gratuitement sur votre propre infrastructure, en ligne de commande et en MCP. Branchez vos propres clés d’IA, accordez un accès, modifiez-le, retirez-le, puis demandez l’historique : les trois décisions y figurent, avec leur auteur, leur approbateur et leur date. Exportez ensuite la totalité de votre contexte pour constater qu’il vous suit si vous partez.
La question de fond, celle de savoir où doit vivre la mémoire de votre entreprise, se règle d’ailleurs au même endroit : chez vous.