La conformité déclarative est morte… Vive la conformité exécutable, rejouable et prouvable

Ouvrez le registre des traitements d'un établissement de santé pris au hasard. Regardez la date de dernière mise à jour. Dans la plupart des cas, ce document — la pièce maîtresse de la conformité, la première demandée lors d'un contrôle — a été écrit une fois, souvent par un prestataire, souvent avant un audit, puis laissé là. Il était vrai le jour où on l'a écrit. Personne ne peut dire s'il l'est encore.

Ce n'est pas une négligence individuelle : c'est un modèle. Appelons-le par son nom — la conformité déclarative. On déclare des traitements, on déclare des mesures, on déclare des durées, et l'ensemble tient tant que personne ne vérifie. Or le RGPD n'a jamais demandé de déclarer : son article 5.2 exige d'être « en mesure de démontrer » le respect des principes, et son article 24 le répète pour le responsable de traitement. Le texte dit démontrer. Le marché a répondu : déclarer.

Ce modèle est en train de mourir. Pas parce qu'un éditeur l'a décrété — parce que trois forces le broient en même temps. Et ce qui va inéluctablement le remplacer a trois propriétés qui se nomment : une conformité exécutable, rejouable et prouvable.

Le déclaratif classique : vrai un jour, invérifiable ensuite

La conformité déclarative classique vit dans des documents inertes : un registre dans un tableur, des politiques dans un dossier partagé, une analyse d'impact rédigée pour un projet il y a trois ans. Chaque document est une photographie — et une photographie ne se met pas à jour quand la réalité change. Un nouveau logiciel arrive, un sous-traitant change, une finalité s'ajoute : le papier, lui, n'a pas bougé.

Faites le test dans votre structure. Qui se souvient de l'engagement de conformité à la méthodologie de référence signé sur le portail de la CNIL — quelle année, déjà ? Et surtout : quelles études couvre-t-il, sur quel périmètre, à quelles conditions ? L'engagement existe, quelque part. Ce qu'il engage, plus personne ne le sait. Qui peut dire si l'AIPD de la téléconsultation, écrite dans l'urgence de 2020, décrit encore l'outil réellement utilisé aujourd'hui ? Lequel de ces fichiers fait foi : « registre_v2 », « registre_v2_final », ou la copie que le prestataire avait modifiée ? Et le logiciel que le service qualité a déployé au printemps — quelqu'un a-t-il pensé à prévenir le DPO ?

Le problème n'est pas la paresse, c'est l'architecture. Quand la conformité est une pile de déclarations, la tenir à jour exige de se souvenir de tout, tout le temps. Personne n'y arrive. Et face à un contrôle, chaque pièce doit être défendue de mémoire : pourquoi cette base légale ? pourquoi cette durée ? qui a validé ceci, et quand ? Le déclaratif transforme le contrôle en interrogation surprise — nous avons décrit ce que demande concrètement un contrôleur dans notre guide de préparation, et l'écart entre ce qui est demandé et ce que le déclaratif sait produire est exactement l'espace où naissent les sanctions que nous recensons dans la santé.

La fausse modernité : le déclaratif à la vitesse machine

Le marché des logiciels de conformité a bien vu le problème. Sa réponse, depuis deux ans, tient en deux sigles : IA générative et RAG. Décrivez votre traitement en une phrase, et une fiche de registre complète apparaît. Faites lire la doctrine officielle au modèle, et il « fonde » ses réponses sur les textes. Des éditeurs promettent l'essentiel d'un registre en quelques minutes, et certains apposent désormais sur les fiches un bandeau « générée par IA » — assorti, en petits caractères, d'une clause déclinant toute responsabilité sur la qualité du résultat.

Il faut mesurer ce que cette clause signifie : l'outil rédige ce qui engage votre responsabilité, et vous laisse le risque. Nous avons fait le test sur un cas de santé réel — une recherche clinique sous méthodologie de référence : l'IA a proposé une base légale discutable, ajouté des catégories de données jamais mentionnées, et conclu qu'aucune analyse d'impact n'était requise là où l'article 35 en exige très probablement une. Le tout avec assurance, en quelques secondes.

Ce n'est pas un accident d'implémentation, c'est la nature de l'outil : un modèle de langage produit la réponse la plus plausible, pas la réponse dérivée du droit. Le RAG n'y change rien — citer ses sources ne rend pas un calcul reproductible, et un modèle souverain hébergé en Europe reste un modèle probabiliste. La génération automatique de déclarations n'est pas la fin du modèle déclaratif : c'en est l'accélération. Plus de fiches, plus vite, toujours invérifiables — du déclaratif à la vitesse machine.

Pourquoi ça craque maintenant

Trois forces convergent. La première est réglementaire : aux obligations du RGPD s'ajoutent l'AI Act — dont l'obligation de formation de l'article 4 s'applique depuis février 2025 —, la certification des hébergeurs de données de santé, NIS2 pour la cybersécurité. Chaque couche multiplie les points où une déclaration peut être fausse sans que personne ne le voie.

La deuxième est le contrôle : les autorités ne se contentent plus de vérifier qu'un document existe — elles regardent s'il correspond à la réalité, si les durées sont appliquées, si les violations ont été documentées dans les délais. Une pile de déclarations bien mises en forme ne répond à aucune de ces questions.

La troisième est la plus silencieuse : la charge de la preuve s'est déplacée vers le quotidien. Due diligence d'un investisseur, questionnaire de l'assureur cyber, audit d'une tutelle, convention avec un GHT, dossier d'accès aux données pour un projet d'étude : on vous demande, plusieurs fois par an, de prouver — pas de promettre. Le modèle déclaratif n'a tout simplement pas été conçu pour ça.

Le nouveau standard : exécutable, rejouable, prouvable

À quoi ressemble l'alternative ? Elle n'a pas besoin d'être inventée : il suffit de prendre l'article 5.2 au pied de la lettre. « Être en mesure de démontrer » impose trois exigences précises — à n'importe quel système, quel que soit son éditeur.

1. 1EXÉCUTABLE — la conformité ne doit plus être décrite, mais calculée. Le droit applicable (RGPD, référentiels CNIL, exigences d'hébergement de données de santé, AI Act, cadres de la recherche) s'encode en règles écrites et sourcées ; on décrit le traitement par des faits, et le régime juridique en est dérivé — avec les règles activées affichées une à une, et leur fondement. Personne ne « devine » : le calcul montre son travail.
2. 2REJOUABLE — mêmes faits, même résultat, aujourd'hui, dans six mois, devant un auditeur. Un contrôleur doit pouvoir reconstituer ce qui était vrai à une date donnée ; et quand un fait change, la qualification doit être revue : la conformité cesse d'être une photographie pour devenir un état vivant.
3. 3PROUVABLE — la preuve doit pouvoir être examinée par un tiers — auditeur, avocat, tutelle — sans dépendre de la bonne foi de celui qui l'a produite. Une preuve qui ne se vérifie que chez son émetteur n'est pas une preuve : c'est une pièce jointe.

Remarquez ce que cette définition ne contient pas : aucun « score de conformité » en pourcentage, aucune promesse de conformité garantie. Le déterminisme garantit la reproductibilité du calcul, pas l'infaillibilité juridique — c'est pourquoi les règles sont sourcées, et pourquoi la décision reste, mécaniquement, l'acte du délégué à la protection des données.

Et que l'on se rassure : ce standard ne condamne pas l'IA. Rien n'empêche de l'utiliser là où elle excelle — en amont, pour dégrossir un brouillon, résumer un document, préparer un entretien. Ce qui ne fonctionne pas, c'est de lui déléguer la conformité elle-même : demander une démonstration à un système probabiliste — qui décline par écrit la responsabilité de ses réponses — est une contradiction dans les termes. C'est pour cela que le modèle déterministe — celui où le régime juridique est calculé par des règles écrites, pas estimé par un modèle probabiliste — finira par s'imposer dans la conformité : pas par idéologie, par nécessité logique. Et l'argument de la vitesse ne sauvera pas l'ancien monde : un calcul de règles rend son verdict en quelques secondes, lui aussi — à la différence près que son résultat se rejoue et se démontre.

Ce standard n'est pas une utopie de juriste : c'est le modèle que nous avons choisi. Les outils avec lesquels notre cabinet travaille sont développés par NELSE, une deeptech française d'ingénierie normative dont c'est précisément le métier : rendre le droit exécutable — encodé en règles sourcées, testables, versionnées — plutôt que déclaré. Nous y revenons en fin d'article.

Déclaratif contre exécutable : la même journée, deux mondes

La différence se voit mieux sur les gestes du quotidien que dans les principes :

Les objections, prises au sérieux

« L'IA générative nous fait gagner un temps précieux. » — C'est vrai, et personne de sérieux ne propose de s'en passer partout. La question n'est pas l'IA : c'est sa place. En amont, pour préparer un brouillon que l'humain reprend, elle rend service. Dans le chemin de la décision — qualifier un régime, écarter une analyse d'impact, choisir une base légale —, elle fait porter un risque juridique à celui qui l'utilise, comme le disent les clauses de non-responsabilité de ses propres éditeurs.

« Personne ne vérifie nos documents de toute façon. » — C'était l'hypothèse de survie du modèle déclaratif, et elle expire : contrôles thématiques, tutelles, assureurs, acheteurs publics et privés vérifient de plus en plus. Et il suffit d'un contrôle, d'un contentieux ou d'une due diligence pour que des années de déclarations jamais revérifiées deviennent un passif.

« C'est forcément plus lourd. » — C'est l'inverse qui est vrai. Décrire des faits et laisser le calcul dériver le droit est plus rapide que rédiger des analyses — et surtout, cela ne se refait pas à chaque changement : l'état se maintient. Ce qui est lourd, c'est de reconstruire un registre déclaratif la veille d'un contrôle.

Pour la santé, ce n'est pas un débat théorique

Le secteur de la santé cumule tout ce qui rend le déclaratif intenable : des données interdites de traitement par principe (article 9), des personnes vulnérables, des obligations sectorielles empilées — méthodologies de référence, hébergement certifié, recherche encadrée —, et des structures (CPTS, EHPAD, cliniques, éditeurs) qui n'ont ni juriste à demeure ni le temps de défendre des documents de mémoire. C'est précisément là qu'une conformité calculée, vérifiable et vivante change le quotidien. La tutelle demande le registre un mardi matin : le dossier part dans la journée, et celui qui le reçoit peut le vérifier lui-même. Un investigateur demande si son étude tient dans la méthodologie de référence : la réponse se lit sur la fiche, critère par critère, au lieu de déclencher une archéologie documentaire. Le conseil d'administration veut un état des lieux : le rapport est généré depuis les données réelles — ce qui est fait, ce qui manque, qui doit agir. Aucune de ces scènes n'est spectaculaire. C'est simplement une journée qui se passe bien.

On l'a dit plus haut : ce modèle est le nôtre, avec les outils développés par NELSE, notre partenaire technologique. Et c'est dans la santé que son apport est le plus net — parce que c'est ici que le déclaratif coûte le plus cher.

La conformité déclarative aura duré tant que personne ne demandait de preuves. Ce temps-là se termine. Vous pouvez en juger sur pièce en cinq minutes : notre simulateur de contrôle vous pose les douze demandes types d'un contrôleur — et vous dit ce que votre conformité actuelle saurait, ou non, remettre en séance.