Une IA gouvernée pour les institutions arméniennes,
conçue pour l'éditeur de logiciels, la mine, la banque et le ministère

Le problème du sous-traitant : une trace d'audit qui satisfait le régulateur d'un autre

L'Arménie possède un secteur du logiciel et des services informatiques exceptionnellement important au regard de la taille de son économie, travaillant pour l'essentiel pour des clients d'Amérique du Nord et d'Europe -- ingénierie produit, exploitation de plateformes, traitement de données, conception embarquée et de semi-conducteurs, et de plus en plus la construction et l'exploitation de fonctionnalités d'IA à l'intérieur du produit d'un autre. Dans ce montage, l'obligation réglementaire pèse généralement sur le client. Un client européen porte ses propres obligations de protection des données ; un client américain porte des règles sectorielles dans la santé, la finance ou les chaînes d'approvisionnement sensibles ; un acquéreur porte des obligations de diligence envers son conseil d'administration et son propre régulateur. Le prestataire arménien est fréquemment le sous-traitant plutôt que le responsable de traitement, et c'est le contrat, non la loi, qui transmet le devoir.

Cela renverse la finalité de la preuve. Le prestataire ne prouve pas d'abord sa conformité à un inspecteur arménien : il produit l'enregistrement que son client remettra à un régulateur, à un auditeur externe, à un questionnaire de sécurité ou à un acheteur en phase de diligence. KriftAI fait passer chaque étape assistée par IA par un point de passage gouverné unique : l'entrée est validée avant l'exécution du modèle, au regard des règles du client sur ce qui peut être transmis et ce qui doit être caviardé ou refusé ; la sortie est validée au regard de ces mêmes règles avant d'atteindre un développeur, un ticket ou un système de production ; une ligne immuable est écrite au registre pour chaque appel -- acteur, action, entrées, sorties, version du modèle, version de la politique et verdict ; et tout ce que les règles ne tranchent pas est escaladé vers une personne nommée au lieu de se poursuivre. Le cloisonnement des politiques par client empêche les données et les règles d'un client d'en toucher un autre, et l'export du registre est un artefact défendable plutôt qu'une reconstitution assemblée la semaine précédant l'audit.

Cuivre, molybdène et or : enregistrements de production, d'environnement et de revenus

L'exploitation minière est l'autre pilier de l'exportation arménienne, avec le cuivre et le molybdène du sud autour de Kajaran et de Kapan dans le Syunik, le cuivre du nord autour d'Alaverdi et de la ceinture du Lori, et l'or parmi les métaux extraits et traités. Chaque fait commercialement significatif relatif à une mine est une affirmation que quelqu'un d'extérieur finira par éprouver : teneurs et résultats d'analyse, tonnage et humidité des concentrés, poids des expéditions, surveillance des rejets d'eau et de la qualité de l'air, instrumentation des parcs à résidus, ainsi que les enregistrements de redevances, d'exportation et de fiscalité qui suivent le métal hors du pays.

Ces enregistrements sont lus par les administrations minière et environnementale, par les acheteurs et leurs analystes indépendants, par les prêteurs et leurs conseils techniques, et par les acquéreurs en aval qui appliquent leur propre devoir de diligence sur la chaîne d'approvisionnement. Là où l'IA assiste la réconciliation de séries d'analyses, la classification de données géologiques, la surveillance de l'instrumentation des résidus et de la qualité de l'eau, la prévision du débit ou la rédaction de dossiers réglementaires et environnementaux, la plateforme valide l'entrée avant l'exécution du modèle, valide ce qui revient au regard des règles propres à l'exploitation, et écrit une ligne immuable pour chaque appel. L'accès délimité par rôle permet à l'exploitant, au régulateur environnemental, au conseil du prêteur et à l'auditeur de l'acheteur de voir exactement ce que leur mandat autorise, et rien de plus. Une mesure qui ne peut être rattachée à son échantillon, à son instrument et à son instant n'est pas une mesure sur laquelle un prêteur ou un régulateur peut s'appuyer, et une obligation de surveillance qui survit à un permis exige des enregistrements qui lui survivent aussi.

La Banque centrale d'Arménie, les paiements et les corridors de la diaspora

La Banque centrale d'Arménie supervise le secteur financier et s'est montrée active en matière de paiements et de réglementation des fintechs, ce qui place banques, prestataires de services de paiement et nouveaux entrants dans un même périmètre prudentiel. S'y ajoute un ensemble de contreparties que personne à Erevan ne supervise : banques correspondantes à l'étranger, réseaux de cartes et fonctions de conformité des établissements situés de l'autre côté de chaque transfert de la diaspora et de chaque investissement entrant. Une vaste diaspora mondiale entretient ces flux, et les corridors ne restent ouverts que tant que la trace de LCB-FT et de filtrage des sanctions du côté arménien est acceptable pour un correspondant étranger.

Le filtrage LCB-FT et sanctions, la surveillance des transactions, la connaissance du client et le travail sur les bénéficiaires effectifs, les modèles de crédit et de risque ainsi que les états prudentiels passent tous par un point de passage gouverné unique, produisant une preuve dans une forme qu'un superviseur national et un correspondant étranger acceptent l'un et l'autre sans exercice de traduction ultérieur. Le filtrage est appliqué et non consultatif : une correspondance bloque l'appel, une dérogation est escaladée vers une personne nommée, et la décision de dérogation est elle-même écrite au registre avec son motif et son auteur. Lorsqu'un modèle contribue à une décision portant sur un compte, un paiement ou une relation client, l'enregistrement montre quelle version de modèle et quelle version de politique ont produit la recommandation et qui l'a acceptée. Produire la preuve une fois, au moment de l'appel, et laisser un superviseur, un correspondant et un auditeur interne lire la même chose.

La protection des données personnelles en droit arménien et les instruments du Conseil de l'Europe

L'Arménie dispose d'une législation sur la protection des données personnelles, surveillée par une autorité fonctionnant auprès du ministère de la Justice, et elle est partie à des instruments du Conseil de l'Europe en matière de protection des données. Ce cadre établit des devoirs relatifs à la base légale, à la limitation des finalités, à la proportionnalité du traitement, aux droits des personnes concernées et à la sécurité du traitement, et il s'applique aux organisations arméniennes pour elles-mêmes -- pas seulement lorsqu'un client étranger pose la question. Savoir si un dispositif donné satisfait aux exigences d'une autre juridiction relève des autorités compétentes de cette juridiction, et cela ne saurait être affirmé par un fournisseur de technologie.

Ce qu'une plateforme peut faire, c'est rendre ces devoirs applicables au moment de l'appel plutôt qu'au moment du document de politique. La minimisation est appliquée à la capture, de sorte que les champs inutiles à la finalité ne sont pas transmis à un modèle. L'accès délimité par rôle limite ce que chaque personne et chaque service peuvent obtenir. Des modes de journalisation du contenu conservent une empreinte vérifiable plutôt que le contenu lui-même lorsque celui-ci est sensible. La suppression certifiée produit un certificat infalsifiable lorsque des données doivent réellement disparaître, y compris du chemin d'audit qui, autrement, les conserverait. Chaque accès est enregistré -- qui a consulté, quand et en vertu de quelle autorisation -- et toute sortie affectant les droits ou les prestations d'une personne est escaladée vers un être humain avant de produire effet. L'organisation porte l'obligation ; une meilleure preuve est ce qui rend cette charge praticable.

Deux références à la fois : l'UEEA et l'accord de partenariat avec l'Union européenne

L'Arménie est membre de l'Union économique eurasiatique, ce qui emporte des dispositifs communs de douane et de réglementation technique avec les autres États membres, et elle dispose également d'un accord de partenariat global et renforcé avec l'Union européenne couvrant le commerce, la coopération réglementaire et l'alignement normatif dans plusieurs secteurs. Pour un exportateur, un sous-traitant ou une banque, la conséquence pratique est que le même produit, la même expédition ou le même jeu de données peut devoir être décrit à deux publics réglementaires qui ne partagent ni vocabulaire, ni nomenclature, ni attente probatoire.

C'est d'abord un problème d'enregistrements avant d'être un problème de politique. Documentation de conformité, classement douanier, certificats d'origine, dossiers techniques, déclarations de produit et descriptions de traitement des données doivent tous être produits deux fois à partir d'une réalité unique, sans que les deux versions ne divergent. Là où l'IA assiste la classification, la rédaction documentaire, la traduction ou la réconciliation entre ces régimes, le point de passage gouverné s'applique à chaque étape : entrée validée, sortie validée au regard des règles propres à l'organisation pour le régime considéré, escalade vers une personne dès qu'un classement emporte des conséquences de droits, de tarif ou d'admissibilité, et une ligne immuable par appel. Lorsque le statut d'une règle évolue, ou qu'un engagement d'alignement a été convenu sans être encore transposé en droit national, la position honnête consiste à le dire et à conserver la trace de ce sur quoi on s'est effectivement appuyé au moment de la décision.

Monastères, musées et enregistrements de conservation

Le patrimoine monastique et archéologique arménien comprend des sites inscrits sur la Liste du patrimoine mondial de l'UNESCO -- les monastères de Haghpat et de Sanahin dans le Lori, le monastère de Guéghard et la haute vallée de l'Azat, ainsi que la cathédrale et les églises d'Etchmiadzine avec le site archéologique de Zvartnots. À leurs côtés se trouvent des collections muséales et de manuscrits, parmi lesquelles le Matenadaran à Erevan, dont les fonds sont à la fois une ressource de recherche et un objet de devoir de conservation. L'inscription et le statut de protection créent des obligations : suivi de l'état, enregistrements des interventions de conservation, autorisations pour les travaux dans et autour des sites protégés, et rapports périodiques.

La numérisation et le travail assisté par IA sur ces collections -- reconnaissance optique de caractères et reconnaissance d'écriture manuscrite sur les manuscrits, évaluation d'état à partir d'images, catalogage, traduction et attribution -- produisent des affirmations que chercheurs, conservateurs et organismes internationaux éprouveront longtemps après la fin du projet qui les a générées. La plateforme consigne, pour chaque étape assistée par IA, quel modèle et quels paramètres ont produit une transcription, une proposition de datation ou une classification d'état, garde la couche générée par machine distincte de l'assertion propre au conservateur, et escalade vers une personne dès qu'une détermination entrerait au catalogue comme un fait. Les dossiers de conservation et d'autorisation reçoivent le même traitement, de sorte qu'une décision prise sur un site protégé peut être reconstituée exactement telle qu'elle était plutôt que discutée de mémoire.

Déploiement sur site dans des installations arméniennes

L'application, l'inférence et la journalisation d'audit s'exécutent à l'intérieur de l'environnement de l'organisation -- un centre de données à Erevan, un centre de développement à Gyumri, un bureau de site minier dans le Syunik, l'infrastructure propre d'une banque, la salle serveurs d'un ministère. Les données ne quittent pas le périmètre pour être traitées, seule version de la résidence des données qui tienne réellement lorsque l'auditeur d'un client pose la question.

Fonctionnement isolé comme configuration prise en charge

Pour la charge de travail réglementée d'un client, des états prudentiels, des données personnelles régies par le droit arménien ou une collection détenue en dépôt, déployez sans aucune voie sortante. La plateforme n'appelle pas l'extérieur pour la télémétrie, la vérification de licence ou le routage des modèles : l'isolement complet est une configuration prise en charge et non dégradée.

Application hors ligne en terrain montagneux

La gouvernance ne s'interrompt pas quand la connectivité s'interrompt. Sur un site minier du Syunik, à une station de surveillance des montagnes du Lori, sur un site patrimonial en travaux de conservation ou lors d'une campagne de terrain dans le Tavush, la validation s'exécute toujours et le registre s'écrit toujours, et les enregistrements créés hors connexion se réconcilient proprement au retour du lien.

Cloisonnement par client et par juridiction

Une société servant plusieurs clients étrangers, ou un exportateur répondant à la fois aux références de l'UEEA et de l'Union européenne, doit tenir séparées les données d'un client et les règles d'un régime de celles d'un autre. Déployez de sorte que chaque cloison applique sa propre politique au même point de passage, avec un export d'audit délimité à un seul client ou à un seul régime plutôt qu'à tout ce que la plateforme a jamais vu.