Neuf maillons. Un tiers, DPO, magistrat ou conseil, les vérifie sans LexLabs, sans réseau, dans dix ans. Et nous publions ce que la preuve ne prouve pas encore.
Ce qui est produit, ce que cela prouve, et comment quelqu'un d'autre que nous le vérifie.
| Maillon | Ce qui est produit | Ce qu'il prouve | Comment un tiers le vérifie |
|---|---|---|---|
| 1 · Zéro réseau attestépar le système d'exploitation | Témoin permanent « Réseau : 0 connexion », relevé système (lsof sur macOS, Get-NetTCPConnection sur Windows), kill-switch : toute requête non locale est annulée, le moteur refuse toute connexion sortante et consigne chaque refus au journal scellé. | Que rien ne sort du poste pendant l'usage. | Copie la commande exacte affichée par le témoin et l'exécute ; variantes : Wi-Fi coupé, pare-feu en « tout refuser ». |
| 2 · Scelléscoffre de correspondance | Table chiffrée Argon2id + XChaCha20-Poly1305, mot de passe dédié par table, second facteur FIDO2 matériel optionnel (deux couches, deux clés). | La séparation de l'information additionnelle exigée par l'EDPB ; un mot de passe volé n'ouvre rien seul. | Descripteurs du second facteur sous données authentifiées : tout retrait ou rétrogradation est détectable. |
| 3 · Audit signéEd25519 | Un fichier .audit.json par export : identité de l'opérateur, version, entités, k-anonymat, nature de la sortie (« pseudonymisée »), avertissement pseudonyme. | L'imputation : qui a fait quoi, avec quelle version, sans altération possible. | Vérificateur autonome ; empreinte de clé à confirmer hors bande, comme pour PGP ou SSH. |
| 4 · Journal scelléchaîné SHA-256 | JSONL canonique, hachage chaîné, numérotation strictement croissante, signé par opérateur, horodatage UTC, cycle ancré pour rendre un reset détectable. | L'ordre et l'intégrité de toutes les actions sensibles ; un score de conformité ne peut pas être falsifié après coup. | Vérification de chaîne en une commande ; tout trou ou réordonnancement est visible. |
| 5 · Co-signatureprincipe des quatre yeux | Un second opérateur ajoute sa signature à un audit existant ; l'original n'est jamais réécrit. | La double validation en cabinet ou en cellule médicale ; le vol d'une seule clé est insuffisant. | Le vérificateur affiche un encart par signataire ; une signature invalide invalide le tout. |
| 6 · Horodatage qualifiéeIDAS art. 42 | Requête RFC 3161 sur l'ancre du journal, jeton d'un prestataire qualifié, mode hors bande par défaut, mode connecté opt-in limité à un hôte et journalisé. | La présomption légale d'exactitude de la date : le journal existait dans cet état à l'instant T. | Empreinte du jeton et présence de l'ancre contrôlées par le vérificateur ; signature CMS vérifiable avec les outils du prestataire. |
| 7 · Vérificateur tiershors ligne | Un seul fichier HTML livré avec chaque export ; aucune requête, aucune dépendance à lexlabs.fr, aucune persistance. | Signature valide, document reçu conforme, identité du signataire, détails de l'opération, horodatage. | Double-clic, dépôt de l'audit et du document final, dans tout navigateur, « dans dix ans même si LexLabs n'existe plus ». |
| 8 · Risque mesurépas déclaré | k calculé contre la population réelle INSEE (table signée), registre de quasi-identifiants à l'échelle du dossier, généralisation rétroactive, comptage des attributs art. 9. | Le critère de singularisation de l'EDPB, avec honnêteté sur ce que le k ne couvre pas. | Valeurs de k et périmètre de composition dans l'audit signé ; avertissement explicite « pseudonymisé ». |
| 9 · Journal de passage IAsessions douane | Pièces transmises sous noms neutres, échanges consignés, livrables restaurés sous supervision ; deux niveaux : fait constaté par la douane / déclaré par l'IA ; export PDF signé. | Ce qui a réellement franchi la frontière, dans quel sens, quand. | Journal scellé + audit ; badge « Déclaré par l'IA » sur ce que la douane n'a pas pu constater. |
Le zéro réseau n'est pas une promesse : c'est un fait que vous constatez vous-même, en séance, en trois variantes.
Le témoin « Réseau : 0 connexion » affiche la commande système exacte qu'il exécute. Copiez-la, lancez-la dans un terminal, comparez.
lsof -i -a -p <pid> · Get-NetTCPConnection -OwningProcess <pid>
Pourquoi local, le témoin en détail →Coupez le réseau, ouvrez le dossier, pseudonymisez, exportez, vérifiez l'audit. Tout fonctionne : rien ne dépend d'un serveur.
IA : mode d'emploi →Bloquez toute connexion sortante de l'application : aucune alerte, aucune dégradation. Chaque refus tenté par le moteur serait consigné au journal scellé.
Page protocole avec capture réseau et empreintes des installeurs : à venirLe vérificateur est livré avec chaque export. Il tient dans un fichier et n'a besoin de rien d'autre.
Double-clic sur lexlabs-verifier.html. Il s'ouvre dans n'importe quel navigateur, sans connexion.
Le fichier .audit.json et le document final reçu. Rien ne quitte votre navigateur.
Signature valide ou non, document conforme ou non, signataires, opération, horodatage, k mesuré.
Vérificateur en ligne (téléchargement pour le mode avion depuis la page) · audit d'exemple et guide DPO : à venirLe moteur JUNAO est mesuré chaque nuit sur six pays par nos bancs automatiques. Voici l'indice de couverture par langue et par palier.
| Langue · régime | Palier généraliste | Palier quasi-identifiants | Palier santé |
|---|---|---|---|
| Français | 0,954 | 0,955 | 0,936 |
| Allemand | 0,984 | 0,990 | 0,990 |
| Italien | 0,983 | 0,990 | 0,990 |
| Espagnol | 0,977 | 0,983 | 0,983 |
| Anglais · États-Unis | 0,965 | 0,960 | 0,960 |
| Anglais · Royaume-Uni | 0,961 | 0,932 | 0,932 |
La crédibilité d'une preuve tient à ses limites publiées. Les voici, avant qu'un prospect ne les découvre.
Mêmes pseudonymes sur toutes les pièces d'un dossier, rôles métier, k mesuré à l'échelle du dossier : le Mode 3.
Les brevets →Pseudonymiser un extrait en une seconde avec un flash de contrôle, sans que rien ne sorte de la machine : PseudoExpress.
Les brevets →Journal lisible, journal scellé, journal de passage IA : ce qui est consigné, et comment le lire.
Journaux →Un score EDPB en continu, signé, qui ne peut pas être falsifié après coup.
Score de conformité →Le risque de ré-identification mesuré contre la population réelle, à l'échelle du dossier.
k-anonymat →RGPD, EDPB 01/2025, AI Act, secret professionnel : la conformité par construction.
Conformité →Accès sur validation, réponse sous 48 h ouvrées.
Demander un accès