# Registre des sources primaires

Dernière vérification : **21 août 2026**. Le statut d’une source peut évoluer. Ouvrir la source primaire et vérifier sa version avant de prendre une décision.

Le playbook résume et relie ces ressources ; il ne reproduit pas le contenu protégé des normes.

## Gouvernance, cycle de vie et risque

- [ISO/IEC 42001:2023 — AI management systems](https://www.iso.org/standard/42001) — publiée ; système de management IA.
- [ISO/IEC 5338:2023 — AI system life cycle processes](https://www.iso.org/standard/81118.html) — publiée ; processus de cycle de vie.
- [ISO/IEC 23894:2023 — Guidance on AI risk management](https://www.iso.org/standard/77304.html) — publiée ; gestion du risque IA.
- [ISO/IEC JTC 1/SC 42 catalogue](https://www.iso.org/committee/6794475/x/catalogue/) — série 5259 sur la qualité des données, incluant gouvernance et travaux 2026.
- [NIST AI Risk Management Framework](https://www.nist.gov/itl/ai-risk-management-framework) — AI RMF 1.0 volontaire ; révision en cours au 18 août 2026.
- [NIST AI 600-1 — Generative AI Profile](https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf) — profil intersectoriel publié en 2024.
- [OCDE — Framework for the Classification of AI Systems](https://www.oecd.org/en/publications/oecd-framework-for-the-classification-of-ai-systems_cb6d9eca-en.html) — cinq dimensions pour décrire contexte, données, modèle, tâche et sortie ; cadre d’orientation, pas qualification juridique.

## Sécurité

- [OWASP Top 10 for LLM and GenAI](https://genai.owasp.org/llm-top-10/) — édition 2025 actuellement publiée.
- [OWASP Top 10 for Agentic Applications 2026](https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/) — risques propres aux agents et workflows autonomes ; orientation communautaire à adapter à l’architecture réelle.
- [NIST AI 100-2e2025 — Adversarial Machine Learning](https://csrc.nist.gov/pubs/ai/100/2/e2025/final) — taxonomie couvrant IA prédictive et générative, avec errata officiel à vérifier.
- [NIST AI 100-4 — Reducing Risks Posed by Synthetic Content](https://airc.nist.gov/technical-reports/) — méthodes et limites de détection, authentification, marquage et provenance des contenus synthétiques.
- [C2PA 2.4 — Content Credentials](https://spec.c2pa.org/specifications/specifications/2.4/specs/C2PA_Specification.html) — spécification technique de provenance ; ne prouve pas à elle seule l’authenticité du contenu ni la conformité juridique.
- [MITRE ATLAS](https://atlas.mitre.org/) — base vivante de tactiques, techniques, mitigations et cas concernant l’IA prédictive, générative et agentique.

## Droit et politiques publiques

### Suisse

- [PFPDT — IA et protection des données](https://www.edoeb.admin.ch/en/ai-and-data-protection) — la LPD s’applique directement aux traitements assistés par IA.
- [PFPDT — obligation d’informer](https://www.edoeb.admin.ch/en/duty-to-provide-information) — information sur les traitements et droits liés aux décisions individuelles automatisées selon l’article 21 LPD, avec exceptions à qualifier.
- [PFPDT — déclaration commune sur les images générées par IA](https://www.edoeb.admin.ch/en/joint-statement-on-ai-generated-images) — orientation de 61 autorités sur images et vidéos réalistes de personnes identifiables ; ne remplace pas l’analyse du cas concret.
- [PFPDT — Analyse d’impact relative à la protection des données](https://www.edoeb.admin.ch/en/data-protection-impact-assessment) — requise si le traitement est susceptible d’engendrer un risque élevé.
- [PFPDT — Sous-traitance](https://www.edoeb.admin.ch/en/outsourcing-of-data-processing) — le responsable reste responsable et doit encadrer le sous-traitant.
- [Chancellerie fédérale — Réglementation de l’IA](https://www.bk.admin.ch/en/regulation) — projet à soumettre à consultation d’ici fin 2026 ; pas encore une loi générale en vigueur.

### Union européenne

- [Règlement (UE) 2024/1689 — AI Act, texte officiel](https://eur-lex.europa.eu/eli/reg/2024/1689/oj?locale=fr) — texte consolidé à vérifier avant qualification ; l’annexe III couvre notamment certains usages en éducation, crédit, assurance, services d’urgence et infrastructures critiques.
- [Commission européenne — AI Omnibus en vigueur](https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force) — 27 juillet 2026 ; échéances haut risque au 2 décembre 2027 et 2 août 2028.
- [Commission européenne — lignes directrices de transparence](https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems) — article 50 applicable depuis le 2 août 2026.
- [Commission européenne — fiche pratique article 50](https://digital-strategy.ec.europa.eu/en/factpages/quick-facts-transparency-rules-ai-systems) — synthèse officielle des obligations d’interaction et de contenu synthétique ; vérifier le texte et les exceptions avant qualification.
- [Commission européenne — questions-réponses sur la culture IA](https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers) — état post-Omnibus de l’article 4 et supervision 2026.
- [Commission européenne — clauses contractuelles types pour l’achat public de systèmes IA](https://public-buyers-community.ec.europa.eu/communities/procurement-ai/resources/updated-eu-ai-model-contractual-clauses) — modèles à adapter au contexte juridique et au marché.

## Extensions sectorielles — sources vérifiées le 19 août 2026

Ces sources servent à poser des questions et des gates. Elles ne transforment pas
le playbook en avis médical, juridique, prudentiel, pédagogique ou de sûreté.

### Santé

- [Swissmedic — questions fréquentes sur les dispositifs médicaux](https://www.swissmedic.ch/swissmedic/fr/home/dispositifs-medicaux/reglementation-des-dispositifs-medicaux/faq.html) — renvoie au document 2026 sur la qualification et la classification des logiciels médicaux.
- [Swissmedic — conditions-cadres pour l’IA dans le développement des médicaments](https://www.swissmedic.ch/swissmedic/en/home/humanarzneimittel/authorisations/artificiel-intelligence.html) — documentation complète, qualité, biais et suivi du cycle de vie ; page d’orientation, pas qualification d’un produit précis.
- [Commission européenne — MDCG 2025-6, articulation MDR/IVDR et AI Act](https://health.ec.europa.eu/latest-updates/mdcg-2025-6-faq-interplay-between-medical-devices-regulation-vitro-diagnostic-medical-devices-2025-06-19_en) — FAQ de juin 2025 ; document d’orientation non contraignant.
- [OMS — Regulatory considerations on artificial intelligence for health](https://www.who.int/publications/i/item/9789240078871) — considérations générales 2023, explicitement non exclusives et non assimilables à une réglementation locale.
- [OMS — gouvernance des grands modèles multimodaux en santé](https://www.who.int/publications/i/item/9789240084759) — recommandations de gouvernance et d’éthique publiées en 2025.

### Éducation

- [Commission européenne — lignes directrices 2026 sur l’usage éthique de l’IA et des données dans l’enseignement](https://education.ec.europa.eu/focus-topics/digital-education/actions/plan/ethical-guidelines-for-educators-on-using-artificial-intelligence) — orientation pratique pour les équipes éducatives ; ne remplace pas le droit national ou cantonal.
- [Educa — future politique d’utilisation des données dans la formation](https://www.educa.ch/fr/news/2025/future-politique-dutilisation-des-donnees-dans-la-formation) — rapport suisse 2025 et 51 mesures d’orientation ; sa mise en œuvre dépend des autorités compétentes.
- [Educa — analyse juridique de l’IA dans l’espace suisse de formation](https://www.educa.ch/de/taetigkeiten/abgeschlossene-projekte/entwicklung-einer-datennutzungspolitik/rechtliche) — souligne la nécessité de vérifier les bases légales scolaires, notamment cantonales.

### Finance

- [FINMA — communication 08/2024 sur la gouvernance et le risque IA](https://www.finma.ch/en/news/2024/12/20241218-mm-finma-am-08-24/) — attentes observées sur inventaire, classification, données, tests, suivi, documentation, explicabilité et revue indépendante.
- [FINMA — circulaire 2023/1, risques opérationnels et résilience des banques](https://www.finma.ch/en/news/2022/12/20221213-mm-anh-rs-op-risks/) — entrée en vigueur le 1er janvier 2024 avec dispositions transitoires ; vérifier l’applicabilité à l’établissement.
- [Règlement (UE) 2022/2554 — DORA](https://eur-lex.europa.eu/eli/reg/2022/2554/oj) — résilience opérationnelle numérique du secteur financier ; vérifier rôle, entité, activité et textes délégués applicables.

### Infrastructures critiques

- [OFCS — obligation suisse d’annoncer les cyberattaques](https://www.ncsc.admin.ch/ncsc/de/home/meldepflicht/meldepflicht-info.html) — en vigueur depuis le 1er avril 2025 pour les entités assujetties, annonce dans les 24 heures après découverte.
- [Directive (UE) 2022/2555 — NIS2](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) — mesures de gestion du risque cyber et notification ; vérifier la transposition nationale et le champ de l’entité.
- [Directive (UE) 2022/2557 — résilience des entités critiques](https://eur-lex.europa.eu/eli/dir/2022/2557/oj) — approche tous risques, continuité des services essentiels et dépendances intersectorielles ; vérifier la transposition nationale.

### Accessibilité et droits fondamentaux

- [W3C — Web Content Accessibility Guidelines 2.2](https://www.w3.org/TR/WCAG22/) — recommandation technique ; l’atteinte d’un niveau exige le respect de l’ensemble des critères concernés sur les pages complètes.
- [eCH-0059 v3.0 — norme suisse d’accessibilité](https://ech.ch/sites/default/files/dosvers/hauptdokument/STAN_f_DEF_2020-05-19_eCH-0059_V3.0_Accessibility%20Standard.pdf) — référence WCAG 2.1 AA pour son périmètre ; vérifier les exigences réellement applicables à l’organisation.
- [AI Act — article 27, analyse d’impact sur les droits fondamentaux](https://eur-lex.europa.eu/eli/reg/2024/1689/oj?locale=fr) — obligation ciblée pour certains déployeurs et systèmes à haut risque ; le modèle du dépôt peut aussi être utilisé volontairement sans conclure à l’applicabilité légale.

## Cas publiés et preuves de terrain

- [Preuves de temps de tâche et règles de transfert](../docs/task-time-evidence.fr.md) : registre versionné, niveaux A à E, calcul du temps humain net et blocage des estimations non transférables. [English version](../docs/task-time-evidence.md).
- [Revue approfondie des preuves publiques 2026](field-evidence-review-2026.fr.md) : 20 études et déploiements classés par force de preuve, mode de travail, résultat mesuré et limite de transfert. [English version](field-evidence-review-2026.md).
- [Support client assisté par IA dans une petite structure](tpe-customer-support-cases.fr.md) : cas RIS, études de terrain QJE/NBER, cas industriel maritime et limites de transfert vers le scénario TPE.
- [Travail intellectuel d’un indépendant assisté par IA](independent-knowledge-work-cases.fr.md) — expériences sur le conseil et l’écriture professionnelle, enquête OCDE sur les PME et limites de transfert vers le pilote individuel.
- [Copilote, agent métier et agence orchestrée](agentic-integration-levels.fr.md) : définitions opérationnelles, ancrages de terrain, anciennes plages requalifiées en hypothèses et protocole de mesure pour une agence multi-agents.
- [Du copilote à l’agent métier A2](../examples/fr/independant-agent-metier-suivi.md) — cas synthétique comparatif, workflow connecté, permissions, tests d’idempotence, résultats et gate vers A3.
- [Agence orchestrée A3 pour un diagnostic standard](../examples/fr/independant-agence-orchestree-diagnostic.md) — benchmark manuel/A1/A2/A3, rôles spécialisés, contrôle partagé, dénominateur complet et frontière explicite avec A4 et Talos/Hermes.

## Règle de citation du dépôt

Pour toute affirmation susceptible de changer :

1. lier la page officielle la plus précise ;
2. indiquer la date de vérification ;
3. distinguer texte en vigueur, proposition, recommandation et choix interne ;
4. ne jamais promouvoir une consultation, un projet ou une norme en développement au rang d’obligation en vigueur.

Le [référentiel de contrôles](../controls/README.md) conserve en complément une
version et une date de vérification par source. Ces relations sont thématiques :
elles ne constituent ni une équivalence article par article, ni une preuve de
certification ou de conformité.

- [Cas récents et mécanismes transférables](recent-implementation-cases.fr.md): sources ajoutées le 5 septembre 2026, avec nature du résultat et limites explicites.