Le vocabulaire de l’IA, du logiciel et des règles numériques européennes.

Logiciel qui s’appuie sur un modèle de langage pour planifier puis exécuter des actions en vue d’un objectif : consulter une fiche, compléter un formulaire, appeler une API. Il n’agit qu’avec les droits et les outils qu’on lui attribue, et chacune de ses actions peut être journalisée.

Architecture qui reprend du data lake le stockage objet bon marché et les formats ouverts de fichiers et de tables, et lui ajoute ce qu’offre un entrepôt de données : transactions, schémas, gestion des droits, requêtes SQL. Des formats de tables ouverts tels qu’Apache Iceberg ou Delta Lake rendent cette combinaison possible.

Contrôle structuré d’un système d’IA à l’aide d’un ensemble de questions ou de documents de référence et de critères fixés à l’avance : justesse, appui sur les sources, exhaustivité, capacité à s’abstenir. On évalue avant la mise en service, puis de nouveau dès que le modèle, le prompt ou les données changent.

Dispositifs qui encadrent un modèle de langage pour qu’il reste dans un périmètre défini : filtres sur ce qui entre et ce qui sort, sujets autorisés, données personnelles masquées, vérification des droits avant tout appel d’outil, validation humaine des actions lourdes de conséquences.

Le système cherche d’abord, dans des sources approuvées (procédures, règlements internes, dossiers, circulaires CSSF), les extraits utiles à la question. Le modèle de langage ne répond ensuite qu’à partir de ces extraits, en citant document et section. Les habilitations de l’utilisateur sont vérifiées pendant la recherche, pas après.

Modèle d’apprentissage profond nourri d’énormes corpus de textes pour deviner le mot qui suit. Il sait rédiger, résumer, trier ou extraire des informations en plusieurs langues, français, allemand et luxembourgeois compris. Il ne contient pas pour autant de faits fiables : s’il n’est pas relié à vos sources, il peut se tromper avec beaucoup d’aplomb.

Affirmation de l’IA, énoncée sans hésitation, que rien dans les sources ou dans les faits ne justifie. Quatre leviers la rendent plus rare, sans jamais l’éliminer : ancrer la réponse dans des documents retrouvés, exiger des citations, autoriser le système à reconnaître qu’il ignore la réponse, et suivre ce taux pendant l’évaluation.

On parle d’humain dans la boucle lorsqu’une personne contrôle, rectifie ou valide ce que propose l’IA avant que cela ne prenne effet. Le règlement sur l’IA l’exige pour les systèmes à haut risque : la supervision doit être réelle et assurée par quelqu’un qui a la compétence et le pouvoir d’intervenir.

Pratiques qui assurent la fiabilité en production des systèmes d’apprentissage automatique et des modèles de langage. On y trouve le versionnage des modèles, des prompts et des données, l’évaluation automatique, les pipelines de déploiement et la surveillance de la qualité, du coût et de la latence.

Ensemble de données traité comme un véritable produit. Il a un propriétaire désigné, une structure décrite, des mesures de qualité connues de tous, des droits d’accès explicites et un rythme d’actualisation convenu ; une autre équipe peut donc s’en servir sans enquêter sur sa fabrication.

Une recherche qui compare des significations et non des chaînes de caractères. Chaque texte devient un vecteur de nombres ; le système retient les extraits dont le vecteur ressemble à celui de la question. Elle va presque toujours de pair avec une recherche classique par mots-clés, indispensable pour un code, un nom propre ou un numéro d’article.

Technique qui lit des documents (formulaires, factures, certificats, courriers scannés), les range par type et en tire les données utiles, grâce à la reconnaissance de caractères, à l’analyse de la mise en page et aux modèles de langage. Chaque donnée lue porte un indice de confiance, et une personne contrôle celles qui restent sous le seuil.

On définit et on fait approuver l’interface d’un système avant d’écrire le code, en général sous la forme d’une spécification OpenAPI ou AsyncAPI. Partenaires, autres applications et interfaces utilisateur passent ensuite par ces API documentées et versionnées, jamais directement par la base de données.

Ici, chaque système annonce des événements, c’est-à-dire des faits tels que « demande reçue » ou « relevé validé », à un courtier de messages. Les systèmes intéressés les traitent quand ils le peuvent. Résultat : un système peut évoluer ou s’arrêter sans entraîner les autres dans sa chute.

Offre cloud où l’emplacement des données, l’exploitation du service et la juridiction applicable restent maîtrisés au niveau européen ou national. Il n’existe pas de définition unique : certains pays imposent des garanties explicites face aux lois extra-européennes. Dans nos projets luxembourgeois, l’attente la plus courante reste l’hébergement des données dans l’UE.

Trois normes IEC (61970, 61968 et 62325) qui forment un modèle de données partagé pour les réseaux électriques, leurs équipements et les échanges sur le marché. Grâce à elles, outils de planification, de conduite et de marché décrivent le réseau dans les mêmes termes.

Principe de sécurité selon lequel être sur le bon réseau ne donne droit à rien. Toute requête, d’un utilisateur, d’un appareil ou d’un service, est authentifiée et autorisée au cas par cas, en tenant compte de l’identité, de l’état de l’appareil et du contexte ; l’accès se borne au besoin de la tâche.

Dans l’industrie, schéma d’architecture où un courtier d’événements unique expose l’état actuel de l’usine, rangé par site, atelier, ligne et machine. Chaque système y publie ses données et s’abonne à celles des autres, au lieu de multiplier les liaisons point à point.

Standard ouvert de la maquette numérique du bâtiment (BIM), porté par buildingSMART et normalisé sous ISO 16739-1. Depuis IFC 4.3, il couvre également rail, routes, ports, voies d’eau et ponts : les données d’un ouvrage circulent ainsi de la conception au chantier puis à l’exploitation sans être ressaisies.

Copie numérique d’un actif, d’un processus ou d’un réseau, synchronisée avec les données de l’objet réel. On s’en sert pour suivre son état, simuler un changement avant de l’appliquer et préparer la maintenance. Sans données en temps réel, une maquette 3D n’en est pas un.

Socle cloud prêt avant la première application : organisation des comptes ou abonnements, gestion des identités, réseau, politiques, journaux et mesures de sécurité de base. Les projets suivants démarrent plus vite et les contrôles restent homogènes.

Approche de remplacement graduel d’une application historique. On place une façade devant elle, on transfère derrière cette façade une fonction après l’autre vers de nouveaux services, puis on éteint l’ancienne application quand elle ne reçoit plus aucun appel. Pas de grand saut unique, donc moins de risque.

Inventaire, lisible par une machine, de tout ce qui compose un logiciel, dépendances comprises, le plus souvent en SPDX ou CycloneDX. Lorsqu’une faille est publiée, il dit tout de suite si vous êtes touché. Le règlement sur la cyberrésilience oblige les fabricants à en tenir un pour chaque produit.

Plateforme hébergée dans le cloud pour construire et faire tourner des intégrations, qui réunit connecteurs prêts à l’emploi, correspondance des données, orchestration et supervision. SAP Integration Suite et MuleSoft en sont des exemples.

Directive qui oblige certains produits et services à être accessibles aux personnes en situation de handicap : commerce en ligne, banque de détail, livres numériques, sites, applications et billets électroniques des transports de voyageurs. Transposée dans chaque pays, elle s’applique depuis le 28 juin 2025 ; au Luxembourg, c’est la loi modifiée du 8 mars 2023, et l’OSAPS en surveille le respect.

Le centre informatique de l’État luxembourgeois, placé sous la tutelle du ministère de la Digitalisation. Il exploite l’informatique de l’administration ainsi que Guichet.lu et MyGuichet.lu.

L’autorité de surveillance des banques, des fonds d’investissement et des établissements de paiement au Luxembourg. Avec le Commissariat aux Assurances (CAA), compétent pour les assurances, elle est l’autorité compétente au titre de DORA ; les incidents TIC majeurs lui sont déclarés via son eDesk, selon la circulaire CSSF 25/893.

Obligation, fixée par la loi modifiée du 16 mai 2019, d’adresser aux pouvoirs adjudicateurs des factures électroniques structurées. Elle vaut pour tous les opérateurs économiques depuis le 18 mars 2023, quel que soit le montant (pour les grandes entreprises depuis le 18 mai 2022). Seuls Peppol et MyGuichet.lu sont admis, pas l’e-mail ; les formats acceptés comprennent Peppol BIS Billing 3.0 et XRechnung.

L’espace transfrontalier formé par le Luxembourg et les territoires voisins de France, de Belgique et d’Allemagne. De nombreux frontaliers en viennent chaque jour pour travailler au Grand-Duché : beaucoup de processus luxembourgeois (paie, ressources humaines, logistique, relation client) doivent donc fonctionner dans plusieurs pays et plusieurs langues.

Ensemble de normes internationales consacré à la sécurité des systèmes industriels d’automatisation et de contrôle. Un site y est découpé en zones reliées par des conduits, avec des niveaux de sécurité cibles et des rôles répartis entre exploitant, intégrateur et fournisseur.

Le régulateur luxembourgeois des communications électroniques, de l’énergie, des services postaux, du rail et de la navigation aérienne. La loi du 5 mai 2026 en fait l’autorité compétente NIS2 pour la plupart des secteurs ; il tient un portail d’enregistrement et un simulateur pour aider les entités à savoir si elles sont visées.

Référence internationale pour les systèmes de management de la sécurité de l’information. La certification atteste d’un dispositif audité pour repérer les risques, choisir des mesures adaptées et les faire progresser. FromNine est certifiée selon cette norme.

L’espace sécurisé de l’État luxembourgeois pour accomplir des démarches en ligne, complément du portail d’information Guichet.lu. On s’y connecte avec un produit LuxTrust, la carte d’identité électronique luxembourgeoise ou un moyen eIDAS notifié par un autre État de l’UE ou de l’EEE ; ce dernier ne permet pas de signer certaines démarches. MyGuichet.lu sert aussi de canal pour envoyer une facture électronique à un pouvoir adjudicateur.

Texte européen qui vise la cybersécurité des entités essentielles et importantes, par exemple dans l’énergie, les transports, la santé, les infrastructures numériques ou l’administration. Il exige une gestion des risques, une attention à la chaîne d’approvisionnement et des déclarations d’incident en deux temps : alerte sous 24 heures, notification sous 72 heures. Chaque pays le transpose ; au Luxembourg, c’est la loi du 5 mai 2026, et l’ILR est compétent pour la plupart des secteurs.

L’office qui surveille au Luxembourg l’application de la loi modifiée du 8 mars 2023, transposition de l’acte européen sur l’accessibilité. Depuis le 28 juin 2025, les produits et services concernés doivent être accessibles ; une période transitoire court jusqu’au 28 juin 2030 pour les produits déjà utilisés dans des services.

Réseau international, accompagné de spécifications, qui transporte des documents commerciaux structurés comme des factures ou des commandes entre points d’accès certifiés. Au Luxembourg, toute facture destinée à un pouvoir adjudicateur doit être électronique et structurée depuis le 18 mars 2023 et passer par Peppol ou MyGuichet.lu. La Belgique voisine exige de plus, depuis le 1er janvier 2026, la facture structurée entre entreprises, Peppol étant le canal par défaut.

Le portail national marches.public.lu, où les pouvoirs adjudicateurs publient leurs avis et cahiers des charges et reçoivent les offres. La communication électronique y est obligatoire pour les procédures des livres II et III de la loi du 8 avril 2018 sur les marchés publics depuis le 18 octobre 2018.

Prévu par la révision du règlement eIDAS, ce portefeuille sur téléphone permet de garder ses données d’identité et ses attestations (diplômes, permis), de ne transmettre que le strict nécessaire à un service et de signer. Chaque État membre en fournit au moins un, que de nombreux services publics et privés devront accepter.

Le Règlement général sur la protection des données s’applique depuis le 25 mai 2018. Il fixe des principes (finalité limitée, minimisation), accorde des droits aux personnes et impose des devoirs aux responsables du traitement comme aux sous-traitants, notamment une analyse d’impact lorsque le traitement présente un risque élevé. La CNPD veille à son respect au Luxembourg.

Règlement européen sur l’interopérabilité transfrontalière des services publics. Les organismes publics évaluent l’effet sur l’interopérabilité de tout service public numérique transeuropéen nouveau ou modifié, et peuvent partager et réutiliser des solutions d’interopérabilité via un portail commun.

Texte européen qui range les systèmes d’IA par niveau de risque. Il interdit certaines pratiques, impose aux systèmes à haut risque des exigences de qualité des données, de documentation, de supervision humaine et d’exactitude, et soumet d’autres systèmes à des devoirs de transparence. Calendrier, dans sa version modifiée en 2026 : interdictions depuis le 2 février 2025, transparence au 2 août 2026, obligations de l’annexe III au 2 décembre 2027. Au Luxembourg, le projet de loi n° 8476 doit en organiser la surveillance.

Ce règlement européen impose des règles de cybersécurité à tout produit, matériel ou logiciel, qui comporte des éléments numériques et est vendu dans l’UE. Le fabricant doit traiter les failles pendant toute la période de support ; à partir du 11 septembre 2026, il signale celles qui sont activement exploitées, et l’essentiel des obligations s’applique au 11 décembre 2027.

Applicable au secteur financier depuis le 17 janvier 2025, DORA porte sur la gestion du risque informatique, la déclaration des incidents, les tests de résilience et l’encadrement des prestataires TIC, avec des clauses contractuelles imposées et un registre d’informations. Au Luxembourg, la CSSF et le CAA en assurent la supervision.

Applicable depuis le 12 septembre 2025, ce règlement organise un accès équitable aux données. L’utilisateur d’un objet connecté peut obtenir les données qu’il produit, changer de prestataire cloud devient plus simple, et les clauses déséquilibrées sur le partage de données sont encadrées.

Les WCAG, publiées par le W3C, énoncent des critères de succès classés en trois niveaux : A, AA et AAA. Les lois et les marchés publics visent en général le niveau AA ; la version actuelle est la 2.2, sur laquelle repose la norme européenne EN 301 549. Au Luxembourg, les référentiels RAWeb et RAAM qui s’imposent au secteur public en sont dérivés.

Cette directive porte sur la résilience physique et organisationnelle des entités critiques de onze secteurs, parmi lesquels l’énergie, les transports, la santé, l’eau potable et les infrastructures numériques. Chaque État membre doit les identifier au plus tard le 17 juillet 2026 ; elles analysent alors leurs risques et renforcent leur résilience.

Outil européen issu du règlement sur le portail numérique unique. À la demande explicite d’un citoyen ou d’une entreprise, une administration y récupère auprès d’une autorité d’un autre pays une pièce officielle qu’elle détient déjà, sans la redemander à l’usager. Les obligations courent depuis le 12 décembre 2023.