Confidentialité : le vrai point de blocage

C'est la question qui arrête le plus de projets en France, et elle arrive rarement au bon moment — presque toujours après le choix d'outil, alors qu'elle devrait le précéder.

Les trois niveaux d'exigence

Données courantes. Un contrat entreprise standard avec DPA suffit dans la plupart des cas. Vérifiez que les contenus ne servent pas à l'entraînement, ce qui est la règle sur les offres professionnelles mais pas sur les comptes gratuits.

Données personnelles. Le traitement doit figurer au registre RGPD, disposer d'une base légale, et le transfert hors UE doit être encadré. C'est le point que les comptes personnels utilisés au travail rendent impossible à documenter.

Secret professionnel. Avocats, notaires, professions de santé, experts-comptables. Ici l'exigence n'est pas contractuelle mais déontologique, et elle peut interdire purement et simplement l'usage d'un service hébergé hors du contrôle du cabinet. Plusieurs de nos clients en profession réglementée ont retiré l'IA du périmètre de leurs documents clients pour cette raison, en attendant une architecture adaptée.

Les questions à poser au fournisseur

• Où sont hébergées les données traitées, et pouvez-vous l'imposer par contrat ?
• Un DPA est-il signé, et couvre-t-il les sous-traitants ultérieurs ?
• Les contenus soumis sont-ils exclus de l'entraînement, sur quelle offre exactement ?
• Quelle est la durée de conservation, et existe-t-il une procédure de suppression vérifiable ?

Les architectures possibles

Quand le service public standard ne passe pas, trois voies existent. L'offre entreprise avec engagement de résidence, quand le fournisseur la propose. Le déploiement via un hyperscaler dans une région européenne, qui déplace la question vers votre contrat cloud. Et le modèle auto-hébergé, plus contraignant mais qui règle la question de la localisation par construction.