Vos données : ce qui sort de chez vous, ce qui n'en sort jamais.
C'est la question qu'on me pose presque toujours en fin de rendez-vous, et souvent à voix basse : « mes données, elles vont où ? » Voici la réponse entière, y compris les cas, majoritaires, où la bonne réponse est « nulle part ». Rien sur cette page n'est une promesse commerciale : chaque affirmation se vérifie, dans les systèmes que je livre comme dans ce site.
- où vit le système
- Sur vos comptes, dans vos outils
- ce qui part au modèle
- Le fragment utile, jamais la base
- entraînement des modèles
- Non, par défaut, sur les API pro
- ce site, à l'instant
- 0 cookie, 0 traceur, 0 requête tierce
Le système s'installe chez vous, pas chez moi.
Une automatisation ne déménage pas votre entreprise. Elle relie ce que vous avez déjà : votre messagerie, votre boutique, votre CRM, votre comptabilité, vos tableurs. Le système vit sur vos comptes, sous vos accès, et la donnée reste là où elle était déjà. Ma place est celle de l'artisan qui installe la machine, pas celle du coffre-fort qui garde les clés.
À la livraison, vous recevez le système en production, ses accès, sa documentation et une vidéo qui montre comment il tourne : c'est le chapitre 04 de ma méthode, et il a une conséquence que peu de prestataires assument volontiers. Vous devez pouvoir me couper. Un système que vous ne pouvez ni ouvrir, ni modifier, ni confier à quelqu'un d'autre n'est pas une livraison : c'est une laisse.
Une nuance honnête, parce qu'elle change des choses : pour une application sur mesure, l'hébergement se décide au cas par cas. Parfois tout est posé sur vos comptes, parfois c'est moi qui héberge le temps du projet. On le tranche au cadrage, c'est écrit noir sur blanc, et dans les deux cas la règle du dessus tient : vous récupérez les accès, et vous pouvez partir avec.
Un modèle ne reçoit pas votre base. Il reçoit une tâche.
Il faut séparer deux choses que le mot « IA » mélange. Une automatisation déplace de la donnée entre vos outils, selon des règles, sans jamais la montrer à un modèle : elle se comporte exactement pareil à chaque exécution. Un modèle n'entre en scène que lorsqu'il faut lire, comprendre, classer ou rédiger. Et quand il entre, il ne reçoit pas votre système : il reçoit le fragment de la tâche en cours. Le texte d'un message. Une photo de facture. Une fiche produit. Pas le fichier clients, pas l'historique, pas la comptabilité.
une automatisation, sans IA
- un déclencheur
- des règles écrites
- vos outils reliés
rien ne sortla donnée circule chez vous, entre vos comptes
une étape confiée à un modèle
- le fragment utile
- une réponse rendue
- le reste ignoré
ce que vous avez décidéce périmètre s'écrit au cadrage, il ne se découvre pas après
Ce qui mène à la meilleure protection qui existe pour une donnée : ne pas l'envoyer du tout. Ce n'est pas un argument que j'ai fabriqué pour cette page, c'est le chiffre de mon activité : 8 demandes sur 10 arrivent avec le mot « IA », et la plupart n'en avaient pas besoin. Une automatisation suffisait. Moins cher, plus prévisible, et zéro donnée qui quitte la maison.
Votre risque n'est pas le projet IA. C'est ce que vos équipes collent déjà dans un chatbot.
Tant qu'une entreprise n'a pas d'outil officiel, chacun improvise avec ce qu'il trouve, et personne n'ose le dire en réunion. C'est là que les données partent vraiment, pas dans le projet que vous êtes en train d'évaluer. Encadrer un usage ne complique pas la vie de vos équipes : ça remplace un usage sauvage par un usage décidé, avec un outil qui fait le travail mieux que le copier-coller.
Anonymiser avant d'envoyer.
Sur SOS Papier, mon assistant de courriers administratifs, le document est anonymisé avant d'atteindre le modèle : il travaille sur la structure du courrier et sur ce qu'il réclame, pas sur l'identité de la personne qui l'a reçu.
C'est une décision d'architecture, prise au moment de construire. Elle ne se rattrape pas par une clause dans un contrat.
Retirer l'IA quand elle nuit.
Sur TodoOS, j'ai retiré le modèle de la capture des demandes : il reformulait les messages des clients, donc il les déformait. Il est resté là où il rend un vrai service, sur la lecture de la donnée.
Le critère n'a jamais été « est-ce que ça fait moderne ». Il est resté « est-ce que c'est fidèle, et est-ce que ça tient ».
Ne me croyez pas : ouvrez le capot.
L'audit de la page d'accueil est un bon test de tout ce qui précède. Il ne crée pas de compte, ne demande pas d'email pour tourner, et n'envoie que ce que vous avez tapé : un nom d'entreprise et un secteur. Sa recherche web ne lit que des pages publiques, celles que vous trouveriez vous-même sur un moteur de recherche, et il les liste en bas du rapport. La clé de l'API vit sur le serveur : elle n'apparaît jamais dans votre navigateur.
Le reste se vérifie à la touche F12 : l'onglet Réseau montre qu'aucune requête ne part vers un tiers, l'onglet Application montre l'absence de cookie. Le détail juridique, finalité par finalité, est dans les mentions légales.
Les 6 questions à poser à n'importe quel prestataire IA.
Y compris à moi. Une réponse floue à l'une de ces questions vaut tous les audits de sécurité du monde : elle vous dit ce que vous devez savoir.
- Où vivra le système, et sur quels comptes ? Les miens, ou les vôtres ? La différence décide de qui peut tout arrêter.
- Quel fournisseur de modèle, et sous quel contrat ? Le nom du modèle, le pays, et l'engagement écrit qui va avec.
- Mes données servent-elles à entraîner un modèle ? La réponse doit être documentée par le fournisseur, pas donnée à l'oral.
- Qu'est-ce qui est envoyé, exactement, à chaque exécution ? Un bon prestataire répond champ par champ, sans hésiter.
- Qui garde les accès après la livraison ? Et sous quelle forme la documentation arrive : écrite, ou dans sa tête.
- Que se passe-t-il si je veux tout reprendre, ou vous remplacer ? La bonne réponse est ennuyeuse : vous récupérez tout, et ça continue de tourner.
Ce que je ne prétends pas. Je ne suis pas hébergeur et je n'ai pas de certification à vous montrer, ni ISO, ni HDS. Si vous manipulez des données de santé, des données bancaires, ou que votre secteur est régulé, il faut un cadre spécifique, un hébergement qualifié et parfois un juriste : je vous le dirai au premier rendez-vous, pas au moment de la facture.
Pour la grande majorité des tâches répétitives d'une PME, ce cadre n'est pas nécessaire, et le vrai sujet reste celui du chapitre 02 : quelle donnée part, et pourquoi. Dernière franchise, celle du site : l'audit de la page d'accueil est une démonstration publique. N'y saisissez rien de confidentiel, le nom de votre entreprise et votre secteur suffisent.
Questions fréquentes
Mes données servent-elles à entraîner l'IA ?+
Faut-il envoyer toute ma base de données à un modèle ?+
Où vivent les données du système que vous installez ?+
Et le RGPD dans un projet d'automatisation ou d'IA ?+
Dites-moi quelle donnée vous inquiète.
C'est souvent la première chose qu'on regarde ensemble : ce qui peut circuler, ce qui ne doit jamais quitter vos murs, et quelle part du travail se fait très bien sans modèle.