Les réponses aux questions de votre DSI et de vos juristes.
Les projets d’IA soulèvent des questions légitimes sur les données, les accès et le contrôle. Voici comment nous y répondons sur chaque projet.
Où vont nos données ?Uniquement là où vous l’autorisez, et chaque flux est documenté.
Pour chaque projet, nous documentons chaque flux de données : ce qui est envoyé, où, à quel fournisseur de modèles, et combien de temps c’est conservé. Vous validez cette cartographie avant toute mise en production. Quand des modèles externes sont utilisés, nous choisissons des offres qui n’utilisent pas vos données pour entraîner leurs modèles, et nous l’indiquons par écrit.
Qui y a accès ?Uniquement les membres nommés de l’équipe projet.
L’accès est limité aux personnes qui travaillent sur le projet, avec des comptes individuels et les droits strictement nécessaires. Quand c’est possible, les comptes sont gérés par votre propre annuaire d’identités. Les accès sont retirés à la fin de l’accompagnement.
Peut-on tout héberger chez nous ?Oui. Dans votre cloud ou sur votre propre infrastructure.
Nous pouvons déployer dans votre propre environnement cloud ou sur vos serveurs. Quand les services d’IA externes ne sont pas acceptables, nous pouvons utiliser des modèles open source déployés chez vous. Les connexions, la télémétrie et les services tiers sont vérifiés pour respecter le périmètre de données convenu.
Peut-on tracer ce que font les agents IA ?La journalisation et l’audit sont adaptés aux actions des agents, aux systèmes connectés et à vos exigences de sécurité.
Nous définissons avec vous les actions à journaliser, le niveau de détail et la durée de conservation. Selon les capacités des systèmes connectés, les journaux peuvent inclure : la demande reçue, la décision, le système appelé, le résultat, et la personne qui a validé quand une validation est requise. Les journaux peuvent être transmis à vos outils de supervision et de sécurité.
Comment la confidentialité est-elle garantie ?Un accord de confidentialité, signé systématiquement.
Nous signons un accord de confidentialité (NDA) avant tout échange d’informations sensibles. Chaque membre de l’équipe projet, y compris les ingénieurs de notre réseau, est soumis aux mêmes obligations.
Qui garde la main sur les décisions ?Vos équipes. Les actions sensibles exigent une validation humaine.
Vous décidez quelles actions un agent peut réaliser seul et lesquelles exigent une validation. Les engagements à impact financier, juridique ou client restent entre les mains de vos équipes. Les règles de validation font partie du cahier des charges et peuvent être ajustées à tout moment.
Et la réglementation sur les données ?Europe, Asie, États-Unis : les exigences de vos marchés.
Nous concevons les systèmes en tenant compte des règles de protection des données applicables : le RGPD dans l’Union européenne, l’APPI au Japon et la PDPO à Hong Kong et les lois américaines applicables, dont le CCPA modifié par le CPRA en Californie. Aux États-Unis, HIPAA pour certaines données de santé et GLBA pour certaines activités financières sont examinés lorsque leur périmètre s’applique. Nous travaillons avec votre délégué à la protection des données et vos juristes sur les accords de traitement, les durées de conservation et les transferts internationaux. Nous ne revendiquons aucune certification : nous nous adaptons à vos propres exigences de sécurité et de conformité, et à vos audits.
Venez avec votre équipe sécurité au premier rendez-vous.
Nous préférons répondre tôt à ses questions. Tout le monde y gagne du temps.