IA souveraine : vos données hébergées en France, le RGPD et l’AI Act
Un accord de sous-traitance des données (DPA) signé avec le contrat, un hébergement en France par défaut, aucun entraînement de modèle sur vos données et un registre des traitements. Nos réponses, question par question.
La souveraineté des données, un pilier de Bonne Idée
Nous intégrons l’IA pour des greffes de tribunaux de commerce, des officiers publics et ministériels exigeants sur la confidentialité. Un projet IA mené pour une PME ou une ETI reçoit les mêmes garanties. Sur chaque projet du pôle IA, quatre engagements tiennent :
- un accord de sous-traitance des données (DPA), signé avec le contrat ;
- un hébergement en France par défaut, ou sur votre propre infrastructure quand la sensibilité des données l’exige ;
- aucun entraînement de modèle sur vos données : nous ne retenons que des offres dont le contrat l’exclut ;
- un registre des traitements : quelle donnée, quel outil, pour quoi faire.
Ces choix se décident par écrit pendant le cadrage de deux semaines, avant de construire. Si vous ne savez pas encore quel usage de l’IA retenir, l’audit IA du pôle Conseil pose les mêmes questions avant de chiffrer vos cas d’usage. Pour CoBIos, notre propre produit, l’hébergement se choisit avant le pilote, dans un espace que le cabinet contrôle.
IA souveraine : ce que le mot veut dire pour une entreprise
Une IA est souveraine quand vous savez où tourne le modèle, où sont stockées vos données et quel droit s’applique à celui qui les héberge.
Un modèle de langage reçoit le texte que vous lui envoyez. S’il est hébergé chez un fournisseur, ce texte quitte votre entreprise. S’il est installé sur votre infrastructure, rien ne sort.
Le lieu d’hébergement ne règle pas tout. Le Cloud Act américain permet aux autorités des États-Unis, dans le cadre d’une procédure judiciaire, d’obliger un fournisseur soumis au droit américain à leur remettre les données qu’il détient, y compris quand elles sont stockées en Europe. Pour un document couvert par un secret professionnel, le droit applicable au fournisseur se vérifie avant de choisir le modèle.
Trois niveaux d’hébergement, selon ce que contiennent vos documents
Le niveau se choisit par type de document, pendant le cadrage de deux semaines.
Un modèle hébergé par un fournisseur
Pour ce qui ne contient rien de sensible : courriers types, fiches produit, procédures internes. Une offre professionnelle, retenue pour ses conditions contractuelles, convient.
Un modèle hébergé en France
Pour ce qui contient des données personnelles ou confidentielles : noms de clients, montants, contrats. Les éléments identifiants sont masqués avant l’envoi au modèle, ou le document est traité par un modèle hébergé en France.
Un modèle installé chez vous
Pour ce qui ne doit jamais sortir : documents couverts par le secret professionnel, données de santé, documents qu’une clause contractuelle interdit de transmettre. Un modèle ouvert est installé sur votre infrastructure. Cette option coûte plus cher à exploiter. C’est aussi le principe de BIA, notre espace de travail IA souverain, exécuté en local.
Une page résume ces choix : pour chaque type de document, où il va, chez qui et dans quelles conditions.
Nos références en IA souveraine
Des greffes de tribunaux de commerce, et notre agent IA pour les professions du chiffre et du droit.
La même équipe, d’autres besoins.
Savoir où l’IA et le digital vous font gagner du temps, avant d’investir.
Audit IA, stratégie digitale, adoption et conduite du changement, automatisation des processus, intégration d’outils métier, audit d’outils.
Pôle DigitalConseil et production digitale, au mois ou au projet.
Développement, marque, marketing, automatisations légères, outils digitaux et sites sur mesure.
Vos données sur un projet IA, question par question
Vous restez responsable de vos traitements. Bonne Idée intervient comme sous-traitant pour ce qu’elle construit et opère pour vous. Un accord de sous-traitance des données (DPA) est signé avec le contrat, et chaque traitement que nous effectuons pour vous est inscrit dans un registre : quelle donnée, quel outil, pour quoi faire.
En France par défaut, ou sur votre propre infrastructure quand la sensibilité des données l’exige : c’est décidé et chiffré pendant le cadrage de deux semaines, avant de construire.
Non. Nous ne retenons que des offres dont le contrat exclut l’entraînement sur vos données. Nous vérifions ces conditions avant de choisir un modèle, nous les écrivons dans le cadrage, et nous les revérifions quand le fournisseur les modifie.
Cela dépend de la tâche. Après le cadrage, un banc d’essai compare sur vos exemples réels les modèles ouverts et les modèles hébergés, puis nous retenons celui qui donne le meilleur résultat pour un coût acceptable.
Le plus souvent, votre entreprise est déployeur des systèmes d’IA qu’elle utilise. Pour la plupart des usages en PME, cela veut dire savoir quels systèmes vous utilisez et pour quoi, et prendre des mesures pour développer la maîtrise de l’IA des personnes qui s’en servent. C’est ce que demande l’article 4 de l’AI Act, applicable depuis février 2025 et réécrit en juillet 2026 par le règlement (UE) 2026/1744 : des mesures réelles, sans niveau de maîtrise garanti. Texte vérifié sur EUR-Lex le 6 octobre 2026. Nous recensons vos usages et qualifions le niveau de risque de chacun pendant le cadrage.
Une relecture humaine est prévue partout où une erreur coûte. La qualité est mesurée sur un jeu de questions écrit avec vous, et la version du modèle est figée puis retestée avant toute mise à jour.
Oui, pour tout ce que nous construisons pour vous : le code, les comptes, les clés d’accès aux modèles et les données sont à votre nom. Vous êtes propriétaire de votre intelligence, et si nous cessons de travailler ensemble, une autre équipe reprend sans repartir de zéro. CoBIos, notre produit, suit les règles décrites sur sa page.
Une question sur vos données avant un projet IA ?
Un premier échange offert, en visio : ce qui peut sortir, ce qui doit rester chez vous, et ce que cela change au projet.
Prendre rendez-vous