Quand une direction demande une "IA sécurisée pour l'entreprise", elle ne parle pas d'un pare-feu ni d'un antivirus. Elle parle de la question qui remonte tôt ou tard d'un DPO, d'un client, d'un auditeur ou d'un RSSI : quand un salarié colle un document dans un outil d'IA, où part ce document, qui peut le lire, combien de temps il est gardé, et est-ce écrit dans un contrat.
La sécurité d'un outil d'IA ne se résume donc pas à du chiffrement. Elle se joue sur la trajectoire de la donnée : le lieu de traitement, la chaîne de sous-traitants, la politique de conservation, et le contrôle de qui utilise quoi. Ce guide part de ces critères, puis regarde de façon neutre comment différentes catégories d'outils se situent, et comment un espace de travail privé hébergé dans l'UE y répond. Pour le cadre juridique complet du RGPD appliqué à l'IA, voyez notre page pilier IA conforme au RGPD. Pour un comparatif produit détaillé, voyez notre article sur les outils IA conformes au RGPD.
Une précision de vocabulaire d'abord. Aucun outil n'est "sécurisé" dans l'absolu. Un fournisseur apporte des garanties techniques et contractuelles ; la sécurité réelle se construit avec vos usages, vos règles internes et votre documentation. La bonne question n'est pas "cet outil est-il sûr ?" mais "me donne-t-il les garanties dont j'ai besoin, et est-ce que je les utilise correctement ?".
Les quatre critères de sécurité qui décident
Avant de comparer des catégories d'outils, il faut fixer la grille. Pour une entreprise soumise au RGPD, quatre points décident presque toujours de l'adoption ou du refus.
L'hébergement dans l'UE. Où les données sont-elles traitées et stockées. Un traitement réalisé dans l'Union, sur une infrastructure identifiée, simplifie énormément l'analyse de transfert international et rassure les clients qui posent la question. Dès qu'un traitement quitte l'UE, il faut documenter une base de transfert, ce qui alourdit chaque dossier.
Le contrat de sous-traitance (AVV/DPA). L'article 28 du RGPD impose un accord écrit avec chaque sous-traitant qui traite des données pour votre compte. Le point sensible avec l'IA, c'est la chaîne : le fournisseur de l'outil est un sous-traitant, mais les fournisseurs de modèles derrière en sont aussi. Un contrat qui ne couvre que la couche visible laisse une partie de la chaîne sans base contractuelle. Chaque maillon doit être couvert.
Pas d'entraînement sur vos données. C'est la clause qui change tout pour un usage professionnel. Vos requêtes et vos documents ne doivent pas servir à entraîner les modèles. Idéalement, le fournisseur applique une politique de zéro conservation (zero data retention), c'est à dire que les contenus ne sont pas gardés après traitement. Une donnée qui n'est pas conservée est une donnée qui ne peut pas fuir plus tard.
Le contrôle du Shadow AI. C'est le critère le plus sous-estimé. Le Shadow AI, c'est l'usage non encadré d'outils d'IA grand public par les salariés, avec des comptes personnels, sans contrat et sans visibilité pour l'entreprise. Interdire l'IA ne fait que pousser cet usage dans l'ombre. Le vrai levier de sécurité est de fournir un outil officiel, sûr et agréable à utiliser, qui rende le compte personnel inutile. La sécurité passe par l'adoption d'une alternative encadrée, pas seulement par une politique de blocage.
Gardez cette grille en tête. Elle sert à lire n'importe quelle catégorie d'outil sans se laisser distraire par la seule qualité de rédaction ou la vitesse.
Les grandes catégories d'outils, lues avec cette grille
Plutôt que de désigner des gagnants, il est plus utile de classer les options par catégories et de regarder où chacune est forte et où elle demande de la vigilance.
Les chats grand public. Selon des informations publiques, les assistants conversationnels grand public sont excellents pour la rédaction générale et très rapides à prendre en main. Leur limite, du point de vue de la sécurité d'entreprise, tient à la version utilisée : les comptes gratuits ou personnels n'offrent en général ni contrat de sous-traitance clair, ni garantie de non-entraînement, ni visibilité pour l'employeur. C'est précisément par cette porte qu'entre le Shadow AI. Ces outils ne sont pas dangereux en soi ; ils deviennent un risque quand ils sont utilisés hors de tout cadre, avec des données de clients ou de patients.
Les offres entreprise des grands modèles. Selon des informations publiques, les offres entreprise des principaux fournisseurs de modèles prévoient souvent que les contenus des clients ne servent pas à entraîner les modèles, avec des engagements contractuels et des contrôles d'administration. Elles sont puissantes, portées par des modèles parmi les plus capables du marché. Deux points méritent l'attention d'un DPO européen, sans qu'il s'agisse d'un reproche : la localisation du traitement dépend de l'offre et de la configuration retenues, ce qui demande de vérifier précisément la clause d'hébergement pour son cas ; et l'accès passe en général par un contrat dédié, ce qui allonge le délai entre l'évaluation et le déploiement.
Les plateformes multi-modèles pour équipes. Selon des informations publiques, plusieurs plateformes donnent aux entreprises un accès à plusieurs grands modèles dans une interface unique, avec un hébergement UE et un cadre pensé pour les équipes. Elles répondent bien au besoin de gouverner l'accès : un point d'entrée central évite que chaque salarié n'ouvre un compte séparé. La différence avec un outil orienté métier tient à ce qui est intégré autour du chat, par exemple des sources documentaires spécialisées et une vérification des références, sujet sur lequel les besoins d'un cabinet juridique ou d'un service de santé sont particuliers.
Les modèles européens. Selon des informations publiques, certains fournisseurs conçoivent et hébergent leurs modèles en Europe, ce qui offre un point de départ naturel pour qui veut un modèle du continent. Le critère de sécurité reste le même : au-delà de l'origine du modèle, il faut vérifier la clause de non-entraînement, la conservation et la couverture contractuelle de toute la chaîne.
Aucune de ces catégories n'est mauvaise. Chacune répond à un profil de besoin. La grille des quatre critères sert justement à choisir en fonction de votre exposition réelle, et non d'une réputation.
Comment un espace de travail privé dans l'UE répond à ces critères
Wysor est un espace de travail IA privé, hébergé dans l'UE, pensé pour les professionnels et les équipes soucieux de confidentialité. Voici où il se situe sur les quatre critères.
Sur l'hébergement, le traitement est réalisé sur une infrastructure européenne. Sur les contrats, Wysor conclut un AVV/DPA avec chaque fournisseur de modèle, ce qui couvre toute la chaîne de sous-traitance et pas seulement la couche visible. Sur l'entraînement, la politique est claire : zéro conservation des données et pas d'entraînement sur les contenus des clients. Sur le Shadow AI, la logique est d'offrir un outil officiel assez complet et agréable pour que le compte personnel devienne inutile : Claude, GPT, Gemini et d'autres modèles sont accessibles dans le même espace, ce qui évite de disperser les données entre plusieurs comptes et plusieurs contrats.
Là où un espace de travail se distingue d'un simple chat, c'est l'intégration métier. La databank juridique interroge de la jurisprudence et de la législation réelles sur douze juridictions, avec plus de 87 millions de documents et 23,3 millions de décisions de justice, en vérifiant les citations et les références (Fundstellen) et en signalant les décisions renversées. La databank médicale offre une recherche en littérature médicale à corpus ouvert et une information sur les médicaments, disponible en Europe, comme une alternative de type OpenEvidence ; elle aide à trouver et à comprendre l'information, elle ne pose pas de diagnostic et ne remplace pas un médecin.
S'y ajoutent le Scribe, une documentation ambiante qui transforme la parole en note structurée via une chaîne européenne, et la génération de documents qui rédige courriers et rapports à partir de notes, l'utilisateur relisant et validant avant diffusion. La base de connaissances accepte PDF, DOCX, XLSX, PPTX et d'autres formats. Pour un cabinet ou une clinique, cet ensemble hébergé en UE, avec zéro conservation et des contrats fournisseurs, aide à réduire le risque lié au secret professionnel, sans que cela vaille garantie automatique de conformité, qui dépend toujours de vos propres usages.
Côté prix, Wysor propose un plan gratuit pour évaluer, un plan Plus à 19,99 EUR par mois et un plan Premium à 29,99 EUR par mois. Aucun contrat entreprise n'est requis pour commencer, ce qui raccourcit nettement le délai entre le test et l'adoption, et rend d'autant plus simple de proposer une alternative officielle au Shadow AI.
Une check-list avant de déployer
Avant de valider un outil, vérifiez quatre lignes concrètes. Le traitement des données a-t-il lieu dans l'UE, et est-ce écrit noir sur blanc. Existe-t-il un AVV/DPA qui couvre le fournisseur de l'outil et les fournisseurs de modèles derrière. La clause de non-entraînement et la politique de conservation sont-elles explicites. Et enfin, l'outil est-il assez complet pour que vos équipes cessent d'utiliser leurs comptes personnels. Si ces quatre lignes sont vertes, vous avez une base de sécurité solide. Le cadre juridique reste détaillé sur notre page IA conforme au RGPD, et le comparatif produit sur notre article outils IA conformes au RGPD.
Questions fréquentes
"IA sécurisée pour l'entreprise", cela veut dire quoi exactement ? Cela veut dire un outil dont la trajectoire de la donnée est maîtrisée : traitement dans l'UE, contrat de sous-traitance couvrant toute la chaîne, absence d'entraînement sur vos contenus, et un cadre qui remplace les comptes personnels non contrôlés. La sécurité ne se limite pas au chiffrement, elle porte sur ce que devient la donnée après l'envoi.
Qu'est-ce que le Shadow AI et pourquoi est-ce un risque de sécurité ? Le Shadow AI est l'usage d'outils d'IA grand public par les salariés, avec des comptes personnels, sans contrat ni visibilité pour l'entreprise. Le risque est double : des données sensibles quittent le cadre contractuel, et l'organisation n'a aucune trace de ce qui a été partagé. Le meilleur remède n'est pas l'interdiction seule, mais la mise à disposition d'un outil officiel sûr qui rende le compte personnel inutile.
Un outil d'IA peut-il être "sécurisé" à lui seul ? Non. Le fournisseur apporte des garanties techniques et contractuelles, comme l'hébergement UE, l'AVV/DPA et la non-conservation. La sécurité finale dépend aussi de vos usages, des données que vous y mettez et de vos règles internes. C'est une responsabilité partagée.
Pourquoi la chaîne de sous-traitance compte-t-elle autant ? Parce qu'avec l'IA, l'outil que vous utilisez est un sous-traitant, mais les fournisseurs de modèles derrière le sont aussi. Si le contrat ne couvre que l'outil visible, une partie de la chaîne reste sans base contractuelle. Un AVV/DPA avec chaque fournisseur de modèle ferme cette faille.
Comment Wysor aide-t-il sur le secret professionnel ? Grâce à un hébergement UE, une politique de zéro conservation et des contrats avec chaque fournisseur de modèle, Wysor aide à réduire le risque lié au secret professionnel. Ce n'est pas une garantie automatique de conformité, qui dépend toujours de vos usages et de votre documentation.
