Sécurité, RGPD et AI Act : comment nous traitons vos données

Oui : le RGPD n'interdit aucune technologie, il encadre le traitement des données personnelles, y compris par une IA. En pratique, chaque traitement doit reposer sur une base légale, ne porter que sur les données nécessaires et être porté à la connaissance des personnes concernées. Chaque prestataire qui traite ces données doit aussi signer un contrat de sous-traitance (DPA). Pour chaque projet, Erudi rédige ce DPA, y liste ses sous-traitants et fixe les durées de conservation. Notre application du RGPD

Leurs offres professionnelles peuvent être utilisées en conformité avec le RGPD, sous contrat, mais aucun outil n'est conforme en soi : tout dépend aussi de l'usage. OpenAI signe un DPA pour ChatGPT Business, ChatGPT Enterprise et son API, mais pas pour les offres individuelles (Free, Plus, Pro). Microsoft rattache Copilot à ses engagements RGPD et à son EU Data Boundary pour ses clients professionnels. Dans tous les cas, y mettre des données personnelles de clients ou de salariés suppose une base légale et l'information des personnes concernées.

Cela dépend de l'offre. Avec les offres individuelles (Free, Plus, Pro), OpenAI peut utiliser les conversations pour entraîner ses modèles, sauf si l'utilisateur désactive cette option dans les contrôles de données ; même après ce refus, une réponse notée (pouce levé ou baissé) peut faire entrer toute la conversation dans l'entraînement. Les conversations de ChatGPT Business, ChatGPT Enterprise et de l'API ne servent pas à l'entraînement par défaut, et Anthropic fait la même distinction entre les offres individuelles de Claude et ses offres professionnelles. Dans les solutions Erudi, vos données ne servent à entraîner aucun modèle, et cet engagement figure dans nos contrats avec les fournisseurs. Les modèles que nous utilisons

Avec un compte personnel, ne donnez rien que vous n'enverriez pas à un prestataire externe sans contrat : données personnelles de clients ou de salariés, données de santé, mots de passe et clés d'accès, contrats, chiffres non publiés, documents sous accord de confidentialité. Avec une offre professionnelle sous DPA, c'est la charte d'usage de l'entreprise qui fixe la règle, selon la sensibilité de chaque type de données. Pour les données qui ne doivent pas quitter votre infrastructure, une solution peut tourner sur vos serveurs avec des modèles open weights. Les options d'hébergement

Une charte d'usage doit dire quels outils sont autorisés (sous contrat professionnel), quelles données on peut y mettre et quelle relecture est attendue avant d'utiliser un résultat. Interdire ou bloquer ChatGPT sans proposer d'outil autorisé ne supprime pas le besoin : l'usage risque de passer sur des comptes personnels que l'entreprise ne voit pas. La formation des équipes fait aussi partie du cadre, et l'AI Act la demande (voir la question suivante). Une solution dédiée peut porter une partie de ces règles dans le logiciel lui-même : validation humaine des actions sensibles, hébergement et modèles choisis par l'entreprise.

Oui : depuis le 2 février 2025, l'article 4 de l'AI Act demande à toute entreprise qui utilise des systèmes d'IA de prendre des mesures pour que son personnel sache s'en servir. Aucun certificat ni format de formation n'est imposé, et les autorités nationales contrôlent cette obligation depuis le 2 août 2026. Pour un assistant interne ou un outil de rédaction, s'y ajoutent surtout des règles de transparence : les utilisateurs doivent savoir qu'ils échangent avec une IA. Les obligations lourdes visent les usages à haut risque, comme le tri de CV pour un recrutement ou l'évaluation de solvabilité pour un crédit. Elles s'appliqueront à partir du 2 décembre 2027. L'AI Act dans nos solutions

En déployant un modèle open weights, c'est-à-dire un modèle dont l'éditeur publie les poids (Mistral, Qwen ou Gemma par exemple), sur ses propres serveurs ou dans son compte cloud, avec des GPU dimensionnés pour ce modèle. Il faut ensuite le relier à vos documents et à vos outils, le sécuriser, le surveiller et le mettre à jour, ce qui demande une équipe capable de l'exploiter. Erudi déploie ses solutions sur vos serveurs ou dans votre cloud, ou les héberge pour vous en France ou en Europe. Pour un usage individuel hors ligne, il existe aussi Erudi Desktop, notre application open source d'IA locale.

On appelle généralement IA souveraine une IA dont les données et les traitements restent sous le droit européen, à l'abri des lois extraterritoriales d'autres pays. Il existe plusieurs niveaux : des modèles exécutés exclusivement dans des data centers de l'Union européenne, des modèles open weights hébergés sur une infrastructure que vous contrôlez, ou un hébergement chez un prestataire qualifié SecNumCloud par l'ANSSI. Cette qualification vise justement à protéger les données sensibles face aux lois extraterritoriales. Nous choisissons ce niveau avec vous, selon la sensibilité des données et le budget. Les modèles · L'hébergement