Une IA d'entreprise pensée pour le RGPD : ce qui est routé où

Le registre public des sous-traitants, tenu à jour avec la production, liste aussi Stripe (paiements), Sentry (supervision des erreurs) et les outils de mesure d'audience du site. OpenRouter y est indiqué aux États-Unis.

Quand un déploiement l'active, tous les appels qui portent des données internes sont tenus à des règles appliquées côté serveur : point d'accès régional UE d'OpenRouter uniquement, fournisseurs à conservation nulle, refus de la collecte de données, liste explicite de fournisseurs et de modèles sans repli, et attestation manuelle qu'un contrat et une règle de garde ont été vérifiés dans le compte OpenRouter. Une configuration absente ou invalide refuse l'appel au lieu de basculer sur un autre chemin.

Il est désactivé par défaut. C'est un réglage de déploiement, pas une option que chaque client coche dans son compte. Demandez-nous quel est l'état de votre déploiement avant de vous appuyer dessus. Même actif, il ne couvre pas la recherche web, les images, les vidéos ni les outils tiers.

• Rôles : propriétaire, administrateur, membre, lecteur. Les routes de l'espace exigent une session, un rôle et un filtre par entreprise.
• Droits documentaires appliqués avant la lecture d'un extrait, avec échec fermé.
• Journal d'audit exportable en CSV pour les actions de l'espace et les décisions sur les confirmations.
• Masquage des données sensibles avant l'envoi au modèle, activable par espace : IBAN, numéros de sécurité sociale français et numéros de carte bancaire validés par l'algorithme de Luhn. Les noms et les adresses ne sont pas masqués.
• Mode confidentiel par conversation : aucune conversation en mode confidentiel n'alimente de mémoire ni d'apprentissage.
• Coffre de secrets chiffré pour les agents : jamais renvoyé, jamais dans un prompt ni un journal, saisi seulement sur les domaines autorisés après confirmation.
• Contenu externe (pages web, courrier, transcriptions) traité comme donnée non fiable, avec détection de consignes injectées.
• Confirmation humaine des actions sensibles, et décision d'un propriétaire ou d'un administrateur pour les critiques, avec séparation des tâches.

La purge automatique des conversations n'a lieu que si une durée de conservation est fixée sur le déploiement. Les journaux d'exécution et les livrables ont une durée technique de 180 jours par défaut, les mémoires d'exécution 30 jours, les chronologies d'agent 180 jours. L'historique technique des appels de l'espace n'enregistre que des métadonnées (utilisateur, module, modèle, nombre de tokens).

Un membre peut exporter ou supprimer ses conversations, effacer sa mémoire, et supprimer son compte. La suppression d'un compte efface aussi ses faits appris, ses objectifs, ses incidents, ses salons et ses médias générés, ainsi que les lignes liées à l'espace dont il est propriétaire.

Le journal d'audit et l'activité de l'espace n'ont pas de purge automatique à ce jour. Le dossier de conformité du dépôt le signale comme une décision à prendre.

Le dossier de conformité contient la cartographie des flux, la matrice des rôles, les checklists de contrat et de DPA fournisseurs, un modèle d'information des salariés, l'évaluation de la nécessité d'une AIPD, l'inventaire des transferts hors EEE, la procédure d'incident et une charte d'usage interne. Ce sont des modèles de travail, avec des champs à compléter et à faire valider par un conseil juridique : ce n'est pas un avis juridique.