Que faire des réponses de l'éditeur ?

Les reporter dans votre dossier client et, pour celles qui engagent l'éditeur, les faire figurer dans le contrat ou dans un plan d'assurance sécurité, comme le propose le guide d'externalisation de l'ANSSI.

Une réponse « non » est-elle éliminatoire ?

Pas forcément. Elle dit ce que vous devrez compenser vous-même ou expliquer au client. Une absence de réponse, en revanche, est un signal à prendre au sérieux.

Ce questionnaire remplace-t-il une analyse juridique sur les données personnelles ?

Non. Il couvre la sécurité et l'exploitation. La répartition des responsabilités sur les données personnelles demande l'avis d'un juriste.

Questionnaire de sécurité pour un éditeur d'assistant IA

Avant de proposer un assistant IA à vos clients, envoyez à l'éditeur un questionnaire de sécurité écrit. Un éditeur SaaS (logiciel en ligne vendu par abonnement) héberge les documents de vos clients, leurs conversations et les comptes de leurs salariés. Vous devez savoir où, comment, et ce qui se passe en cas d'incident ou de départ. Les questions ci-dessous s'appuient sur les guides de l'ANSSI, l'autorité nationale chargée de la sécurité des systèmes d'information.

Pourquoi un questionnaire écrit

Le guide d'externalisation de l'ANSSI (03/12/2010) identifie trois familles de risques quand on confie son informatique à un tiers : la perte de maîtrise du système d'information, les interventions à distance et l'hébergement mutualisé. Il propose d'évaluer ces risques, de fixer des exigences, puis d'obtenir les engagements du prestataire par des clauses de sécurité et un plan d'assurance sécurité (PAS).

La règle 3 du guide d'hygiène informatique dit la même chose plus court : étudier les conditions des offres et les limites de responsabilité du prestataire, puis imposer des exigences précises : réversibilité, audits, sauvegarde et restitution des données « dans un format ouvert normalisé », maintien du niveau de sécurité dans le temps.

Ici, vous êtes dans les deux rôles : prestataire pour votre client, client de l'éditeur. Les réponses de l'éditeur alimentent vos propres engagements.

Le questionnaire

Hébergement

Dans quel pays sont hébergés les documents, les conversations et les sauvegardes ?
Qui est l'hébergeur ? L'offre bénéficie-t-elle d'une qualification ? (Le guide IA générative de l'ANSSI recommande, pour un déploiement dans un cloud public, de « privilégier un hébergement SecNumCloud », recommandation R14. Ce que recouvre cette qualification se vérifie sur les pages de l'ANSSI.)
Les données de vos différents clients sont-elles séparées, et comment ?

Chiffrement

Les échanges entre l'utilisateur et l'assistant sont-ils chiffrés ? (Règle 18 du guide d'hygiène : chiffrer les données sensibles transmises par Internet.)
Les documents et les sauvegardes sont-ils chiffrés au repos ?

Authentification et comptes

Les comptes sont-ils nominatifs, avec des rôles distincts pour l'utilisateur et l'administrateur ? (Règle 8.)
La console d'administration permet-elle l'authentification multifacteur ? Peut-on l'imposer ? (Règle 13 ; voir notre page sur la MFA.)
Peut-on supprimer un compte et ses accès immédiatement au départ d'un salarié ?
Qui, chez l'éditeur, peut accéder aux données de vos clients, et comment ces accès sont-ils contrôlés ? (R10 : maîtriser les accès à privilèges des développeurs et administrateurs.)

Données et entraînement

Les documents et conversations servent-ils à entraîner ou améliorer un modèle ? Peut-on le refuser ? (Le guide IA générative note que, dans la majorité des offres grand public, les données envoyées sont utilisées pour optimiser les modèles.)
Quels modèles d'IA sont utilisés, et chez quel fournisseur ?

Journaux

Quels événements sont journalisés : connexions, changements de réglages, questions posées, documents consultés ? (R29 : journaliser l'ensemble des traitements du système d'IA.)
Combien de temps les journaux sont-ils gardés, et pouvez-vous les consulter ou les exporter ? (Repère : la règle 36 du guide d'hygiène prévoit au moins un an pour les événements critiques pour la sécurité.)

Sous-traitants

Quels sous-traitants interviennent (hébergement, modèle d'IA, envoi de mails) ? Êtes-vous prévenu d'un changement ?

Incidents

Comment et sous quel délai êtes-vous prévenu d'un incident de sécurité ?
Qui est votre contact pendant un incident ?
L'éditeur a-t-il une procédure de gestion des incidents écrite ? (Règle 40.)

Continuité et réversibilité

Quelle disponibilité est annoncée, et que se passe-t-il en cas de panne ? (R15 : prévoir un mode dégradé sans système d'IA.)
Peut-on exporter les documents, les réglages et l'historique, et sous quel format ?
À la fin du contrat, quand les données sont-elles supprimées, et le confirme-t-on par écrit ?

Audits

L'éditeur fait-il auditer sa sécurité ? Peut-il en transmettre une synthèse ? (Règle 38 : audits au moins une fois par an, niveau renforcé.)

Lire les réponses

Réponse	Ce que vous en faites
Oui, avec une preuve (document, capture, contrat)	Vous l'inscrivez dans votre fiche de service
Oui, sans preuve	Vous demandez où c'est écrit
Non	Vous décidez si vous compensez (procédure, contrôle) ou si vous renoncez
Pas de réponse	Vous ne prenez pas d'engagement sur ce point auprès du client

Ce que le questionnaire change pour l'assistant du client

Chaque réponse se traduit en une tâche chez vous : un compte d'administration à protéger, une base documentaire à sauvegarder, des journaux à lire, un mode dégradé à écrire, des accès à retirer au départ d'un salarié. C'est la matière de votre fiche de service et de votre plan de continuité.

Pour les questions de protection des données personnelles (qui est responsable de quoi, quelles mentions afficher), faites relire par un juriste : ce questionnaire ne les tranche pas.