Vos données restent en France, sous votre contrôle
La protection de vos données est notre premier engagement, pas une note de bas de page. Voici, sans jargon, qui nous sommes juridiquement, où vos données sont hébergées, quels modèles d’IA nous utilisons et ce que nous nous interdisons.
Nos engagements en bref
- Prestataire
- Français, hors du périmètre du Cloud Act
- Hébergement
- En France, ou sur vos serveurs
- Modèles d’IA
- Ouverts, européens quand c’est possible
- Entraînement
- Jamais avec vos données
Le vrai sujet, ce n’est pas l’adresse du serveur
On vous dira souvent que vos données sont « hébergées en Europe ». C’est nécessaire, mais ce n’est pas suffisant : ce qui décide, c’est la nationalité de l’entreprise qui détient ces serveurs.
Ce que dit le Cloud Act
Cette loi américaine de 2018 permet aux autorités des États-Unis d’exiger d’un fournisseur de droit américain qu’il livre les données qu’il détient — y compris lorsque ces données sont stockées dans un centre de données européen.
Ce que ça change pour vous
La filiale européenne d’un groupe américain reste soumise à cette loi. « Données en Europe » ne signifie donc pas « hors de portée », et pour une profession tenue au secret, la nuance n’est pas théorique.
Où nous nous situons
Alfred est une société française, sans maison mère ni filiale de droit américain, et nos hébergeurs le sont aussi. Aucune autorité étrangère ne peut leur réclamer vos données par cette voie.
Et si la question reste sensible dans votre cadre, nous déployons directement sur vos machines : il n’y a alors plus d’hébergeur du tout dans l’équation.
Vos dossiers ne quittent pas votre cabinet.
Nous déployons l’IA dans votre périmètre : hébergée en France, ou sur vos propres serveurs. Ce qui entre reste, ce qui voudrait sortir s’arrête.
Hébergé en France
ou directement sur vos serveurs
Modèles ouverts
vos données n’entraînent aucun modèle
Secret professionnel
RGPD et accès tracés
Où sont hébergées vos données
Deux possibilités, choisies avec vous lors du diagnostic selon la sensibilité de vos données et l’équipement de votre cabinet.
Chez Scaleway, en France
Hébergeur français du groupe Iliad, certifié HDS. Le stockage comme les traitements d’IA ont lieu sur le territoire français, dans des centres de données que nous vous nommons.
Sur vos serveurs
Nous déployons tout directement dans votre cabinet ou sur votre propre infrastructure. Les données ne sortent pas de chez vous, et vous gardez la main sur la machine.
Les certifications, et à qui elles appartiennent
HDS, pour les données de santé
L’hébergement que nous retenons pour les données de santé est certifié Hébergeur de Données de Santé. C’est l’hébergeur qui détient cette certification, pas Alfred : elle est publique et vérifiable.
SecNumCloud, sur demande
Si votre cadre l’exige, nous déployons sur une infrastructure qualifiée SecNumCloud par l’ANSSI. C’est un choix d’infrastructure arrêté avec vous au diagnostic, et non une qualification que détiendrait Alfred.
Dans les deux cas, vous savez à tout moment où se trouvent vos données et qui peut y accéder.
Quels modèles d’IA nous utilisons
Un modèle d’IA, c’est le moteur qui lit et qui rédige. Nous choisissons des modèles que nous pouvons faire tourner nous-mêmes, plutôt que d’envoyer vos documents au service en ligne d’un tiers.
Mistral en premier choix
Mistral AI est une entreprise française et ses modèles se déploient sur l’infrastructure de notre choix. À besoin équivalent, c’est celui que nous retenons.
Ouverts
Modèles à poids ouverts : ils s’installent sur les serveurs retenus pour vous, ou sur les vôtres. Selon la tâche, ce sera un Mistral, un Llama ou un autre modèle ouvert.
Déployables en local
Le modèle tourne sur l’infrastructure retenue pour vous : chez notre hébergeur en France ou dans votre cabinet. Aucune dépendance au service en ligne d’un géant américain.
Ce qui n’arrive jamais
Ces engagements valent pour chaque outil que nous mettons en place, quelle que soit l’offre.
Vos données ne servent pas à entraîner un modèle
Ni le nôtre, ni celui d’un tiers. Vos dossiers alimentent vos outils, et seulement eux.
Vos données ne sont pas transférées hors de l’Union européenne
L’hébergement et les traitements restent en France, ou chez vous.
Vos dossiers ne passent pas par un service d’IA grand public
Aucun document n’est envoyé à un assistant en ligne dont vous ne maîtrisez ni la localisation ni les conditions d’utilisation.
Rien n’est consulté sans laisser de trace
Les accès à vos données, par un agent IA comme par un utilisateur, sont journalisés.
Conçu pour le secret professionnel
Chaque profession a ses règles. Nous en tenons compte dès la conception des outils, pas après coup.
Avocats
Le secret professionnel couvre vos échanges avec vos clients et le contenu de vos dossiers. Les agents qui les lisent tournent dans un périmètre que vous contrôlez, avec des droits d’accès limités aux dossiers concernés.
Notaires
Actes, pièces d’état civil, titres de propriété : les documents de l’étude restent hébergés en France ou chez vous, et chaque accès est tracé.
Experts-comptables
Les données comptables, fiscales et sociales de vos clients restent dans l’hébergement retenu pour vous, y compris lorsque les relances et la pré-saisie sont automatisées.
Médecins et professions de santé
En France, héberger des données de santé pour le compte d’un tiers exige un hébergeur certifié HDS (hébergeur de données de santé). Pour vos données de santé, nous nous appuyons sur un hébergement certifié HDS.
Nos outils vous aident à respecter vos obligations. Ils ne remplacent ni les règles de votre ordre ni vos propres procédures internes.
RGPD et traçabilité des accès
Le RGPD vous demande de savoir quelles données sont traitées, par qui et pourquoi. Nous construisons les outils pour que vous puissiez répondre à ces questions.
Des accès limités
Chaque agent et chaque automatisation n’accède qu’aux données nécessaires à sa tâche. Les droits sont définis avec vous.
Des accès tracés
Les consultations de vos données sont journalisées : quel outil ou quel utilisateur, quel document, à quel moment.
Une documentation claire
Pour chaque outil, nous décrivons les données utilisées, leur lieu d’hébergement et leur finalité. De quoi tenir à jour votre registre des traitements.
Des données qui restent les vôtres
Si vous arrêtez, nous vous restituons vos données et supprimons ce que nous hébergeons pour vous.
IA grand public ou IA souveraine
Les assistants IA grand public rendent service au quotidien. Pour des dossiers couverts par le secret, les questions à se poser ne sont pas les mêmes.
| Critère | IA grand public | Alfred |
|---|---|---|
| Lieu de traitement des données | Serveurs de l’éditeur, souvent hors de l’Union européenne | En France, ou sur vos serveurs |
| Réutilisation pour l’entraînement | Possible selon l’offre souscrite et les réglages du compte | Jamais |
| Modèle d’IA | Fermé, exploité par l’éditeur | Ouvert, européen quand c’est possible |
| Accès à vos dossiers | Ce que vous copiez-collez dans la conversation | Branché sur vos documents, avec des droits définis avec vous |
| Traçabilité des accès | Définie par l’éditeur | Accès journalisés |
| Données de santé | Certification HDS à vérifier au cas par cas | Hébergement certifié HDS |
Les pratiques varient d’un service à l’autre et évoluent. Vérifiez les conditions d’utilisation de l’outil que vous employez.
Les questions à poser à n’importe quel prestataire IA
Que vous travailliez avec nous ou avec un autre, ces questions vous éviteront les mauvaises surprises. Une réponse floue est déjà une réponse.
Dans quel pays mes données sont-elles stockées, et où sont-elles traitées ?
Le stockage des documents et le traitement par le modèle d’IA peuvent avoir lieu à deux endroits différents.
Mes données peuvent-elles servir à entraîner un modèle, même anonymisées ?
La réponse doit figurer dans le contrat, pas seulement sur une page de présentation.
Quel modèle d’IA utilisez-vous, et qui l’exploite ?
Un prestataire installé en France peut s’appuyer sur le service en ligne d’un éditeur situé hors d’Europe.
Qui peut accéder à mes données, et ces accès sont-ils tracés ?
Vous devez pouvoir savoir qui a consulté quoi, et quand.
Quels sous-traitants interviennent, et où sont-ils situés ?
Hébergeur, fournisseur du modèle, outils d’automatisation : chaque maillon compte.
Pour des données de santé, l’hébergeur est-il certifié HDS ?
En France, c’est une exigence légale pour héberger des données de santé pour le compte d’un tiers.
Que deviennent mes données si j’arrête ?
Restitution, suppression, délais : mieux vaut le savoir avant de commencer.
Posez-nous ces questions dès le premier appel. Nous y répondons précisément.
Parlons de vos contraintes de confidentialité
30 minutes, sans engagement. Nous vous expliquons où seraient hébergées les données de votre cabinet et quels modèles nous utiliserions.