Deux architectures sous une même étiquette
L'éditeur s'appuie sur un modèle de langage tiers (LLM) via une API
Le logiciel envoie les textes de l'utilisateur à un service externe, qui renvoie une réponse. C'est rapide à mettre en place et très répandu. Le fonctionnement du modèle, son hébergement et ses évolutions dépendent alors du fournisseur du LLM.
L'éditeur développe et opère sa propre IA
Il choisit son architecture, l'héberge sur son infrastructure, décide de ce qui est conservé et de ce qui ne l'est pas, et peut en documenter le fonctionnement. Cela demande davantage d'investissement, mais change la nature des engagements que l'éditeur peut prendre envers ses clients.
Aucune de ces deux approches n'est illégale. La différence tient à ce que l'éditeur peut démontrer, et à ce que le client peut vérifier.
Pourquoi la différence compte en QHSE ?
Un logiciel QHSE manipule des données sensibles : rapports d'accidents, arrêts de travail, habilitations, audits, informations sur des salariés et des sous-traitants. Trois enjeux en découlent.
- Où vont les données ? Si elles transitent par un service tiers, dans quel pays sont-elles traitées, et pendant combien de temps sont-elles conservées ?
- Sont-elles réutilisées ? Certaines offres autorisent par défaut l'utilisation des échanges pour améliorer les modèles. Les conditions contractuelles se vérifient une à une.
- Qui répond de quoi ? En cas d'incident ou de contrôle, la chaîne de responsabilité est plus simple à établir quand un seul acteur opère l'ensemble.
Les fiches pratiques de la CNIL sur l'IA détaillent les points de vigilance RGPD à examiner pour tout système d'IA traitant des données personnelles.
Comment vérifier ce que vous achetez ?
Demandez par écrit à votre éditeur :
- qui a conçu le modèle utilisé et qui l'exploite ;
- où sont hébergés les traitements et les données ;
- si des sous-traitants ultérieurs interviennent dans le traitement, et lesquels ;
- si vos données peuvent servir à entraîner un modèle, et dans quelles conditions ;
- quelle documentation décrit le fonctionnement et les limites de l'IA.
Une réponse précise et contractualisée est un bon indicateur de maîtrise. Une réponse floue appelle à la prudence.
L'approche de Symalean
L'IA de Symalean est développée par Symalean. Elle est hébergée sur des serveurs HDS et conçue pour protéger les données de ses clients. Symalean a par ailleurs engagé une démarche de certification ISO/IEC 42001, la norme de système de management de l'IA. Pour comprendre cette norme, lisez notre guide ISO 42001.
