Gouvernance de l'intelligence artificielle

Version 1.0, en vigueur au 28 septembre 2026

Cette page décrit ce que fait l'intelligence artificielle dans AIRA, quelles données elle reçoit et qui contrôle ce qu'elle produit. Elle complète la politique de confidentialité.

Ce que fait l'IA, et ce qu'elle ne fait pas

L'IA d'AIRA propose : des scénarios de risque pour un actif ou un projet, et des éléments pour les ateliers d'une étude EBIOS Risk Manager. Elle ne décide rien : elle n'écrit pas dans le registre des risques, ne choisit pas un traitement et ne signe aucun document.

Un humain valide tout ce qui compte

• Une analyse proposée par l'IA n'entre au registre qu'après un clic « Accepter » d'un membre de l'espace, qui peut modifier chaque scénario avant. Une analyse refusée n'entre jamais au registre.
• La lettre de risque est signée par le propriétaire du risque, sur la décision de traitement qu'il a prise.
• Dans une étude EBIOS RM, chaque proposition est acceptée, corrigée ou refusée une par une.
• Au registre, chaque risque proposé par l'IA porte la mention « IA » et peut être isolé par un filtre.
• Chaque acceptation ou refus est enregistré avec son auteur et sa date, et chaque modification d'un risque est historisée.

Les données transmises au modèle

Le modèle reçoit les informations que le client a saisies dans son espace et qui sont utiles à l'analyse : description de l'actif ou du projet, nom de machine et adresse réseau s'ils sont renseignés, noms des responsables de l'actif, mesures de sécurité, menaces retenues, éléments de l'étude EBIOS RM. Il ne reçoit ni identifiant d'utilisateur ni adresse e-mail.

Le modèle

• Le modèle est exécuté en France par un prestataire européen, qui s'engage à le maintenir dans l'Union européenne et à prévenir avant tout changement de lieu. Aucun transfert hors de l'Union européenne.
• Les requêtes et les réponses ne sont pas conservées par ce prestataire après traitement, hors conservation temporaire en cas d'erreur technique ou d'abus détecté, pour en établir la cause (au plus deux semaines).
• Vos données ne servent jamais à entraîner ni à améliorer un modèle, et ne sont pas accessibles à l'éditeur du modèle.

Traçabilité et conservation

Chaque appel à l'IA est journalisé : quel espace, quel utilisateur, quand, quel volume. La trace complète (ce qui a été envoyé au modèle et ce qu'il a répondu) est conservée sur notre propre infrastructure, en France, avec un accès restreint à l'équipe d'exploitation. Elle sert à comprendre une proposition contestée.

• Traces complètes : effacées au bout de 90 jours.
• Journal des appels et des décisions : effacé au bout d'un an.
• Les sauvegardes, chiffrées, suivent leur propre durée de conservation avant d'être supprimées.

Vous gardez la main

• L'IA peut être coupée pour tout l'espace par un administrateur, dans les Réglages de l'espace. Coupée, AIRA fonctionne en saisie manuelle et rien n'est envoyé au modèle.
• Le droit de lancer une analyse IA est attribué rôle par rôle.
• À votre demande, nous pouvons aussi désactiver l'IA de votre espace de notre côté ; elle ne peut alors pas être réactivée depuis l'espace.

Cadre réglementaire

AIRA est un outil d'aide à l'analyse des risques de cybersécurité. À notre analyse, son usage ne relève pas des systèmes d'IA à haut risque au sens du règlement européen sur l'intelligence artificielle (règlement (UE) 2024/1689) ; nous appliquons ses obligations de transparence, en signalant les contenus proposés par l'IA. Cette qualification est revue à chaque évolution du produit. Pour les données de son espace, AIRA agit en qualité de sous-traitant du client au sens du RGPD, dans les conditions des conditions générales de vente.