Comment répondre à la section IA d'un questionnaire de sécurité — la méthode, de bout en bout

Dernière vérification : 14 juillet 2026. Contenu pédagogique, ne constitue pas un conseil juridique.

Nos livrables et notre assistance sont en anglais — la langue standard des revues de sécurité des grands comptes. Cette page est une traduction fidèle de notre guide en anglais.

Votre acheteur a envoyé une évaluation fournisseur. Quelque part vers la page quatre commence la section IA : quels modèles utilisez-vous, les données clients servent-elles à les entraîner, êtes-vous conforme au règlement européen sur l'intelligence artificielle (règlement (UE) 2024/1689, l'« EU AI Act »). Personne dans votre équipe n'y a jamais répondu, le deal attend, et chaque mauvaise réponse pourra être découverte plus tard. Voici la méthode que nous appliquons à chaque mission — elle fonctionne que le questionnaire soit un AI-CAIQ, un SIG 2026 ou le tableur sur mesure d'un acheteur.

Étape 1 — Construisez l'inventaire avant de répondre à quoi que ce soit

Un tiers à la moitié de toute section IA découle d'un seul artefact : l'inventaire des systèmes d'IA. Une page, une ligne par capacité d'IA :

• Ce que fait la capacité (p. ex. « génération de brouillons à partir de documents clients »)
• Modèle et fournisseur (OpenAI / Anthropic / Google / auto-hébergé), et si vous faites du fine-tuning
• Quelles données clients atteignent le modèle, et dans quelle région elles sont traitées
• Supervision humaine (qui relit les sorties, quand elle est obligatoire)
• Journalisation et conservation des prompts/sorties
• Information des utilisateurs (mentions, notices)
• Si le fournisseur figure sur votre liste publique de sous-traitants, et le DPA que vous détenez avec lui

Répondez au questionnaire à partir de l'inventaire et chaque réponse reste cohérente — l'incohérence entre réponses est la cause n° 1 des tours de questions supplémentaires côté acheteur.

Étape 2 — Traitez la question des données d'entraînement en deux couches

« Les données clients sont-elles utilisées pour entraîner ou affiner des modèles d'IA ? » exige une réponse à deux couches : votre propre pratique (vous ne faites pas de fine-tuning) et les conditions contractuelles de votre fournisseur. Les API entreprise des grands fournisseurs n'entraînent pas leurs modèles sur les données d'API par défaut — mais vérifiez la version du DPA que vous avez réellement signé avant de l'affirmer par écrit. Citer l'accord précis fait la différence entre une réponse qui clôt la question et une réponse qui en engendre trois nouvelles.

Étape 3 — Survivez à « Êtes-vous conforme à l'EU AI Act ? »

Jamais un « oui » en bloc — les relecteurs juridiques y voient un signal d'alerte. Quatre parties :

1. Classification : la plupart des SaaS B2B relèvent du risque limité/minimal — hors des cas d'usage à haut risque de l'annexe III du règlement (UE) 2024/1689. Dites-le explicitement.
2. Obligations applicables : typiquement la transparence de l'art. 50 (à partir du 2 août 2026 — non reportée par le Digital Omnibus) et la maîtrise de l'IA de l'art. 4 (depuis le 2 février 2025). Attention au piège fournisseur/déployeur : un SaaS qui livre un modèle sous sa propre marque est soumis aux obligations de fournisseur de l'art. 50(1) — notre guide de l'article 50 couvre la carte complète.
3. Mesures en place : les contrôles que vous appliquez réellement, énoncés factuellement.
4. Travaux en cours : les vraies lacunes, chacune avec un plan.

Étape 4 — Formulez les lacunes avec la formule que les achats acceptent

Étape 5 — Signalez ce à quoi seul un juriste peut répondre

Les questions sur les secteurs réglementés, la biométrie, les décisions en matière d'emploi ou le scoring de crédit peuvent changer votre qualification juridique. C'est en devinant que des éditeurs se retrouvent avec des réponses de questionnaire qui contredisent leurs propres contrats. Marquez ces points « en cours de revue juridique » — une question signalée témoigne de diligence, dix réponses fausses témoignent de négligence.

Le calcul du temps (et le raccourci)

Fait en interne pour la première fois, cela représente, de manière réaliste, une à deux semaines d'attention d'un fondateur ou d'un ingénieur — en plein deal, quand l'élan compte le plus. C'est l'échange pour lequel nous existons : nous livrons le brouillon complet — chaque réponse, la synthèse des lacunes, l'inventaire — en 48 heures pour 490 $ forfaitaires, payés après livraison, le tout marqué pour votre revue avant envoi. Et si vous voulez une preuve avant de vous engager : envoyez le questionnaire et nous répondons gratuitement aux 3 premières questions, pour que vous jugiez le travail lui-même. Voir un exemple complet de livrable ici.