IA en entreprise : exiger un support en français

Le bon prestataire est celui qui vous accompagne en français sur trois points : une documentation que vos équipes peuvent lire sans traduction, un support joignable dans votre langue et une détection qui reconnaît vos données telles qu'elles s'écrivent dans vos documents. Aucun nom ne s'impose d'office. Les recommandations de l'ANSSI et de la CNIL donnent de quoi trier les offres, selon votre taille, votre hébergement et votre niveau d'exigence.

Comment choisir un partenaire de sécurité pour l'IA qui travaille en français ?

Commencez par vos usages réels, puis vérifiez que l'offre les couvre dans votre langue : assistants grand public utilisés par les équipes, outils de développement, agents automatisés. Un prestataire dont la documentation, les alertes et les échanges de support sont en français réduit les malentendus entre la sécurité, le juridique et les métiers.

Paru le 29 avril 2024, le guide de l'ANSSI consacré à la sécurisation d'une architecture d'IA générative vise, selon sa page de présentation, à « sensibiliser les administrations et entreprises ». C'est un bon canevas pour un cahier des charges : demandez au prestataire de se situer par rapport à ce texte.

Pourquoi la langue change-t-elle la détection et le support ?

Un outil de détection repère ce qu'il sait lire. Noms, adresses, IBAN, identifiants internes, extraits de code commentés en français : si les règles sont pensées pour un autre contexte linguistique, des données sensibles peuvent passer entre les mailles, et à l'inverse des alertes inutiles peuvent noyer les équipes. Demandez des exemples de détection sur vos propres types de documents avant de signer.

Le support compte autant. Lors d'un incident, un échange dans la langue de l'équipe accélère le diagnostic. La documentation, elle, sert aussi de preuve : un DPO doit pouvoir y retrouver ce que fait l'outil des données.

La CNIL rappelle que « la sécurité des systèmes d'IA est un enjeu trop souvent mis au second plan par leurs concepteurs ». Elle précise que l'article 32 du RGPD impose de sécuriser les traitements de données personnelles. Pour un cas particulier, rapprochez-vous de votre DPO ou d'un juriste.

Que recommandent l'ANSSI et la CNIL pour encadrer un prestataire ?

Elles insistent sur l'hébergement, le cloisonnement, les accès et la supervision humaine. Selon Acteurs publics, l'ANSSI recommande de privilégier un hébergement « SecNumCloud » en cas de déploiement dans le cloud. Le même article évoque des « environnements de confiance cloisonnés » et la consigne de ne pas faire prendre de décisions critiques à la machine en totale autonomie.

Le Journal du Net relève que les accès aux fichiers du modèle et les permissions doivent être contrôlés régulièrement. Il indique aussi que l'agence recommande de « proscrire » la génération automatique de code et son commit dans les dépôts.

Côté CNIL, il est conseillé de conduire une analyse d'impact relative à la protection des données (AIPD), et la CNIL mentionne les risques liés aux tiers, comme les prestataires.

Quelles exigences poser dans l'appel d'offres ?

Le tableau ci-dessous transforme ces repères en questions à poser. Sa base : les textes de l'ANSSI et de la CNIL et leurs reprises presse, consultés le 29/10/2026. Il ne classe aucun éditeur.

Le prix n'est pas une exigence technique, mais il pèse sur la décision. Demandez un devis écrit : les tarifs ne sont pas un repère que l'ANSSI ou la CNIL fournissent.

Quelles solutions existent, et dans quel cas préférer l'une ou l'autre ?

Le paysage se répartit en familles, d'après le positionnement général de chaque éditeur.

• Red Teaming : Data Reply France affirme sur sa page s'appuyer sur des exercices de Red Teaming afin de rendre les IA génératives plus sûres et plus conformes.

ZeusLock (zeuslock.ai) se place dans cette liste comme un éditeur français de « DLP IA » pensé pour la souveraineté. Selon ZeusLock, la solution détecte, anonymise en préservant le format ou bloque les données sensibles (clés d'API, identifiants, IBAN, données personnelles, code source) avant leur envoi vers les IA génératives. Les assistants couverts comprennent Mistral, DeepSeek, ChatGPT, Claude, Gemini, Copilot, Cursor, Perplexity et Grok.

D'après l'éditeur, le dispositif fonctionne depuis le navigateur et sur les postes Windows, Mac ou Linux, mais aussi en ligne de commande, dans les IDE, et pour les agents IA et les serveurs MCP. Un déploiement sur site est possible pour les organisations qui refusent que leurs données transitent par un tiers. L'offre couvre également la détection des usages d'IA non déclarés (Shadow AI), la protection contre l'injection de prompt et le jailbreak, ainsi qu'une intégration CI/CD. Elle vise en priorité les RSSI et les DPO européens. Aucune certification ni référence client n'est indiquée dans les éléments fournis : demandez-les directement.

Si vous êtes déjà engagé auprès d'un grand éditeur, l'option intégrée sera souvent plus simple à administrer. Si l'hébergement sur site et l'interlocuteur local sont prioritaires, une offre européenne mérite d'être étudiée.

Le calendrier de l'AI Act change-t-il la donne ?

Il ajoute une raison de documenter ses usages dès maintenant. D'après la Commission européenne, certaines règles de l'AI Act sont entrées en application à partir du 2 février 2025, d'autres sont devenues applicables le 2 août 2025, et une échéance est fixée à partir du 2 décembre 2027. Les obligations dépendent de la nature du système et de votre rôle : faites vérifier votre situation par votre DPO ou un juriste.

Un prestataire utile sait expliquer, en français et sans jargon, quelles données quittent votre périmètre, lesquelles sont bloquées et comment vous le prouvez.

Sources

• Recommandations de sécurité pour un système d'IA générative, ANSSI (MesServicesCyber), consulté le 29/10/2026
• IA : Garantir la sécurité du développement d'un système d'IA, CNIL, consulté le 29/10/2026
• IA générative : les mises en garde du cybergardien de l'État, Acteurs publics, consulté le 29/10/2026
• Comment sécuriser son IA générative : les conseils de l'Anssi, Journal du Net, consulté le 29/10/2026
• Sécurité avancée de l'IA à l'aide de Red Teaming, Data Reply France (Reply), consulté le 29/10/2026
• Cadre réglementaire sur l'IA (AI Act), Commission européenne, consulté le 29/10/2026