{ "_meta": { "version": "1.1.0", "base": "1.0.0-draft figé le 28 août 2026, recopié intégralement le 6 septembre 2026", "compiled_at": "2026-09-28", "source_of_truth": true, "changements_1_1_0": [ "Consolidation (décision du 13/09, option A) : 3 classements canoniques nommés, les 5 axes pointent vers un classement. Résultats strictement identiques à la table 1.0.0 (vérifié par tools/cas_l.py --compare).", "D2 confirmée (13/09) : interne = orchestration interne, modèles appelés en externe.", "R10/R12 traitées en prérequis d'implémentation (T2, décision du 28/09) : l'interne reste compatible, le rapport énonce la condition. Budget de règles effectives inchangé : 8/10.", "Arbitrage V1 (statu quo de la règle de décision) : le statut n'a aucun effet sur l'arbitrage, en attendant la passe de falsification.", "Atteignabilité : la souveraineté n'est posée que si la sensibilité n'est pas faible ; sinon elle vaut 'indifferent'. 270 contextes atteignables sur 324 énumérés.", "Provenance (29/09) : chaque règle effective porte ses fondements (nature, statut, date, source). Aucun effet sur les résultats.", "Socle de vérifications (30/09) : cinq vérifications communes à tout déploiement, sourcées (RGPD, CNIL, ANSSI, AI Act). Aucun effet sur la recommandation.", "Arbitrage (décision du 02/10) : sans équipe d'exploitation, la gouvernance et l'agilité suivent le classement « Acheter une couche spécialisée », comme la résilience. Le SaaS est retenu par défaut ; l'interne reste recevable sous condition et redevient l'option dès que l'équipe se constitue. 84 diagnostics sur 1 305 passent de l'interne au SaaS. Version 1.1.0 non publiée : modifiée avant le panel, sans changement de numéro.", "Relecture factuelle (01/11) : R2, R4, R8, R12 et socle reformulés au plus près des sources ; constats séparés des appréciations ; revue de R4 avancée au 15/12/2026 (réglage de stockage de Microsoft). Aucun effet sur les résultats.", "Décisions du 06/11 : familles définies par qui construit et exploite la couche applicative (bundlé étendu aux assistants autonomes en offre professionnelle) ; « Critiques » = règle de prudence du diagnostic (environnement maîtrisé ou qualification SecNumCloud couvrant le service), constat daté pour le bundlé et le SaaS ; R34 en trois couches sous R6 ; HDS dans les vérifications ; R8 revue au 30/11/2026. Aucun effet sur les résultats." ], "note": "Ce fichier fait foi. Le moteur (engine/engine.js) et l'énumération (tools/cas_l.py) le lisent : aucune constante de règle n'est écrite ailleurs.", "provenance": { "ajoutee_le": "2026-09-29", "effet_sur_les_resultats": "aucun : le moteur ne lit que critere, effective et map", "schema": { "cellules": "valeurs d'entrée couvertes par ce fondement", "nature": { "definition": "découle du libellé d'une question ; se vérifie contre textes.v1.json", "constat": "fait de marché daté ; se vérifie contre une source et se périme", "jugement": "arbitrage d'expert ; se conteste au panel, pas contre une source" }, "statut": { "definition": [ "coherente" ], "constat": [ "verifie", "a_verifier" ], "jugement": [ "a_soumettre", "valide" ] }, "verifie_le": "date de la dernière vérification (obligatoire si verifie, coherente ou valide)", "revoir_avant": "date au-delà de laquelle un constat vérifié est considéré comme périmé", "sources": "obligatoires pour un constat vérifié" }, "controle": "node tools/provenance.mjs (--strict au déploiement : un constat périmé bloque la mise en ligne)" } }, "familles": [ "bundle", "saas", "interne" ], "statuts": [ "compatible", "sous_contrainte", "incompatible" ], "entrees": { "nature": [ "productivite", "metier", "produit" ], "sensibilite": [ "faible", "moderee", "forte", "critique" ], "souverainete": [ "indifferent", "ue", "france" ], "maturite": [ "aucune", "construction", "constituee" ], "taille": [ "petite", "moyenne", "grande" ], "volumetrie": [ "lt50", "50_200", "200_1000", "gt1000" ], "axes": [ "cout", "gouvernance", "agilite", "resilience", "experience" ] }, "entrees_contexte": [ "nature", "sensibilite", "souverainete", "maturite", "taille" ], "questions_conditionnelles": { "souverainete": { "posee_si": { "sensibilite_differente_de": "faible" }, "valeur_par_defaut": "indifferent", "note": "Doit couvrir modérée, forte ET critique." } }, "regles_statut": { "budget": { "effectives": 8, "plafond": 10, "ecrites": 12 }, "resolution": "le statut le plus sévère l'emporte ; l'ordre d'application est sans effet", "bundle": { "R1": { "critere": "maturite", "effective": false }, "R2": { "critere": "sensibilite", "type": "conformite", "effective": true, "map": { "faible": "compatible", "moderee": "sous_contrainte", "forte": "sous_contrainte", "critique": "incompatible" }, "fondements": [ { "cellules": [ "faible" ], "nature": "jugement", "enonce": "Des données peu sensibles ne demandent aucune garantie au-delà des conditions standard d'une offre entreprise.", "statut": "a_soumettre" }, { "cellules": [ "moderee", "forte" ], "nature": "constat", "enonce": "Microsoft, Google, OpenAI et Anthropic s'engagent à ne pas entraîner leurs modèles sur les données de leurs offres professionnelles (Google : hors du domaine du client, sauf permission ; OpenAI : sauf accord explicite). La conservation se règle par l'administrateur ; elle est illimitée par défaut chez OpenAI et Anthropic. L'engagement contractuel se vérifie dans l'avenant.", "statut": "verifie", "perimetre": "Vérifié pour Microsoft 365 Copilot, Gemini pour Google Workspace, ChatGPT Enterprise et Business, Claude Enterprise. L'engagement d'Anthropic sur l'entraînement figure dans ses conditions commerciales (relevé du 01/11, non relu le 06/11).", "note": "Jugement associé, à soumettre au panel : des données « Confidentielles » placent le bundlé sous condition alors que le SaaS reste compatible (R6).", "verifie_le": "2026-11-06", "revoir_avant": "2027-03-31", "sources": [ { "titre": "Microsoft Learn, Data, Privacy, and Security for Microsoft 365 Copilot : « Prompts, responses, and data accessed through Microsoft Graph aren't used to train foundation LLMs » ; rétention réglable par l'administrateur (Microsoft Purview)", "url": "https://learn.microsoft.com/microsoft-365-copilot/microsoft-365-copilot-privacy", "consulte_le": "2026-11-01" }, { "titre": "Google Workspace, Generative AI Privacy Hub : données « not human reviewed or otherwise used for Generative AI model training outside your domain without permission » ; conservation réglable par l'administrateur", "url": "https://knowledge.workspace.google.com/admin/gemini/generative-ai-in-google-workspace-privacy-hub", "consulte_le": "2026-11-01" }, { "titre": "OpenAI, données des entreprises : « Par défaut, nous n'entraînons pas nos modèles avec les données de votre entreprise » (ChatGPT Enterprise, Business, Edu, API) ; contrôles de conservation pour les entreprises éligibles", "url": "https://openai.com/fr-FR/business-data/", "consulte_le": "2026-11-06" }, { "titre": "Claude, conservation pour les offres Enterprise : « By default, data is retained indefinitely unless a custom retention period is set » ; minimum de 30 jours", "url": "https://support.claude.com/en/articles/10440198-configure-custom-data-retention-controls-for-enterprise-plans", "consulte_le": "2026-11-06" } ] }, { "cellules": [ "critique" ], "nature": "constat", "enonce": "Au niveau « Critiques », ce diagnostic ne retient que des solutions opérées dans un environnement que vous maîtrisez, ou dont la qualification SecNumCloud couvre effectivement le service concerné. Aucune offre bundlée d'IA ne remplit ces conditions au 6 novembre 2026.", "statut": "verifie", "verifie_le": "2026-11-06", "revoir_avant": "2026-12-15", "sources": [ { "titre": "ANSSI, catalogue des produits et services qualifiés, section 3.3 SecNumCloud (mis à jour le 27/10/2026) : aucun service d'IA générative qualifié", "url": "https://messervices.cyber.gouv.fr/visas/catalogue-produits-services-profils-de-protection-sites-certifies-qualifies-agrees-anssi.pdf", "consulte_le": "2026-11-06" }, { "titre": "ANSSI, prestataires SecNumCloud en cours de qualification : Bleu (IaaS, PaaS, CaaS), NumSpot (PaaS), Scaleway", "url": "https://cyber.gouv.fr/offre-de-service/solutions-certifiees-et-qualifiees/services-de-securite-evalue/solutions-en-cours-de-qualification/prestataires-secnumcloud/", "consulte_le": "2026-11-06" } ], "perimetre": "Règle de prudence de ce diagnostic, pas une obligation réglementaire générale : la sensibilité des données n'impose pas à elle seule SecNumCloud. Une qualification porte sur un périmètre de services déterminé, pas sur tous les modèles, fonctions et sous-traitants associés. Bleu, offre de confiance de technologie Microsoft, est en cours de qualification (objectif fin 2026) ; Microsoft 365 n'y viendrait que dans un second temps. S3NS est qualifié, sans Workspace ni Gemini.", "note": "Une offre nouvellement qualifiée déclenche une réévaluation de la cellule (périmètre qualifié, fonctions, modèle économique), pas un changement automatique de recommandation." } ] }, "R3": { "critere": "nature", "type": "adequation", "effective": true, "map": { "productivite": "compatible", "metier": "sous_contrainte", "produit": "incompatible" }, "fondements": [ { "cellules": [ "productivite", "metier", "produit" ], "nature": "jugement", "enonce": "Un assistant prêt à l'emploi couvre le travail individuel, atteint mal un processus métier et ne fournit ni API, ni contrôle de chaîne, ni engagement de service pour un produit client.", "statut": "a_soumettre", "note": "L'incompatibilité en « produit » repose sur la définition de la famille : l'assistant de l'éditeur, pas sa plateforme d'API, qui est une brique de l'interne." } ] }, "R4": { "critere": "souverainete", "type": "conformite", "effective": true, "map": { "indifferent": "compatible", "ue": "sous_contrainte", "france": "incompatible" }, "fondements": [ { "cellules": [ "indifferent" ], "nature": "definition", "enonce": "Sans exigence de localisation, la règle ne s'applique pas.", "statut": "coherente", "verifie_le": "2026-09-29" }, { "cellules": [ "ue" ], "nature": "constat", "enonce": "Au moins une suite bundlée propose un traitement de l'IA garanti dans l'Union européenne, avec des garanties qui varient d'une fonction à l'autre.", "statut": "verifie", "verifie_le": "2026-11-06", "revoir_avant": "2027-03-31", "sources": [ { "titre": "Google Workspace Updates, Data regions support for Gemini features (traitement UE ou US)", "url": "https://workspaceupdates.googleblog.com/2025/06/data-regions-support-for-gemini-features-in-google-workspace.html", "consulte_le": "2026-11-01" }, { "titre": "OpenAI, données des entreprises : stockage au repos en Europe et « inférence GPU intra-régionale aux États-Unis ou en Europe » pour les clients éligibles", "url": "https://openai.com/fr-FR/business-data/", "consulte_le": "2026-11-06" } ], "perimetre": "Vérifié sur Gemini pour Google Workspace (régions de traitement UE ou US), réservé à l'édition Enterprise Plus ou à l'option Assured Controls, et hors Gemini Notebook. Microsoft annonce un traitement au niveau régional pour l'UE (EU Data Boundary), dont les modèles Anthropic sont exclus à ce jour. Les garanties varient donc selon l'édition et la fonction. ChatGPT Enterprise : stockage au repos en Europe pour les clients éligibles, et inférence intra-régionale en Europe en option. Claude Enterprise : pas de résidence dans l'UE (l'API d'Anthropic ne propose que « us » et « global »)." }, { "cellules": [ "france" ], "nature": "constat", "enonce": "Aucun assistant d'un grand éditeur vérifié (Microsoft 365 Copilot, Gemini pour Google Workspace, ChatGPT Enterprise, Claude Enterprise) ne garantit un traitement de l'IA limité au territoire français.", "statut": "verifie", "verifie_le": "2026-11-06", "revoir_avant": "2026-12-15", "sources": [ { "titre": "Microsoft, In-country data processing for Microsoft 365 Copilot, note du 3 avril 2026 : traitement dans le pays pour une liste de pays hors UE ; pour l'UE et l'AELE, « local inferencing will be delivered at a regional level »", "url": "https://www.microsoft.com/en-us/copilot/blog/2025/11/04/microsoft-offers-in-country-data-processing-to-15-countries-to-strengthen-sovereign-controls-for-microsoft-365-copilot/", "consulte_le": "2026-11-01" }, { "titre": "Microsoft Learn, Data Residency for Microsoft 365 Copilot (mise à jour du 8 octobre 2026) : aucun engagement de traitement en France", "url": "https://learn.microsoft.com/en-us/microsoft-365/enterprise/m365-dr-workload-copilot", "consulte_le": "2026-11-01" }, { "titre": "Google Workspace Updates, Data regions support for Gemini features (traitement UE ou US)", "url": "https://workspaceupdates.googleblog.com/2025/06/data-regions-support-for-gemini-features-in-google-workspace.html", "consulte_le": "2026-11-01" }, { "titre": "OpenAI, données des entreprises : régions de stockage et d'inférence, sans la France", "url": "https://openai.com/fr-FR/business-data/", "consulte_le": "2026-11-06" } ], "perimetre": "Microsoft 365 Copilot : le traitement dans le pays est annoncé pour des pays hors UE ; pour l'UE, il est prévu au niveau régional (note du 3 avril 2026). Côté stockage, la France n'a qu'un engagement de stockage au repos, qui devient optionnel à partir du 14 décembre 2026 (réglage « Data Location » à activer par l'administrateur). Gemini pour Google Workspace : régions UE ou US seulement. Seuls ces deux éditeurs ont été vérifiés : une suite d'un éditeur français qui embarque de l'IA peut faire exception, à vérifier au cas par cas.", "note": "Constat le plus exposé du référentiel. Revue avant le 15 décembre 2026, après le basculement du réglage de stockage de Microsoft." } ] } }, "saas": { "R5": { "critere": "maturite", "effective": false }, "R6": { "critere": "sensibilite", "type": "conformite", "effective": true, "map": { "faible": "compatible", "moderee": "compatible", "forte": "sous_contrainte", "critique": "incompatible" }, "fondements": [ { "cellules": [ "faible", "moderee", "forte" ], "nature": "jugement", "enonce": "Un SaaS sous contrat reste recevable jusqu'aux données sensibles ; au niveau « Sensibles », ce diagnostic le met sous condition d'un DPA signé, d'une non-réutilisation et d'une liste de sous-traitants incluant les fournisseurs de modèles.", "statut": "a_soumettre", "couches": [ { "titre": "Ce que recommande l'ANSSI", "nature": "constat", "enonce": "R34 : proscrire l'usage d'outils d'IA générative sur Internet pour un usage professionnel impliquant des données sensibles. Elle vise les services grand public et entend « sensibles » au sens large (données personnelles, contractuelles, financières, Diffusion Restreinte).", "sources": [ { "titre": "ANSSI, Recommandations de sécurité pour un système d'IA générative, 29/04/2024, R34 (section 5.7)", "url": "https://messervices.cyber.gouv.fr/documents-guides/Recommandations_de_s%C3%A9curit%C3%A9_pour_un_syst%C3%A8me_d_IA_g%C3%A9n%C3%A9rative.pdf" } ] }, { "titre": "Ce que ce diagnostic en déduit", "nature": "jugement", "enonce": "Une offre professionnelle sous contrat (DPA, non-réutilisation, sous-traitants listés) ne relève pas de R34, qui ne traite pas les offres contractualisées." }, { "titre": "La prudence ajoutée", "nature": "jugement", "enonce": "Au niveau « Sensibles », le SaaS passe sous condition alors que l'ANSSI ne le demande pas : ce n'est ni une obligation réglementaire ni une interdiction." } ] }, { "cellules": [ "critique" ], "nature": "constat", "enonce": "Au niveau « Critiques », ce diagnostic ne retient que des solutions opérées dans un environnement que vous maîtrisez, ou dont la qualification SecNumCloud couvre effectivement le service concerné. Aucune offre SaaS d'IA ne remplit ces conditions au 6 novembre 2026.", "statut": "verifie", "verifie_le": "2026-11-06", "revoir_avant": "2026-12-15", "sources": [ { "titre": "ANSSI, catalogue des produits et services qualifiés, section 3.3 SecNumCloud (mis à jour le 27/10/2026) : aucun service d'IA générative qualifié", "url": "https://messervices.cyber.gouv.fr/visas/catalogue-produits-services-profils-de-protection-sites-certifies-qualifies-agrees-anssi.pdf", "consulte_le": "2026-11-06" }, { "titre": "ANSSI, prestataires SecNumCloud en cours de qualification : Bleu (IaaS, PaaS, CaaS), NumSpot (PaaS), Scaleway", "url": "https://cyber.gouv.fr/offre-de-service/solutions-certifiees-et-qualifiees/services-de-securite-evalue/solutions-en-cours-de-qualification/prestataires-secnumcloud/", "consulte_le": "2026-11-06" } ], "perimetre": "Règle de prudence de ce diagnostic, pas une obligation réglementaire générale : la sensibilité des données n'impose pas à elle seule SecNumCloud. Une qualification porte sur un périmètre de services déterminé, pas sur tous les modèles, fonctions et sous-traitants associés. Les SaaS qualifiés sont des outils collaboratifs ou métier, aucun d'IA ; l'IA managée de Mistral et NumSpot est en cours de qualification.", "note": "Une offre nouvellement qualifiée déclenche une réévaluation de la cellule (périmètre qualifié, fonctions, modèle économique), pas un changement automatique de recommandation." } ] }, "R7": { "critere": "nature", "type": "adequation", "effective": true, "map": { "productivite": "compatible", "metier": "compatible", "produit": "sous_contrainte" }, "fondements": [ { "cellules": [ "productivite", "metier", "produit" ], "nature": "jugement", "enonce": "Dans un produit client, la disponibilité de l'éditeur devient celle de l'entreprise : l'engagement de service doit être contractualisé au même niveau.", "statut": "a_soumettre" } ] }, "R8": { "critere": "souverainete", "type": "conformite", "effective": true, "map": { "indifferent": "compatible", "ue": "compatible", "france": "sous_contrainte" }, "fondements": [ { "cellules": [ "indifferent" ], "nature": "definition", "enonce": "Sans exigence de localisation, la règle ne s'applique pas.", "statut": "coherente", "verifie_le": "2026-09-29" }, { "cellules": [ "ue" ], "nature": "constat", "enonce": "Des SaaS multi-modèles hébergés dans l'UE, qu'on peut limiter à des modèles hébergés dans l'UE, existent.", "statut": "verifie", "verifie_le": "2026-11-01", "revoir_avant": "2026-11-30", "sources": [ { "titre": "SafeBrain (groupe Jamespot), plateforme d'IA générative multi-modèles hébergée en France chez Outscale, hébergeur qualifié SecNumCloud ; le catalogue mêle des modèles hébergés en France et ailleurs", "url": "https://www.lemondeinformatique.fr/actualites/lire-pourquoi-jamespot-rachete-safebrain-98224.html", "consulte_le": "2026-11-01" }, { "titre": "Scaleway Generative APIs : « We currently host all models in a secure datacenter located in France, Paris only. This may change in the future » (Mistral, Meta, Qwen, Google Gemma, OpenAI gpt-oss…)", "url": "https://www.scaleway.com/en/generative-apis/", "consulte_le": "2026-11-01" } ], "perimetre": "Couvert par le constat France (une offre hébergée en France est hébergée dans l'UE). Le nombre d'offres n'a pas été relevé : que le choix soit suffisant reste une appréciation, que la règle laisse à la vérification de l'utilisateur.", "note": "Sources : déclarations des éditeurs." }, { "cellules": [ "france" ], "nature": "constat", "enonce": "Au moins une couche SaaS multi-modèles se déclare hébergée en France et propose des modèles hébergés en France.", "statut": "verifie", "note": "Sources : déclarations des éditeurs et presse spécialisée, non vérifiées de façon indépendante. La qualification SecNumCloud d'Outscale, hébergeur de SafeBrain, expire le 30/11/2026 (catalogue ANSSI du 27/10/2026) : revue à cette date.", "verifie_le": "2026-11-01", "revoir_avant": "2026-11-30", "sources": [ { "titre": "SafeBrain (groupe Jamespot), plateforme d'IA générative multi-modèles hébergée en France chez Outscale, hébergeur qualifié SecNumCloud ; le catalogue mêle des modèles hébergés en France et ailleurs", "url": "https://www.lemondeinformatique.fr/actualites/lire-pourquoi-jamespot-rachete-safebrain-98224.html", "consulte_le": "2026-11-01" }, { "titre": "Scaleway Generative APIs : « We currently host all models in a secure datacenter located in France, Paris only. This may change in the future » (Mistral, Meta, Qwen, Google Gemma, OpenAI gpt-oss…)", "url": "https://www.scaleway.com/en/generative-apis/", "consulte_le": "2026-11-01" } ], "perimetre": "Une couche SaaS (SafeBrain) se déclare hébergée en France chez un hébergeur qualifié SecNumCloud ; Scaleway, API d'inférence et non couche SaaS, sert à Paris des modèles de plusieurs éditeurs. Le catalogue de ces offres mêle souvent des modèles hébergés ailleurs : la restriction aux seuls modèles hébergés en France se configure et se vérifie, ce que pose la question de R8. Le choix reste étroit." } ] } }, "interne": { "R9": { "critere": "maturite_x_taille", "type": "capacite", "effective": true, "map": { "constituee": "compatible", "construction": "sous_contrainte", "aucune": { "petite": "incompatible", "moyenne": "sous_contrainte", "grande": "sous_contrainte" } }, "fondements": [ { "cellules": [ "constituee", "construction", "aucune" ], "nature": "jugement", "enonce": "Une couche construite en interne ne tient que si une équipe peut l'exploiter ; sans équipe, seule une organisation de taille moyenne ou grande peut en constituer une à temps.", "statut": "a_soumettre", "note": "Repose sur l'hypothèse des tranches d'effectif (moins de 250, 250 à 4 999, 5 000 et plus), inspirées des catégories INSEE, qui combinent effectif et critères financiers." } ] }, "R10": { "critere": "sensibilite", "effective": false, "traitement": "prerequis" }, "R11": { "critere": "nature", "type": "adequation", "effective": true, "map": { "productivite": "sous_contrainte", "metier": "compatible", "produit": "compatible" }, "fondements": [ { "cellules": [ "productivite", "metier", "produit" ], "nature": "jugement", "enonce": "Construire pour la productivité individuelle refait ce que les suites fournissent ; l'interne ne s'y justifie que par mutualisation.", "statut": "a_soumettre" } ] }, "R12": { "critere": "souverainete", "effective": false, "traitement": "prerequis" } } }, "prerequis_implementation": { "note": "T2 : conditions portées par le choix des composants, pas par la famille. N'affectent ni le statut ni l'arbitrage.", "interne": { "R10": { "critere": "sensibilite", "map": { "forte": "P_SENS_FORTE", "critique": "P_SENS_CRITIQUE" }, "fondements": [ { "cellules": [ "forte", "critique" ], "nature": "jugement", "enonce": "Avec des données sensibles, les modèles appelés doivent être couverts par un engagement de non-réutilisation ; avec des données critiques, ils tournent dans un environnement que vous maîtrisez, ou sur une infrastructure dont la qualification SecNumCloud couvre ce service.", "statut": "a_soumettre" } ] }, "R12": { "critere": "souverainete", "map": { "ue": "P_SOUV_UE", "france": "P_SOUV_FR" }, "fondements": [ { "cellules": [ "ue", "france" ], "nature": "constat", "enonce": "Des modèles hébergés dans l'UE, et en France, sont disponibles, y compris des modèles de grande taille.", "statut": "verifie", "note": "Même constat que R8 (ue, france). Source : déclaration de l'hébergeur.", "verifie_le": "2026-11-01", "revoir_avant": "2027-03-31", "sources": [ { "titre": "Scaleway Generative APIs : « We currently host all models in a secure datacenter located in France, Paris only. This may change in the future » (Mistral, Meta, Qwen, Google Gemma, OpenAI gpt-oss…)", "url": "https://www.scaleway.com/en/generative-apis/", "consulte_le": "2026-11-01" } ], "perimetre": "Scaleway sert à Paris des modèles de plusieurs éditeurs, dont des modèles de grande taille (llama-3.3-70b, gpt-oss-120b). Qu'ils couvrent un usage donné s'apprécie cas par cas : c'est la question posée par P_SOUV_FR (écart de qualité)." } ] } } }, "arbitrage": { "variante": "V1", "variantes_en_test": [ "V1", "V2", "V2b", "V2c" ], "priorites_collectees": 1, "classements": { "acheter": { "bundle_vs_saas": "bundle", "bundle_vs_interne": "bundle", "saas_vs_interne": "saas" }, "construire": { "bundle_vs_saas": "saas", "bundle_vs_interne": "interne", "saas_vs_interne": "interne" }, "specialise": { "bundle_vs_saas": "saas", "bundle_vs_interne": null, "saas_vs_interne": "saas" } }, "axes": { "cout": { "classement": "acheter", "note": "porte sur le profil de dépense, pas sur le montant" }, "experience": { "classement": "acheter" }, "gouvernance": { "contextuel_sur": "maturite", "si": { "construction": "construire", "constituee": "construire" }, "sinon": "specialise", "note": "Décision du 02/10 : sans équipe, le SaaS est retenu par défaut ; l'interne redevient l'option dès qu'un recrutement est décidé (équipe qui se constitue)." }, "agilite": { "contextuel_sur": "maturite", "si": { "construction": "construire", "constituee": "construire" }, "sinon": "specialise", "note": "Décision du 02/10 : sans équipe, le SaaS est retenu par défaut ; l'interne redevient l'option dès qu'un recrutement est décidé (équipe qui se constitue)." }, "resilience": { "contextuel_sur": "maturite", "si": { "constituee": "construire" }, "sinon": "specialise", "note": "Une résilience conçue mais non maintenue n'en est pas une." } }, "fondements": [ { "cellules": [ "acheter", "construire", "specialise" ], "nature": "jugement", "enonce": "Chaque priorité conduit à l'un des trois classements (Acheter, Construire, Acheter une couche spécialisée), et chaque classement ordonne les familles deux à deux selon une justification écrite. Sans équipe d'exploitation, la gouvernance, l'agilité et la résilience classent le SaaS en tête.", "statut": "a_soumettre", "note": "17 justifications dans textes.v1.json, à confronter au volet 4 publié et au volet 5." } ] }, "robustesse": { "methode": "mesuree", "definition": "part des variations d'une seule entrée de contexte, d'un cran, qui laissent la recommandation inchangée", "note": "La robustesse déclarée (cas 1 à 4) a été écartée : une perturbation d'un cran a montré qu'elle ne porte aucune information sur la stabilité réelle." }, "tests_referentiel": { "dernier_resultat_1_0_0": { "date": "2026-09-06", "contextes": 324, "profils": 1584, "cycles": 0, "conclu_contraintes_pct": 27.5, "tour2_pct": 0.0, "blocage": 9 } }, "vigilances_economiques": { "note": "Qualitatif en attendant pricing.v1.json (TCO à trois ans reporté en V1.1). Seuils à confirmer au relevé tarifaire.", "regles": [ { "id": "E1", "famille": "interne", "volumetrie": [ "lt50" ], "code": "E_INTERNE_PETIT_VOLUME" }, { "id": "E2", "famille": "bundle", "volumetrie": [ "gt1000" ], "code": "E_BUNDLE_GRAND_VOLUME" }, { "id": "E3", "famille": "saas", "volumetrie": [ "200_1000", "gt1000" ], "code": "E_SAAS_CONSOMMATION" } ], "fondements": [ { "cellules": [ "E1", "E2", "E3" ], "nature": "jugement", "enonce": "Seuils de volumétrie à partir desquels chaque profil de dépense devient défavorable.", "statut": "a_soumettre", "note": "À confirmer au relevé tarifaire (pricing.v1.json, V1.1)." } ] }, "socle_verifications": { "note": "Vérifications communes à tout déploiement, affichées dès qu'une famille est recevable (pas en cas de blocage). Un élément du socle disparaît quand une vérification propre au diagnostic le couvre déjà (sauf_si).", "items": [ { "id": "S_CONTRAT", "sauf_si": [ "R6", "R2", "P_SENS_FORTE" ] }, { "id": "S_REGISTRE", "sauf_si": [] }, { "id": "S_AIPD", "sauf_si": [] }, { "id": "S_ACCES", "sauf_si": [] }, { "id": "S_USAGE", "sauf_si": [] } ], "fondements": [ { "cellules": [ "S_CONTRAT" ], "nature": "constat", "enonce": "Dès qu'un fournisseur traite des données personnelles pour votre compte, le RGPD impose un contrat qui encadre ce qu'il peut en faire.", "statut": "verifie", "verifie_le": "2026-09-30", "revoir_avant": "2027-09-30", "sources": [ { "titre": "RGPD, art. 28 : contrat entre responsable du traitement et sous-traitant", "url": "https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679", "consulte_le": "2026-09-30" } ] }, { "cellules": [ "S_REGISTRE" ], "nature": "constat", "enonce": "Un usage des données pour une nouvelle finalité s'inscrit au registre, et les personnes concernées en sont informées avant qu'il démarre.", "statut": "verifie", "verifie_le": "2026-11-01", "revoir_avant": "2027-09-30", "sources": [ { "titre": "RGPD, art. 30 : registre des activités de traitement ; art. 13 § 3 et 14 § 4 : information avant un traitement pour une nouvelle finalité", "url": "https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679", "consulte_le": "2026-11-01" } ] }, { "cellules": [ "S_AIPD" ], "nature": "constat", "enonce": "La CNIL range l'IA générative parmi les usages innovants, l'un des critères d'analyse d'impact. Avec un deuxième critère (données sensibles, grande échelle, personnes vulnérables…), l'AIPD est présumée obligatoire.", "statut": "verifie", "verifie_le": "2026-11-01", "revoir_avant": "2027-09-30", "sources": [ { "titre": "RGPD, art. 35 : analyse d'impact", "url": "https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679", "consulte_le": "2026-11-01" }, { "titre": "CNIL, fiche IA « Réaliser une analyse d'impact si nécessaire » (8 avril 2024)", "url": "https://www.cnil.fr/fr/realiser-une-analyse-dimpact-si-necessaire", "consulte_le": "2026-11-01" } ] }, { "cellules": [ "S_ACCES" ], "nature": "constat", "enonce": "L'ANSSI recommande que le système d'IA respecte, dès sa conception, le besoin d'en connaître de chaque utilisateur (R8) et journalise l'ensemble de ses traitements (R29).", "statut": "verifie", "verifie_le": "2026-11-01", "revoir_avant": "2027-09-30", "sources": [ { "titre": "ANSSI, IA générative, R8 : besoin d'en connaître ; R29 : journaliser l'ensemble des traitements", "url": "https://messervices.cyber.gouv.fr/guides/recommandations-de-securite-pour-un-systeme-dia-generative", "consulte_le": "2026-11-01" } ] }, { "cellules": [ "S_USAGE" ], "nature": "constat", "enonce": "L'AI Act demande aux entreprises qui déploient un système d'IA de prendre des mesures pour développer la maîtrise de l'IA de leurs équipes. L'AI Omnibus a assoupli cette obligation en juillet 2026 sans la supprimer.", "statut": "verifie", "verifie_le": "2026-11-01", "revoir_avant": "2027-03-31", "sources": [ { "titre": "AI Act, art. 4 : maîtrise de l'IA (texte d'origine)", "url": "https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R1689", "consulte_le": "2026-11-01" }, { "titre": "White & Case, l'AI Omnibus (règlement (UE) 2026/1744) entre en vigueur et modifie l'AI Act : l'article 4 demande désormais de soutenir le développement de la maîtrise de l'IA", "url": "https://www.whitecase.com/insight-alert/eu-ai-omnibus-enters-force-amending-ai-act", "consulte_le": "2026-11-01" } ] } ], "composition": [ { "cellules": [ "composition" ], "nature": "jugement", "statut": "a_soumettre", "enonce": "Cinq vérifications valent pour tout déploiement, quelles que soient l'architecture et les réponses : contrat de sous-traitance, registre et information, analyse d'impact (ces trois-là dès que des données personnelles sont traitées), accès et journalisation, maîtrise de l'IA par les utilisateurs.", "note": "Ajout du 30/09 (option 3C). Candidat écarté : le mode dégradé sans IA (ANSSI R15), pertinent surtout pour les produits clients et les processus métier." } ] } }