Présentation technique du système d'IA

Vue d'ensemble

Cet article offre une transparence technique sur la manière dont les systèmes d'IA de ISMS Copilot sont conçus, testés et exploités. Ces détails démontrent notre engagement en faveur d'un développement d'IA responsable via des pratiques de mise en œuvre vérifiables.

À qui s'adresse cet article

Cet article s'adresse aux :

• Équipes de sécurité et de conformité évaluant les contrôles de gouvernance de l'IA

• Auditeurs évaluant la mise en œuvre du système d'IA par rapport aux politiques

• Gestionnaires de risques nécessitant une transparence technique pour les systèmes d'IA

• Utilisateurs techniques souhaitant comprendre l'architecture de l'IA

Mise en œuvre d'ISO 42001

Le système d'IA de ISMS Copilot est conçu et exploité conformément aux exigences de la norme ISO 42001:2023 (Système de management de l'intelligence artificielle). Notre mise en œuvre technique correspond aux contrôles ISO 42001 spécifiques :

Alignement de l'architecture :

• A.4.2 (Établissement du contexte) : Système d'injection dynamique de connaissances sur les référentiels documenté dans le Document de Conception du Système d'IA (AI-SDD-001)

• A.5 (Évaluation d'impact) : Évaluation complète de l'impact de l'IA (Classé 1.9 Risque Faible, Risque Limité selon la loi sur l'IA de l'UE)

• A.6 (Développement responsable) : Cycle de vie de développement sécurisé avec tests de régression, balayage SAST/DAST, tests d'injection de scripts (prompts)

• A.7 (Gestion des données) : Accords de rétention de données nulle (Zero Data Retention), isolation des espaces de travail, périodes de rétention contrôlées par l'utilisateur

• A.8 (Interaction avec l'utilisateur) : Avis de transparence, conception avec intervention humaine (human-in-the-loop), avertissements de vérification sur toute la plateforme

• A.9 (Utilisation responsable) : Limitation des finalités, prévention du contournement des garde-fous (jailbreak), barrières de sécurité sur la portée du contenu

Architecture d'injection dynamique de connaissances

ISMS Copilot utilise l'injection dynamique de connaissances sur les référentiels pour ancrer les réponses de l'IA dans un savoir de conformité vérifié. Depuis la version 2.5 (février 2025), ce système remplace l'ancienne architecture RAG (Génération Augmentée par Récupération) par une approche plus fiable et plus efficace en termes de jetons (tokens).

Fonctionnement de l'injection de connaissances

Composants de l'architecture :

• Couche de détection de référentiel : La recherche de motifs via Regex détecte les mentions de référentiels dans les requêtes utilisateur (ISO 27001, SOC 2, RGPD, HIPAA, CCPA, NIS 2, DORA, ISO 42001, ISO 27701)

• Couche d'injection de connaissances : Charge dynamiquement uniquement les connaissances pertinentes du référentiel dans le contexte de l'IA selon les référentiels détectés

• Couche de génération : Les grands modèles de langage (LLM) des fournisseurs d'IA d'entreprise reçoivent les connaissances du référentiel avant de générer des réponses

• Mécanisme de validation : Les connaissances du référentiel fournies à l'IA garantissent que les réponses sont ancrées dans des exigences de conformité réelles, et non sur des probabilités

Pourquoi l'injection dynamique est cruciale pour la conformité :

• Élimination des hallucinations : L'IA reçoit des connaissances vérifiées avant de répondre, empêchant la fabrication de numéros de contrôle ou d'exigences inexistants

• Efficacité des jetons : Seuls les référentiels pertinents sont chargés (~1-2K jetons) au lieu d'envoyer toute la base (~10K jetons) à chaque requête

• Détection fiable : La correspondance par Regex (non basée sur l'IA) garantit qu'aucune mention de référentiel n'est manquée

• Architecture extensible : De nouveaux référentiels peuvent être ajoutés avec une simple définition d'objet, sans réentraînement du modèle

• Support multi-référentiels : Gère les requêtes mentionnant plusieurs cadres simultanément (ex: "Mappe l'ISO 27001 au SOC 2")

Mise en œuvre technique

Processus de détection :

1. L'utilisateur soumet une requête (ex: "Qu'est-ce que l'Annexe A.5.9 de l'ISO 27001 ?")

2. La détection de référentiel analyse la requête pour trouver des motifs (ISO 27001, RGPD, SOC 2, etc.)

3. Les référentiels identifiés déclenchent l'injection de connaissances

4. Les connaissances pertinentes du référentiel sont ajoutées au prompt système de l'IA avant la génération

Référentiels supportés (v2.5) :

• ISO 27001:2022 — Système de management de la sécurité de l'information

• ISO 42001:2023 — Système de management de l'intelligence artificielle

• ISO 27701:2025 — Système de management de la protection de la vie privée

• SOC 2 — Service Organization Control (Critères des services de confiance)

• HIPAA — Loi sur la portabilité et la responsabilité de l'assurance maladie

• RGPD — Règlement général sur la protection des données

• CCPA — Loi sur la protection de la vie privée des consommateurs de Californie

• NIS 2 — Directive sur la sécurité des réseaux et de l'information

• DORA — Règlement sur la résilience opérationnelle numérique

Évolution du RAG vers l'injection dynamique

Approche précédente (Avant v2.5) : Architecture RAG

• La recherche sémantique récupérait des extraits de documentation pertinents

• La qualité de la récupération variait selon la formulation de la requête

• L'intégralité des ~10K jetons était envoyée pour de nombreuses requêtes

• Principalement axée sur l'ISO 27001

Approche actuelle (v2.5+) : Injection dynamique de référentiel

• La détection par Regex assure une identification fiable des référentiels

• Seuls les référentiels pertinents sont chargés (économie de jetons)

• Prend en charge 9 référentiels simultanément

• Conception extensible pour des ajouts rapides de nouveaux référentiels

Fournisseurs d'IA et protection des données

Nous utilisons des fournisseurs d'IA de classe entreprise avec des accords de protection des données stricts.

Fournisseurs actuels

Modèles d'IA backend :

• OpenAI GPT-5.2 (par défaut) — Raisonnement avancé et analyse de conformité

• Anthropic Claude Opus — Intégration backend pour la rédaction de politiques nuancées

• xAI Grok — Fournisseur alternatif pour des cas d'usage divers

• Mistral AI — Fournisseur basé dans l'UE pour le mode de protection avancée des données

OpenAI GPT-5.2 est le fournisseur par défaut alimentant toutes les conversations. D'autres fournisseurs sont intégrés en arrière-plan, avec une interface de sélection de modèle prévue pour 2026. Tous les modèles accèdent à la même base de connaissances spécialisée via l'injection dynamique, garantissant des conseils cohérents.

Accords de rétention de données nulle (ZDR)

Tous les fournisseurs d'IA opèrent sous des accords de Zero Data Retention (ZDR) :

Conditions de l'accord ZDR :

• Aucune rétention des données utilisateur au-delà du traitement de la requête

• Aucun entraînement de modèle sur le contenu client

• Transferts de données conformes au RGPD avec clauses contractuelles types (CCT)

• Normes de sécurité d'entreprise appliquées

Pour des informations détaillées sur les sous-traitants et les flux de données, consultez notre Registre des activités de traitement.

Exigences de développement

Chaque composant du système d'IA est développé selon des exigences documentées définissant le comportement attendu, les contraintes de sécurité et les seuils de performance.

Exigences fonctionnelles

Définition de la portée :

• L'IA fournit une assistance à la conformité, pas des conseils juridiques

• Limites des tâches : génération de politiques, analyse d'écarts, préparation d'audit, examen de documents

• Application des contraintes : pas d'accès internet, pas d'exécution de code, pas de traitement de données personnelles au-delà de l'usage de la plateforme

Exigences de performance

Objectifs de qualité :

• Précision des réponses ancrée dans les sources récupérées avec citations

• Fenêtre de contexte suffisante pour l'analyse de conformité multi-documents

• Temps de réponse optimisé pour un usage interactif (cible : moins de 10 secondes)

• Limites de débit définies par niveau d'utilisateur pour assurer la stabilité du système

Exigences de sécurité

Atténuation des hallucinations :

• Ancrage aux sources : les réponses doivent référencer la documentation récupérée

• Validation de la récupération : vérification des réponses par rapport au contenu source

• Score de confiance : incertitude signalée lorsque les sources sont ambiguës

• Avertissements de vérification : toutes les sorties nécessitent une révision humaine

Filtrage de contenu :

• Détection et blocage des contenus inappropriés

• Limites de domaine : l'IA refuse les requêtes hors sujet (ex: sujets non liés, conseils médicaux/juridiques)

• Protection contre le jailbreak et l'injection de prompts

Consultez l'article Sécurité de l'IA et utilisation responsable pour plus de détails sur les garde-fous de sécurité.

Exigences de manipulation des données

Confidentialité dès la conception (Privacy by Design) :

• Pas de données utilisateur pour l'entraînement (accords ZDR appliqués)

• Minimisation des données : seules les données nécessaires sont traitées pour la récupération et la génération

• Traitement temporaire : pas de stockage à long terme des prompts/réponses au-delà des journaux de session

• Contrôles de rétention : périodes configurables par l'utilisateur (de 1 jour à 7 ans, ou conservation illimitée)

• Contrôles de transfert : transferts conformes au RGPD avec CCT

Pour les pratiques complètes de manipulation des données, consultez notre Politique de confidentialité.

Tests de vérification et de validation

Les systèmes d'IA subissent des tests rigoureux avant déploiement. Aucun système n'est mis en ligne sans valider les exigences.

Tests de régression

Des tests automatisés sont exécutés à chaque modification de code pour garantir l'intégrité des fonctionnalités.

Couverture des tests :

• Précision de récupération : Précision et rappel par rapport à des jeux de données de référence

• Ancrage des réponses : Vérification que les sorties citent bien les sources récupérées

• Détection d'hallucination : Comparaison avec des réponses erronées connues

• Indicateurs de performance : Validation du temps de réponse et de la gestion du contexte

Tests de sécurité

Les systèmes d'IA subissent la même validation de sécurité que tous les composants de la plateforme.

Pipeline de tests :

• SAST (Static Application Security Testing) : Analyse de vulnérabilités au niveau du code via Semgrep

• DAST (Dynamic Application Security Testing) : Validation de la sécurité au moment de l'exécution

• Tests de pénétration : Évaluations de sécurité annuelles par des tiers

• Tests d'injection de prompt : Validation contre les entrées malveillantes tentant de contourner les limites de sécurité

Tests d'acceptation utilisateur (UAT)

Une validation en conditions réelles avec des professionnels de la conformité garantit que :

• Les sorties répondent aux normes de qualité professionnelle

• Les réponses sont appropriées pour les cas d'usage de la conformité

• Les limitations sont clairement communiquées

• Les mécanismes de feedback sont accessibles et efficaces

Liste de vérification pour le déploiement

Les systèmes d'IA ne sont déployés qu'après avoir satisfait aux exigences :

Les déploiements échouant à la validation sont annulés jusqu'à satisfaction des exigences.

Surveillance et amélioration continue

Après le déploiement, nous surveillons le comportement de l'IA pour détecter toute dégradation, nouveau problème ou usage abusif.

Mesures de surveillance

Ce que nous suivons :

• Taux d'hallucination : Suivi via les rapports utilisateurs et la détection automatisée

• Précision des réponses : Validation par échantillonnage par rapport aux normes de conformité réelles

• Modèles d'utilisation : Détection d'usages hors-portée ou inappropriés

• Indicateurs de performance : Temps de réponse, précision de récupération, taux d'erreurs

• Retours utilisateurs : Rapports d'impacts négatifs, tickets support, demandes de fonctionnalités

Cycle d'amélioration continue

Les données de surveillance alimentent les améliorations itératives :

Boucles de rétroaction :

• Retours utilisateurs et rapports d'impacts → mises à jour des modèles et réglage de la récupération

• Résultats des tests de sécurité → renforcement de la sécurité et mise à jour des contrôles

• Évolutions réglementaires et bonnes pratiques → mise à jour de la documentation et des référentiels

• Suivi des performances → amélioration de la précision et optimisation des réponses

Réponse aux incidents

Nous informons les utilisateurs de tout incident lié à l'IA pour maintenir la transparence.

Canaux de notification :

• Alertes par e-mail pour les incidents critiques affectant les fonctionnalités d'IA

• Notifications Slack pour les équipes abonnées

• Mises à jour de la page de statut avec chronologie et résolutions des incidents

• Avertissements précoces conformes à NIS2 (notification sous 24h pour les incidents de cybersécurité significatifs)

Limitations connues

Les systèmes d'IA ont des limitations intrinsèques que les utilisateurs doivent comprendre pour une utilisation responsable.

Limitations techniques

Contraintes actuelles :

• Nature probabiliste : L'IA génère des réponses basées sur des modèles statistiques, non sur une logique déterministe

• Pas d'accès internet : L'IA ne peut pas récupérer d'informations en temps réel ou accéder à des sites web externes

• Pas d'exécution de code : L'IA ne peut pas effectuer de calculs, exécuter des scripts ou valider des implémentations techniques

• Date de coupure des connaissances : Le savoir des modèles d'IA est limité par la date de fin de leur entraînement (varie selon le fournisseur)

• Limites de contexte : La fenêtre de contexte maximale limite la quantité d'informations traitées en une seule requête

• Limites de domaine : L'IA est formée pour la conformité/sécurité ; les performances dans d'autres domaines ne sont pas garanties

Pour les limitations détaillées et les solutions de contournement, consultez notre page Problèmes connus.

Responsabilité de vérification de l'utilisateur

ISMS Copilot est conçu pour assister, et non remplacer, le jugement professionnel :

• Recoupez les suggestions de l'IA avec les normes officielles

• Validez les informations critiques avant soumission aux auditeurs

• Utilisez l'IA comme l'assistant d'un consultant, pas comme un substitut d'expertise

• Exercez votre jugement professionnel lors de l'application des recommandations

Voir Comment utiliser ISMS Copilot de manière responsable pour les meilleures pratiques.

Signalement et feedback

Le feedback utilisateur est crucial. Nous fournissons plusieurs mécanismes pour signaler des problèmes, inexactitudes ou comportements inattendus.

Comment signaler un problème

Impacts négatifs ou hallucinations :

1. Menu utilisateur (en haut à droite) > Centre d'aide > Contacter le support

2. Incluez le prompt, la réponse et des captures d'écran dans votre rapport

3. Réponse attendue sous 48 heures

Signalement intégré :

• Utilisez le bouton "Signaler un problème" disponible sur toute la plateforme pour signaler des réponses spécifiques

Ce qui se passe après votre signalement

1. Examen immédiat (sous 48h) : L'équipe support évalue la gravité et l'impact

2. Investigation : L'équipe technique analyse le problème, le reproduit et identifie la cause racine

3. Réponse : Vous recevez une mise à jour sur les conclusions et les actions prévues

4. Remédiation : Problèmes résolus via mise à jour de modèle, réglage de récupération, correctifs de code ou amélioration documentaire

5. Amélioration continue : Enseignements intégrés aux tests et processus de surveillance

Consultez Sécurité d l'IA et utilisation responsable pour les instructions détaillées de signalement.

Mises à jour de la documentation

Les spécifications techniques sont mises à jour lorsque :

• Les fournisseurs d'IA changent (nouveaux modèles, API obsolètes)

• L'architecture évolue (nouveaux composants, méthodes de validation)

• Les exigences sont révisées (nouvelles contraintes de sécurité, cibles de performance)

• Les pratiques de test s'étendent (nouvelles techniques, outils de sécurité)

Les mises à jour sont communiquées par les notes de version et cette page. Abonnez-vous à notre page de statut pour les notifications.

Étapes suivantes

• Examiner comment ISMS Copilot implémente ISO 42001

• En savoir plus sur les garde-fous et l'utilisation responsable

• Comprendre les hallucinations de l'IA et comment les prévenir

• Suivre les bonnes pratiques pour utiliser ISMS Copilot

• Consulter nos politiques de sécurité complètes

Obtenir de l'aide

Pour des questions techniques sur l'IA ou pour demander de la documentation supplémentaire :

• Contactez le support via le menu du Centre d'aide

• Signalez immédiatement toute préoccupation de sécurité pour enquête

• Consultez le Trust Center pour la gouvernance détaillée de l'IA

• Vérifiez la Page de statut pour les problèmes connus