Aperçu technique du système d'IA

Présentation

Cet article offre une transparence technique sur la manière dont les systèmes d'IA d'ISMS Copilot sont conçus, testés et exploités. Ces détails démontrent notre engagement envers le développement d'une IA responsable via des pratiques d'implémentation vérifiables.

À qui s'adresse cet article

Cet article est destiné aux :

• Équipes de sécurité et de conformité évaluant les contrôles de gouvernance de l'IA

• Auditeurs évaluant l'implémentation du système d'IA par rapport aux politiques

• Responsables des risques nécessitant une transparence technique pour les systèmes d'IA

• Utilisateurs techniques souhaitant comprendre l'architecture de l'IA

Architecture de connaissance dynamique des référentiels

ISMS Copilot utilise l'injection dynamique de connaissances des référentiels pour ancrer les réponses de l'IA dans des savoirs de conformité vérifiés. Depuis la version 2.5 (février 2025), cela remplace l'ancienne architecture RAG (Retrieval-Augmented Generation) par une approche plus fiable et plus efficace en termes de jetons (tokens).

Comment fonctionne l'injection de connaissances des référentiels

Composants de l'architecture :

• Couche de détection des référentiels : Une correspondance de motifs basée sur des expressions régulières (Regex) détecte les mentions de référentiels dans les requêtes utilisateur (ISO 27001, SOC 2, RGPD, HIPAA, CCPA, NIS 2, DORA, ISO 42001, ISO 27701)

• Couche d'injection de connaissances : Charge dynamiquement uniquement les connaissances pertinentes du référentiel dans le contexte de l'IA en fonction des cadres détectés

• Couche de génération : Les grands modèles de langage (LLM) des fournisseurs d'IA d'entreprise reçoivent les connaissances du référentiel avant de générer des réponses

• Mécanisme de validation : La connaissance du référentiel fournie à l'IA garantit que les réponses sont ancrées dans les exigences de conformité réelles, et non dans des suppositions probabilistes

Pourquoi l'injection dynamique est cruciale pour la conformité :

• Élimine les hallucinations : L'IA reçoit des connaissances vérifiées sur le référentiel avant de répondre, empêchant la fabrication de numéros de contrôle ou d'exigences

• Efficacité des jetons : Seuls les référentiels pertinents sont chargés (~1-2k jetons) au lieu d'envoyer toute la base de connaissances (~10k jetons) à chaque requête

• Détection fiable : La correspondance par motifs Regex (non basée sur l'IA) garantit que les mentions de référentiels ne sont jamais manquées

• Architecture extensible : De nouveaux référentiels sont ajoutés avec une simple définition d'objet, sans nécessiter de réentraînement du modèle

• Support multi-référentiels : Gère les requêtes mentionnant plusieurs cadres simultanément (ex: « Faire correspondre l'ISO 27001 au SOC 2 »)

Mise en œuvre technique

Processus de détection :

1. L'utilisateur soumet une requête (ex: « Qu'est-ce que l'Annexe A.5.9 de l'ISO 27001 ? »)

2. La détection de référentiel scanne la requête pour trouver des correspondances (ISO 27001, RGPD, SOC 2, etc.)

3. Les référentiels correspondants déclenchent l'injection de connaissances

4. Les connaissances pertinentes du référentiel sont ajoutées au prompt du système d'IA avant la génération

Référentiels supportés (v2.5) :

• ISO 27001:2022 — Système de management de la sécurité de l'information

• ISO 42001:2023 — Système de management de l'intelligence artificielle

• ISO 27701:2025 — Système de management de la protection de la vie privée

• SOC 2 — Service Organization Control (Critères des services de confiance)

• HIPAA — Health Insurance Portability and Accountability Act

• RGPD — Règlement Général sur la Protection des Données

• CCPA — California Consumer Privacy Act

• NIS 2 — Directive sur la sécurité des réseaux et de l'information

• DORA — Règlement sur la résilience opérationnelle numérique

Évolution du RAG vers l'injection dynamique

Ancienne approche (Avant v2.5) : Architecture RAG

• La recherche sémantique extrayait des extraits de documentation pertinents

• La qualité de l'extraction variait selon la formulation de la requête

• La totalité des ~10k jetons de connaissances était envoyée pour de nombreuses requêtes

• Focalisé principalement sur l'ISO 27001

Approche actuelle (v2.5+) : Injection dynamique de référentiels

• La détection basée sur les Regex garantit une identification fiable des référentiels

• Seuls les référentiels pertinents sont chargés (économie de jetons)

• Supporte 9 référentiels simultanément

• Conception extensible pour des ajouts rapides de référentiels

Fournisseurs d'IA et protection des données

Nous utilisons des fournisseurs d'IA de classe entreprise avec des accords de protection des données stricts.

Fournisseurs actuels

Modèles d'IA backend :

• OpenAI GPT-5.2 (par défaut) — Raisonnement avancé et analyse de conformité

• Anthropic Claude Opus — Intégration backend pour la rédaction de politiques nuancées

• xAI Grok — Fournisseur alternatif pour des cas d'utilisation divers

• Mistral AI — Fournisseur basé dans l'UE pour le mode de protection avancée des données

OpenAI GPT-5.2 est le fournisseur actuel par défaut alimentant toutes les conversations. D'autres fournisseurs sont intégrés en backend, avec une interface de sélection de modèle prévue pour 2026. Tous les modèles accèdent à la même base de connaissances de conformité spécialisée via l'injection dynamique de référentiels, garantissant des conseils cohérents et fiables.

Accords de non-rétention des données

Tous les fournisseurs d'IA opèrent sous des accords de non-rétention des données (Zero Data Retention - ZDR) :

Termes de l'accord ZDR :

• Aucune rétention des données utilisateur au-delà du traitement de la requête

• Aucun entraînement de modèle sur le contenu client

• Transferts de données conformes au RGPD avec des Clauses Contractuelles Types (SCC)

• Normes de sécurité d'entreprise appliquées

Pour des informations détaillées sur les sous-traitants et les flux de données, consultez notre Registre des activités de traitement.

Exigences de développement

Chaque composant du système d'IA est développé selon des exigences documentées définissant le comportement attendu, les contraintes de sécurité et les seuils de performance.

Exigences fonctionnelles

Définition du périmètre :

• L'IA fournit une assistance à la conformité, et non des conseils juridiques

• Limites des tâches : génération de politiques, analyse d'écarts, préparation d'audit, revue de documents

• Application des contraintes : pas d'accès internet, pas d'exécution de code, pas de traitement de données personnelles au-delà de l'usage de la plateforme

Exigences de performance

Objectifs de qualité :

• Précision des réponses ancrée dans les sources extraites avec citation

• Fenêtre de contexte suffisante pour l'analyse de conformité multi-documents

• Temps de réponse optimisé pour un usage interactif (cible : moins de 10 secondes)

• Limites de débit définies par niveau d'utilisateur pour garantir la stabilité du système

Exigences de sécurité

Atténuation des hallucinations :

• Ancrage aux sources : les réponses doivent référencer la documentation extraite

• Validation de l'extraction : les réponses sont vérifiées par rapport au contenu source

• Score de confiance : l'incertitude est reconnue lorsque les sources sont ambiguës

• Avertissements de vérification utilisateur : tous les résultats nécessitent une revue humaine

Filtrage de contenu :

• Détection et blocage des contenus inappropriés

• Limites de périmètre : l'IA refuse les requêtes hors sujet (ex: sujets non liés, conseils médicaux/juridiques)

• Protection contre le jailbreak et l'injection de prompts

Consultez l' Aperçu de la sécurité de l'IA et de l'utilisation responsable pour des barrières de sécurité détaillées.

Exigences de traitement des données

Confidentialité dès la conception (Privacy by Design) :

• Aucune donnée utilisateur pour l'entraînement des modèles (accords ZDR appliqués)

• Minimisation des données : seules les données nécessaires sont traitées pour l'extraction et la génération

• Traitement temporaire : pas de stockage à long terme des prompts/réponses au-delà des journaux de session utilisateur

• Contrôles de rétention : périodes de rétention des données configurables par l'utilisateur (de 1 jour à 7 ans, ou indéfiniment)

• Contrôles de transfert : transferts de données conformes au RGPD avec SCC

Pour les pratiques complètes de traitement des données, consultez notre Politique de confidentialité.

Tests de vérification et de validation

Les systèmes d'IA subissent des tests rigoureux avant leur déploiement. Aucun système n'est mis en ligne sans avoir passé la validation basée sur les exigences.

Tests de régression

Des tests automatisés sont exécutés à chaque modification de code pour garantir que les fonctionnalités existantes restent intactes.

Couverture des tests :

• Précision de l'extraction : Précision et rappel par rapport à des ensembles de données de vérité terrain

• Ancrage des réponses : Vérification que les sorties citent les sources extraites

• Détection d'hallucinations : Comparaison par rapport à des réponses incorrectes connues

• Benchmarks de performance : Validation du temps de réponse et de la gestion du contexte

Tests de sécurité

Les systèmes d'IA subissent la même validation de sécurité que tous les composants de la plateforme.

Pipeline de tests :

• SAST (Static Application Security Testing) : Analyse des vulnérabilités au niveau du code avec intégration Semgrep

• DAST (Dynamic Application Security Testing) : Validation de la sécurité au moment de l'exécution

• Tests d'intrusion : Évaluations de sécurité annuelles par des tiers

• Tests d'injection de prompts : Validation contre les entrées adverses tentant de contourner les contraintes de sécurité

Tests d'acceptation utilisateur (UAT)

La validation par scénarios réels avec des professionnels de la conformité garantit que :

• Les résultats répondent aux normes de qualité professionnelle

• Les réponses sont appropriées pour les cas d'utilisation en conformité

• Les limitations sont clairement communiquées

• Les mécanismes de retour d'information sont accessibles et efficaces

Liste de vérification du déploiement

Les systèmes d'IA ne sont déployés qu'après avoir satisfait aux exigences documentées :

Les déploiements qui échouent à la validation sont annulés jusqu'à ce que les exigences soient satisfaites.

Surveillance et amélioration continue

Après le déploiement, nous surveillons le comportement du système d'IA pour détecter toute dégradation, problème émergent ou usage abusif.

Métriques de surveillance

Ce que nous suivons :

• Taux d'hallucinations : Suivi via les rapports utilisateurs et la détection automatisée

• Précision des réponses : Validation par échantillonnage par rapport aux normes de conformité réelles

• Modèles d'utilisation : Détection d'utilisation hors périmètre ou inappropriée

• Métriques de performance : Temps de réponse, précision d'extraction, taux d'erreur

• Retours utilisateurs : Rapports d'impact négatif, tickets de support, demandes de fonctionnalités

Cycle d'amélioration continue

Les données de surveillance alimentent les améliorations itératives :

Boucles de rétroaction :

• Retours utilisateurs et rapports d'impact négatif → mises à jour du modèle et ajustement de l'extraction

• Résultats des tests de sécurité → renforcement de la sécurité et mise à jour des contrôles

• Changements réglementaires et meilleures pratiques → mises à jour de la documentation et des référentiels

• Surveillance de la performance → améliorations de la précision et optimisation des réponses

Réponse aux incidents

Nous informons les utilisateurs des incidents liés à l'IA pour maintenir la transparence et la confiance.

Canaux de notification :

• Alertes par e-mail pour les incidents critiques affectant les fonctionnalités de l'IA

• Notifications Slack pour les équipes abonnées

• Mises à jour de la page d'état avec chronologie et résolutions des incidents

• Notifications d'alerte précoce conformes à NIS2 (rapport sous 24h pour les incidents de cybersécurité significatifs)

Limitations connues

Les systèmes d'IA ont des limitations intrinsèques que les utilisateurs doivent comprendre pour les utiliser de manière responsable.

Limitations techniques

Contraintes actuelles :

• Nature probabiliste : L'IA génère des réponses basées sur des modèles statistiques, non sur une logique déterministe

• Pas d'accès internet : L'IA ne peut pas extraire d'informations en temps réel ou accéder à des sites web externes

• Pas d'exécution de code : L'IA ne peut pas effectuer de calculs complexes, exécuter des scripts ou valider des implémentations techniques

• Date de coupure des connaissances : La connaissance du modèle d'IA est limitée aux dates de coupure des données d'entraînement (varie selon le fournisseur)

• Limites de contexte : La fenêtre de contexte maximale limite la quantité d'informations traitées en une seule requête

• Limites de domaine : L'IA est entraînée pour la conformité et la sécurité ; la performance dans d'autres domaines n'est pas garantie

Pour des limitations détaillées et des solutions de contournement, consultez notre page Problèmes connus.

Responsabilité de vérification de l'utilisateur

ISMS Copilot est conçu pour assister, et non remplacer, le jugement professionnel :

• Recoupez les suggestions de l'IA avec les normes officielles

• Validez les informations critiques avant soumission aux auditeurs

• Utilisez l'IA comme l'assistant d'un consultant, non comme un substitut à l'expertise

• Exercez votre jugement professionnel dans l'application des recommandations de l'IA

Voir Comment utiliser ISMS Copilot de manière responsable pour les meilleures pratiques de vérification.

Signalement et commentaires

Le retour d'information des utilisateurs est essentiel pour l'amélioration du système d'IA. Nous proposons plusieurs mécanismes pour signaler des problèmes, des inexactitudes ou des comportements inattendus.

Comment signaler des problèmes

Impacts négatifs ou hallucinations :

1. Accédez au menu utilisateur (en haut à droite) > Centre d'aide > Contacter le support

2. Incluez le prompt, la réponse et des captures d'écran dans votre rapport

3. Réponse attendue sous 48 heures

Signalement dans la plateforme :

• Utilisez le bouton « Signaler un problème » disponible dans toute la plateforme pour signaler des réponses spécifiques de l'IA

Que se passe-t-il après votre signalement ?

1. Examen immédiat (sous 48 heures) : l'équipe de support évalue la gravité et l'impact

2. Investigation : l'équipe technique analyse le problème, le reproduit et identifie la cause racine

3. Réponse : vous recevez une mise à jour sur les conclusions et les actions prévues

4. Remédiation : les problèmes sont résolus via des mises à jour de modèles, un ajustement de l'extraction, des corrections de code ou des améliorations de la documentation

5. Amélioration continue : les leçons apprises sont intégrées aux processus de test et de surveillance

Consultez l' Aperçu de la sécurité de l'IA et de l'utilisation responsable pour des instructions de signalement détaillées.

Mises à jour de la documentation

Les spécifications techniques sont mises à jour lorsque :

• Les fournisseurs d'IA changent (nouveaux modèles, API obsolètes)

• L'architecture évolue (nouveaux composants, méthodes de validation)

• Les exigences sont révisées (nouvelles contraintes de sécurité, cibles de performance)

• Les pratiques de test s'élargissent (nouvelles techniques de validation, outils de sécurité)

Les mises à jour sont communiquées via les notes de version et cette page de documentation. Abonnez-vous à notre page d'état pour les notifications de changement.

Et après ?

• En savoir plus sur les barrières de sécurité de l'IA et les pratiques d'utilisation responsable

• Comprendre les hallucinations de l'IA et comment les prévenir

• Suivre les meilleures pratiques pour utiliser ISMS Copilot de manière responsable

• Consulter nos Politiques de sécurité complètes

Obtenir de l'aide

Pour des questions techniques sur les spécifications du système d'IA ou pour demander une documentation supplémentaire :

• Contactez le support via le menu du Centre d'aide

• Signalez immédiatement les préoccupations de sécurité pour investigation

• Consultez le Trust Center pour des informations détaillées sur la gouvernance de l'IA

• Vérifiez la Page d'état pour les problèmes connus