RGPD & AI Act
Le secret professionnel ne se coche pas dans un réglage
Où vont vos données, qui peut les voir, et selon quel cadre. Sans formule creuse.
Le point de départ
Un mail d'avocat n'est pas un mail
C'est parfois une pièce d'un dossier, une confidence, un élément couvert par le secret professionnel.
En construisant Govynn, la première question n'a donc jamais été « que peut faire l'intelligence artificielle ? ». Elle a été : où vont ces données, et qui peut les voir ?
Tout ce qui suit découle de cette question posée en premier.
Où vont vos données
En Europe, et à deux verrous plutôt qu'un
Les données d'un cabinet sont hébergées et traitées en Europe, sur une infrastructure d'inférence européenne dont j'achève le déploiement.
Mais une affirmation de ce genre, tout le monde peut l'écrire. Voici ce qui la rend solide.
La limitation d'infrastructure
Le traitement est restreint à l'Europe au niveau de l'infrastructure elle-même. Ce n'est pas un paramètre de l'application : c'est une limite posée en amont.
Le contrôle applicatif
Govynn refuse en plus, de son côté, tout traitement qui ne serait pas européen. Un contrôle indépendant du premier.
Si l'un des deux venait à céder, l'autre tient.
S'ajoutent deux règles absolues.
Vos données ne servent jamais à entraîner un modèle. Ni les vôtres, ni celles de vos clients, ni le contenu de vos pièces jointes.
Aucun contenu client n'est journalisé. Les journaux techniques portent des identifiants et des durées, jamais un corps de message.
La migration de l'ensemble des traitements vers cette infrastructure est engagée et s'achève. Je le signalerai publiquement lorsqu'elle sera terminée.
La frontière
Ce que l'intelligence artificielle ne voit pas
Le contenu de vos pièces jointes est extrait pour votre lecture — pour que vous sachiez de quoi parle un document sans l'ouvrir.
Il n'alimente aucune décision automatique. Ni le tri des messages, ni la rédaction des réponses. Une pièce jointe ne peut ni faire garder, ni faire écarter un message.
Ce n'est pas une protection ajoutée après coup. C'est un branchement qui n'existe pas — et qui ne sera jamais créé.
L'AI Act
L'esprit du texte, pas la case cochée
Le règlement européen sur l'intelligence artificielle impose, pour les usages qui engagent des personnes, une supervision humaine effective et une traçabilité des décisions.
Govynn n'a pas été adapté après coup pour y répondre. Ces exigences étaient déjà l'architecture.
La supervision humaine est structurelle
Rien ne s'exécute sans validation. Le mode automatique existe dans le code, désactivé par conception. La décision finale vous appartient toujours — pas « en principe » : mécaniquement.
La traçabilité sépare la machine et l'humain
Ce que Govynn a proposé et ce que vous avez décidé sont conservés séparément. On sait toujours ce que la machine a suggéré, et ce que l'avocat a choisi d'envoyer.
Le journal est inaltérable
Il ne peut pas être réécrit après coup. C'est une contrainte technique, pas une politique.
Une précision honnête. Je décris ici une démarche de conception, pas une conformité certifiée par un tiers. Aucun organisme n'a audité Govynn au regard de l'AI Act à ce jour, et je ne le prétends pas.
Ce que j'affirme, c'est que ces exigences ont guidé l'architecture depuis le début — et cela, vous pouvez le vérifier point par point.
Le cadre
Vous êtes responsable, Govynn est sous-traitant
Dans la relation qui vous lie à Govynn, le cabinet est responsable de traitement ; Govynn est sous-traitant. Ce n'est pas une figure de style : c'est le cadre qui détermine qui décide quoi, et qui répond de quoi.
Ce cadre est formalisé dans un contrat de sous-traitance, remis avant tout raccordement, et qui précise :
—ce que Govynn traite, pour quelle finalité, et rien d'autre ;
—où les données sont hébergées et traitées ;
—qui sont les sous-traitants de Govynn ;
—combien de temps les données sont conservées ;
—ce qui se passe à la fin du contrat, et comment vous les récupérez ;
—comment vous êtes informé en cas de violation de données, et sous quel délai.
Vous ne signez pas une promesse. Vous signez un contrat qui dit précisément ce que Govynn fait.
Ce qui reste à faire
Une page de conformité qui n'affiche que des acquis n'en est pas une
La migration de l'ensemble des traitements vers l'infrastructure européenne. Engagée, en voie d'achèvement.
La politique de rétention et la purge automatique des données.
L'audit de sécurité indépendant, avant tout raccordement.
Aucun cabinet ne sera raccordé avant que ces trois lignes soient au vert.
Une question
Vos questions sur la conformité sont les bienvenues
Vous êtes probablement mieux placé que moi pour repérer ce qui manque. C'est exactement ce que j'attends d'un premier cabinet.