Où sont hébergées les données de votre assistant IA ?
Le nom du fournisseur ne suffit pas pour connaître le lieu réel de traitement. Il faut vérifier le contrat, la région choisie, les sous-traitants, la conservation et les transferts pour chaque fonction activée.
Sans preuve contractuelle datée, la région doit être considérée comme non vérifiée.
Données à vérifier
| Point | Ce qu'il faut regarder | Preuve attendue |
|---|---|---|
| Traitement | Région d'exécution du service | Contrat et documentation du service |
| Conservation | Lieu des journaux, fichiers et sauvegardes | Annexe de traitement et politique de rétention |
| Sous-traitants | Pays de chaque prestataire secondaire | Liste des sous-traitants datée |
| Transferts | Mécanisme juridique hors EEE | Clauses contractuelles et analyse de transfert |
Méthode et sources
Les sources listées sont institutionnelles ou primaires. La date de vérification indique le dernier contrôle de la page, pas une garantie d'absence de changement ultérieur.
Donnée absente ou contradictoire : le point doit rester « non vérifié » jusqu'à obtention d'une preuve datée.
Implications concrètes pour une PME belge
Ces actions servent de filtre initial. Elles ne remplacent pas l'analyse du contrat, du flux et du contexte propres à l'entreprise.
- Inventorier les fonctions réellement activées, pas seulement le produit principal.
- Demander une preuve écrite de la région et de la durée de conservation.
- Bloquer l'envoi de données sensibles tant que le flux n'est pas vérifié.
Appliquer cette grille à vos outils.
Le Radar IA cartographie en une journée les usages, données, risques et priorités.