La maîtrise commence par des questions concrètes : à qui appartient l’information, qui peut l’utiliser, où elle s’exécute, ce qui peut sortir et comment restaurer. Nous y répondons dans l’architecture, avant toute construction.
Vos données, les modèles que vous choisissez et les applications que nous construisons vous appartiennent. Ils s’exécutent dans l’environnement qu’exige votre profil de risque, et nous planifions la réversibilité au début, pas à la fin.
Sur vos propres serveurs, y compris du matériel informatique standard, avec des modèles d’IA locaux si nécessaire.
Hébergement européen dans le cadre de contrats que vous approuvez, avec un choix de modèles d’IA hébergés dans l’UE.
Données sensibles sur site, autres charges de travail dans le cloud, un seul modèle de gouvernance ; dans le pays lorsque la loi l’exige.
Indépendant des modèles. Nous utilisons les modèles d’IA que votre politique autorise : hébergés, hébergés dans l’UE ou exécutés localement.
« Rien ne sort jamais » : aucun fournisseur honnête ne peut le promettre pour toutes les configurations. Nous faisons plus utile : nous listons chaque flux de données, et vous décidez de chacun.
Un service d’IA distant peut impliquer que des données quittent votre environnement. Lorsque c’est acceptable, il s’agit d’un choix consigné, pas d’un paramètre par défaut.
Choisissez fournisseurs et modèles en fonction des exigences de chaque application. Les environnements d’exécution distants, locaux gérés en externe et locaux qualifiés gérés par Cygnus ont des limites opérationnelles différentes.
Une API distante peut impliquer que des données quittent le déploiement.
Un service local géré par l’exploitant n’est pas automatiquement couvert par les garanties de mémoire de Cygnus.
Un environnement d’exécution local géré par Cygnus exige la qualification de la combinaison exacte de modèle, d’environnement d’exécution, de configuration et de matériel.
Aucun nom de produit n’emporte de promesse universelle de fonctionnement hors ligne, de résidence des données ou de confidentialité. Prise en charge de l’IA prévue et limites
L’IA propose, les personnes décident. Nos applications donnent aux équipes conformité, risques et audit ce dont elles ont besoin pour superviser l’IA.
L’IA n’utilise que les documents et systèmes que vous connectez, et indique ceux qu’elle a utilisés.
Les actions à fort enjeu attendent un valideur nommément désigné. Un agent IA ne peut ni valider sa propre modification ni élargir ses propres accès.
Qui a demandé, ce qui a été utilisé, ce qui a été décidé et quand : tout est conservé dans votre environnement.
Nous testons les réponses avant le déploiement et continuons à les améliorer à partir de cas réels.
Mesuré dans des projets réalisés
89 %
des demandes des 12 catégories automatisées traitées sans intervention humaine ; cas complexes transmis à des personnes
Une sauvegarde ne compte que si sa restauration a été testée. Les accès sont vérifiés avant tout affichage. Et la plateforme conserve une voie de repli si un composant ou un fournisseur d’IA fait défaut.
Les autorisations sont vérifiées avant que les données ne soient affichées, recherchées ou classées : une information refusée ne fuit ni par des décomptes ni par des indices.
Les documents et les sorties de l’IA sont traités comme du contenu à examiner. Seules vos autorisations permettent d’engager une action.
Points de restauration, tests de restauration et leurs preuves : NatusAI Gemini (Feuille de route). Aujourd’hui : la restauration et la réversibilité sont planifiées dans chaque mission.
Chaque incident est relié à l’application et à la version qu’il affecte : NatusAI Draco (Feuille de route).
Nous soutenons vos obligations. Nous ne certifions pas vos systèmes et ne remplaçons pas votre analyse juridique.
| Cadre | État des lieux | Ce que nos contrôles sont conçus pour soutenir |
|---|---|---|
| RGPD | En vigueur dans l’ensemble de l’UE/EEE. | Déploiement dans votre environnement, minimisation des données dès la conception et liste documentée des flux de données. |
| RIA (AI Act) | Les interdictions et les obligations relatives à l’IA à usage général s’appliquent déjà. Selon l’accord provisoire sur l’omnibus numérique, les obligations relatives aux systèmes autonomes à haut risque sont attendues à partir du 2 décembre 2027 et celles relatives aux systèmes intégrés à des produits réglementés à partir du 2 août 2028, sous réserve de l’adoption définitive. | Journalisation, processus de contrôle humain, transparence des sources et documentation de gouvernance des données, à l’appui de vos obligations de déployeur (art. 9 à 15 et 26). |
| DORA | Directement applicable aux entités financières depuis le 17 janvier 2025 ; pour elles, il prévaut sur NIS 2 en cas de chevauchement. | Déploiement sur site ou dans l’UE, stratégie de sortie documentée, éléments pour votre registre d’informations sur les prestataires tiers de TIC, et preuves de restauration (NatusAI Gemini inscrit à la feuille de route). |
| NIS 2 | La transposition varie selon les États membres. Les opérateurs d’énergie et de télécoms sont des entités essentielles. | Exploitation auto-hébergée au sein de votre périmètre de sécurité, contrôle des accès et piste d’audit. |
| Solvabilité II · EIOPA | Attentes en matière de système de gouvernance et d’externalisation pour les assureurs qui utilisent l’IA et des prestataires TIC externes. | Les mêmes contrôles (contrôle humain, journalisation, flux de données documentés et réversibilité), comme éléments pour votre documentation de gouvernance et d’externalisation. |
| KVKK (Turquie) | Modifiée en 2024 : les transferts transfrontaliers reposent sur l’adéquation, des clauses contractuelles types (avec notification à l’autorité sous 5 jours ouvrés) ou des règles d’entreprise contraignantes. | Déploiement dans le pays ou sur site, de sorte qu’aucun transfert n’est nécessaire. |
| NIST AI RMF | Cadre américain volontaire articulé autour de quatre fonctions : Govern, Map, Measure, Manage (gouverner, cartographier, mesurer, gérer). | Une mise en correspondance de nos contrôles avec ses quatre fonctions, sur demande. |
| SOC 2 · ISO/CEI 27001 · ISO/CEI 42001 | Références d’achat courantes en matière de sécurité et de management de l’IA. | Documentation de sécurité et de management de l’IA sur demande. |
NatusAI soutient votre programme de conformité ; cela ne remplace pas votre analyse juridique et ne certifie pas vos systèmes. Faits réglementaires vérifiés pour la dernière fois en octobre 2026.
Hors de l’UE ? Les mêmes contrôles (cartographie des flux de données, plan de réversibilité, validation nominative et journaux d’audit) sont notre point de départ pour d’autres régimes. Dites-nous quelles règles s’appliquent à vous, et nous les passerons en revue lors d’un briefing.
Conservation, gels juridiques, sauvegardes et dérivés exportés nécessitent des politiques explicites.
La frontière cryptographique prévue par groupe de stockage ne constitue pas une promesse d’effacement cryptographique automatique par personne. Chaque projet doit évaluer la suppression et la récupération de l’espace sur l’ensemble de sa conception réelle de stockage et de restauration.
L’architecture d’un produit n’est ni une certification de conformité ni un substitut à l’évaluation juridique et opérationnelle propre à chaque organisation.
Des réponses directes. Pour le détail, demandez notre dossier de gouvernance ou une séance avec votre RSSI et votre DPO.
Uniquement là où vous le décidez. Chaque flux de données est listé et approuvé ; un modèle d’IA distant est un choix consigné, pas un paramètre par défaut. Un déploiement sur site avec des modèles locaux garde le traitement entre vos murs.
Nous ne revendiquons aucune certification sur ce site. Demandez-nous l’état actuel de nos certifications et notre documentation de sécurité ; nous les communiquons avant toute étape d’achat.
Aucun produit ne peut l’affirmer à votre place : la conformité dépend de l’usage qui est fait d’un système. Nos contrôles (journalisation, contrôle humain, transparence des sources et gouvernance des données) sont conçus pour soutenir vos obligations de déployeur.
Déploiement sur site ou dans l’UE, stratégie de sortie documentée, éléments pour votre registre d’informations sur les prestataires tiers de TIC, et planification de la restauration dans chaque mission.
Vos équipes. Les actions à fort enjeu attendent un valideur nommément désigné. Un agent IA ne peut ni valider sa propre modification ni s’octroyer des accès.
Vous conservez vos données, les modèles que vous avez choisis et les applications que nous avons construites. Le plan de réversibilité est rédigé dès le départ et liste ce que vous recevez et comment vous migrez.
Nous présenterons à votre RSSI, à votre DPO et à votre équipe risques l’architecture, les flux de données et le plan de réversibilité.
Ou écrivez-nous à contact@natusai.com
NatusAI