Cette page s'adresse aux RSSI et aux architectes sécurité : où les données sont stockées, ce qui franchit votre périmètre, qui détient les clés, ce qu'un agent IA peut faire ou non, comment nous gérons les incidents — et comment vérifier tout cela avant de signer.
Les six questions par lesquelles commence toute revue de sécurité, avec des réponses directes.
Dans l'option de déploiement que vous choisissez : BlackGust Cloud dans votre région, votre cloud privé, vos propres serveurs ou un environnement isolé. Les données personnelles restent dans la juridiction qu'impose leur loi.
Non. Les modèles cloud sont utilisés via des API entreprise dont les conditions excluent l'entraînement sur les données des clients. Les modèles locaux fonctionnent entièrement dans votre infrastructure. Le fine-tuning sur votre corpus n'a lieu que dans votre environnement, et uniquement à votre demande.
Uniquement les fragments nécessaires pour répondre. Les données personnelles sont masquées avant de sortir. Dans les déploiements isolés, les appels externes sont entièrement désactivés.
Uniquement les ingénieurs nommément désignés sur le projet, comme convenu avec vous et pour la durée des travaux. Tous les accès sont journalisés et révoqués à la passation.
Les données sont chiffrées en transit et au repos. Dans les déploiements en cloud privé, sur site et isolés, c'est votre organisation qui détient les clés.
À la fin du contrat, les données sont supprimées dans le délai convenu et un certificat de suppression est délivré.
Quatre options, quatre frontières de confiance. La ligne en pointillés représente votre périmètre. Lisez chaque schéma comme la réponse à trois questions : ce qui sort, ce qui est masqué et où se trouvent les clés.
Le démarrage le plus rapide. La plateforme fonctionne dans notre cloud, dans la région de votre choix.
La plateforme fonctionne dans votre tenant cloud, selon vos politiques réseau et d'identité.
La plateforme et les modèles locaux fonctionnent sur vos serveurs, dans votre datacenter.
Un réseau isolé, sans aucune route vers Internet. Modèles locaux uniquement.
La même plateforme, les mêmes contrôles — ce qui change, c'est qui exploite l'infrastructure et où se situe la frontière. Utilisez ce tableau pour choisir le mode adapté à votre appétence au risque.
| Contrôle | BlackGust Cloud | Cloud privé | Sur site | Isolé |
|---|---|---|---|---|
| Données | ||||
| Résidence des données | La région de votre choix | Votre tenant | Votre datacenter | Votre réseau isolé |
| Chiffrement en transit et au repos | ✓ | ✓ | ✓ | ✓ |
| Qui détient les clés | BlackGust, dans la région | Vous | Vous | Vous |
| Masquage avant les appels aux modèles externes | ✓ | ✓ | ✓ | Aucun appel externe |
| Isolement vis-à-vis d'Internet | ||||
| Identité et accès | ||||
| SSO via SAML / OIDC | ✓ | ✓ | ✓ | ✓ |
| Rôles issus de votre annuaire, accès au niveau des lignes et des champs | ✓ | ✓ | ✓ | ✓ |
| Politique réseau sous votre contrôle | — | ✓ | ✓ | ✓ |
| Modèles | ||||
| Modèles de pointe (OpenAI, Anthropic) via API entreprise | ✓ | Facultatif | Facultatif | — |
| Modèles locaux à poids ouverts | Facultatif | ✓ | ✓ | ✓ |
| Exploitation | ||||
| Journal d'audit complet, exportable vers votre SIEM | ✓ | ✓ | ✓ | ✓ |
| Qui exploite l'infrastructure | BlackGust | Vous, avec nos ingénieurs | Vous, avec nos ingénieurs | Vous, avec nos ingénieurs sur site |
| Rapidité du premier déploiement | ||||
Les agents IA ajoutent une nouvelle surface d'attaque à des systèmes familiers. Voici un résumé du modèle de menaces que nous partageons intégralement avec votre équipe, avec les contrôles associés à chaque menace.
AttaqueDes instructions cachées dans un message utilisateur, un e-mail, une page web ou un document téléversé tentent de contourner les règles de l'agent.
AttaqueUn attaquant tente d'extraire des données via les réponses, des liens, des appels d'outils ou le fournisseur du modèle.
AttaqueUn agent ou un utilisateur tente d'effectuer des actions au-delà de son rôle, ou enchaîne des outils pour atteindre un système de référence.
AttaquePoids de modèle altérés, données de fine-tuning empoisonnées ou dépendance logicielle compromise.
AttaqueUne réponse assurée mais fausse conduit à une mauvaise décision ou à un document erroné.
AttaqueUne personne chez le prestataire, ou un administrateur aux droits excessifs, consulte des données auxquelles elle ne devrait pas accéder.
Un agent n'obtient jamais plus de droits que la personne pour laquelle il agit. Chaque limite est définie dans la configuration et appliquée par la plateforme, pas par le modèle.
| Heure | Agent | Action demandée | Décision |
|---|---|---|---|
| 09:14:02 | Assistant finance | Lire le grand livre T3, agence Nord | Autorisé |
| 09:14:09 | Assistant finance | Lire la paie, toutes agences | Refusé · rôle |
| 09:21:47 | Agent achats | Paiement supérieur à 500 000 € | En attente · validation DAF |
| 09:22:15 | Agent messagerie | Envoyer un contrat vers un domaine externe | En attente · validation du responsable |
| 09:30:03 | Agent support | S'attribuer le rôle administrateur | Refusé · politique |
La plateforme n'invente pas un second système d'identité. Les utilisateurs se connectent comme ils le font déjà, et les accès suivent les rôles que vous gérez déjà.
Connexion via votre fournisseur d'identité. Les règles d'authentification multifacteur, la durée des sessions et l'accès conditionnel restent régis par votre politique.
Les groupes et les rôles proviennent d'Active Directory, de LDAP ou de votre fournisseur d'identité. Les personnes qui partent perdent leur accès dès que vous les désactivez à la source.
L'accès est restreint par système, objet, ligne et champ. Un responsable régional voit sa région ; les champs de salaire restent masqués pour ceux qui n'en ont pas le droit.
Chaque agent dispose d'un périmètre déclaré de données et d'actions. Il agit avec l'intersection de ce périmètre et des droits de l'utilisateur — jamais leur union.
En lecture seule par défaut. Les droits d'écriture sont accordés action par action, documentés et visibles dans le journal d'audit.
Modifier les droits d'un agent et approuver cette modification relèvent de rôles différents. Chaque modification est journalisée : qui, quoi et quand.
Le journal d'audit constitue la base de preuves pour votre équipe sécurité, vos auditeurs et vos régulateurs. Il enregistre ce qui s'est passé avec suffisamment de détail pour reconstituer n'importe quelle réponse ou action.
Les alertes sur les actions refusées, les volumes de requêtes inhabituels et les tentatives répétées de contournement peuvent être transmises à votre SOC. L'export SIEM est inclus dans les offres Enterprise et Sovereign.
Les incidents sont traités selon un plan écrit convenu avec vous avant la mise en production. Les délais de notification sont fixés dans le contrat afin que vous puissiez respecter vos propres échéances réglementaires — comme les 72 heures du RGPD pour les responsables de traitement.
Supervision, alertes de votre SOC ou signalement par un utilisateur ou l'un de nos ingénieurs.
Gravité classée selon l'échelle convenue ; l'ingénieur d'astreinte prend l'incident en charge.
Agent, connecteur ou accès concerné suspendu. Preuves conservées à partir du journal d'audit.
Vous êtes informé dans les meilleurs délais, avec ce que nous savons et ce que nous ignorons encore.
Cause racine corrigée, tests de référence relancés, mise en production approuvée par vos équipes.
Un rapport post-incident écrit : chronologie, impact, cause racine et actions.
| Foundation | Enterprise | Sovereign | |
|---|---|---|---|
| Couverture | Heures ouvrées | 24/7 pour les incidents critiques | 24/7 |
| Réponse aux incidents critiques | Heures ouvrées suivantes | 24/7, selon le contrat | 1 heure |
| Ingénieur d'astreinte nommé | — | — | ✓ |
| SSO et export SIEM | — | ✓ | ✓ |
| Rapport post-incident écrit | ✓ | ✓ | ✓ |
| Revue d'impact et de sécurité | Trimestrielle | Mensuelle | Continue, équipe intégrée |
Le détail des offres et les prix annuels figurent sur la page tarifs.
Chaque donnée traitée par la plateforme suit un parcours défini, avec une durée de conservation et une fin.
Les connecteurs lisent vos systèmes avec des comptes à moindre privilège. Seules les sources convenues pour chaque cas d'usage sont indexées.
Les données sont chiffrées en transit et au repos. Les données personnelles sont masquées avant tout appel à un modèle externe.
Les réponses sont filtrées selon les droits de l'utilisateur. Chaque accès est inscrit au journal d'audit.
L'index, les conversations et les journaux sont conservés pendant les durées fixées au contrat, alignées sur votre politique de conservation.
À la fin de la période ou du contrat, les données sont supprimées dans le délai convenu et un certificat de suppression est délivré.
Nous concevons la plateforme pour faciliter la conformité aux principales lois sur la protection des données et l'IA en Europe, dans les Amériques et en Asie-Pacifique, et nous fournissons la documentation nécessaire à votre AIPD et à vos autres évaluations. Nous ne certifions pas la conformité — l'appréciation juridique vous appartient.
| Réglementation | Région | Ce que demandent généralement les évaluateurs | Comment notre conception y répond |
|---|---|---|---|
| RGPD | UE / EEE | Base légale, minimisation, clauses de sous-traitance, transferts, AIPD | Traitement dans la région ou sur site, contrat de sous-traitance, masquage, suppression, dossier d'entrée pour l'AIPD |
| AI Act européen | UE | Classification des risques, contrôle humain, journalisation, transparence envers les utilisateurs | Validation humaine imposée par configuration, journaux complets, mention de l'IA dans les canaux utilisateurs, documentation technique |
| PIPL | Chine | Localisation, règles de transfert transfrontalier, données sensibles | Déploiement dans le pays sur des modèles locaux, aucun appel à des API étrangères, journaux et clés dans le pays |
| APPI | Japon | Finalité d'utilisation, mesures de sécurité, transferts à l'étranger | Finalité enregistrée pour chaque agent, contrôle d'accès et journaux, déploiement dans le pays |
| PIPA | Corée | Limitation des finalités, mesures de sécurité, transfert transfrontalier | Sur site ou isolé, accès au niveau des champs, journaux d'accès complets |
| LGPD | Brésil | Base légale, droits des personnes concernées, rapport d'impact | Déploiement dans le pays, registre des traitements par cas d'usage, suppression sur demande |
| Privacy Act et APPs | Australie | Utilisation et divulgation, sécurité, divulgation transfrontalière | Région australienne ou sur site, contrôle d'accès, journaux pour votre évaluation d'impact sur la vie privée |
| CCPA / CPRA | Californie, États-Unis | Information, droits des consommateurs, clauses de prestataire de services, décision automatisée | Clauses de prestataire de services, prise en charge des demandes de suppression et d'accès, relecture humaine des décisions importantes |
| Règles sectorielles | Santé, finance, secteur public | Confidentialité et conservation des dossiers propres au secteur (par ex. règles de type HIPAA) | Déploiement dans votre environnement homologué, conservation et accès alignés sur la règle |
Nous vous envoyons le dossier documentaire sous accord de confidentialité, nous remplissons votre questionnaire de sécurité, et un ingénieur peut rencontrer votre équipe sécurité avant la signature du contrat.
Composants, options de déploiement, frontières réseau et schémas de flux de données pour le mode retenu.
La version complète du résumé ci-dessus, avec les contrôles et les risques résiduels.
Dans votre format, ou dans un format standard que préfère votre équipe.
Vos testeurs ou le cabinet de votre choix testent l'environnement pilote ; nous corrigeons les constats et accompagnons le retest.
Accord de traitement des données, liste des sous-traitants ultérieurs et dossier d'entrée pour votre AIPD ou votre évaluation d'impact.
Plan de réponse aux incidents, règles d'accès du personnel et modèle de certificat de suppression.
Nous ne détenons ni la certification SOC 2 ni ISO 27001. En revanche, nous déployons dans des environnements que vous contrôlez et donnons à votre équipe tout ce qu'il faut pour nous évaluer directement.
Demander la documentation sécuritéNon. Les modèles de pointe sont utilisés via des API entreprise dont les conditions excluent l'entraînement sur les données des clients. Les modèles locaux fonctionnent dans votre infrastructure. Le fine-tuning sur votre corpus n'a lieu que dans votre environnement, à votre demande.
Non, et nous le disons ouvertement. En contrepartie, nous déployons dans des environnements que vous contrôlez — cloud privé, sur site ou isolé — et nous fournissons à votre équipe l'architecture, le modèle de menaces, le questionnaire rempli et l'accès à nos ingénieurs, ainsi que notre coopération à votre test d'intrusion.
Oui : dans les déploiements en cloud privé, sur site et isolés, les clés restent dans votre service de gestion des clés ou votre HSM. Dans BlackGust Cloud, les clés sont gérées par BlackGust dans la même région ; si vous devez les détenir vous-même, choisissez l'un des autres modes.
Oui. Nous convenons du périmètre et du calendrier, vos testeurs ou le cabinet de votre choix testent l'environnement pilote, puis nous corrigeons les constats et accompagnons le retest.
Nous partons du principe qu'elle sera tentée. Les contenus récupérés sont traités comme des données, pas comme des instructions ; les entrées sont filtrées ; et surtout, les agents ne peuvent ni dépasser les droits de l'utilisateur ni effectuer d'actions risquées sans validation humaine. Une injection réussie se heurte aux mêmes barrières que n'importe quel utilisateur.
Dans les meilleurs délais, selon le calendrier fixé au contrat, afin que vous puissiez respecter vos propres échéances réglementaires. Dans l'offre Sovereign, les incidents critiques bénéficient d'une réponse sous 1 heure par un ingénieur d'astreinte nommé.
Cela dépend du mode. Avec les modèles de pointe, l'API entreprise du fournisseur du modèle est un sous-traitant ultérieur ; dans BlackGust Cloud, l'hébergeur de votre région l'est également. Dans les déploiements sur site et isolés sans modèles de pointe, il n'y en a aucun. La liste complète figure dans le DPA.
Uniquement les ingénieurs nommément désignés, pour la période convenue, avec des accès journalisés et révoqués à la passation. Dans les déploiements isolés, ils travaillent sur site sous votre supervision et selon vos règles d'accès.
Oui. Le journal d'audit s'exporte vers votre SIEM dans des formats standard, et la conservation suit votre politique. L'export SIEM fait partie des offres Enterprise et Sovereign.
Modules, routage des modèles et les quatre options de déploiement.
Ouvrir →Secteur publicArchitecture souveraine, juridictions et achats pour les organismes publics.
Ouvrir →CoûtCe que comprend chaque offre, du SLA à l'export SIEM.
Ouvrir →RéponsesToutes les autres questions que se posent les acheteurs avant le premier rendez-vous.
Ouvrir →Envoyez votre questionnaire ou demandez le dossier documentaire. Un ingénieur présentera l'architecture et le modèle de menaces à votre équipe.