Trust Center

Grille d'évaluation des risques de souveraineté

Douze questions, une dizaine de minutes. Mesurez l'exposition de vos réunions au droit étranger, à une IA opaque et aux deepfakes vocaux. Vos réponses restent dans votre navigateur : rien n'est envoyé, sauf si vous demandez votre rapport par e-mail.

Répondez pour l'outil que votre organisation utilise réellement pour ses réunions sensibles. Si vous ne connaissez pas la réponse, choisissez la plus risquée : ce que vous ne pouvez pas vérifier, vous ne pourrez pas le défendre devant un régulateur.

A. Juridiction

1. Où la maison mère de votre fournisseur de visio est-elle immatriculée ?

C'est le pays d'origine du fournisseur qui détermine quels gouvernements peuvent lui imposer de communiquer vos données, où que se trouvent les serveurs.

2. Une autorité hors UE pourrait-elle obliger votre fournisseur à livrer le contenu de vos réunions (par exemple au titre du CLOUD Act américain) ?

Une « région de données UE » règle l'endroit où sont stockées les données, pas la question de savoir qui peut être contraint de les produire.

3. Où sont conservés les enregistrements, les transcriptions et les comptes rendus ?

Un compte rendu contient souvent plus d'informations sensibles que la réunion elle-même : décisions, montants, noms.

B. Traitement par l'IA

4. Qui fait tourner l'IA qui transcrit, traduit et résume vos réunions ?

Des poids ouverts exécutés en Europe règlent la localisation, pas le contrôle : licence, matériel, feuille de route et recours restent étrangers. Ce qui compte, c'est qui exploite le modèle et où partent les contenus.

5. Le contenu de vos réunions peut-il servir à entraîner des modèles d'IA ?

Une fois qu'un contenu a servi à entraîner un modèle, on ne peut plus le reprendre.

6. Qui détient les clés de chiffrement des données de vos réunions ?

Celui qui détient les clés peut être contraint de s'en servir.

C. Voix et identité

7. Une voix clonée pourrait-elle participer à l'une de vos réunions sans que personne ne s'en aperçoive ?

Quelques secondes d'audio public (une présentation de résultats, un podcast, une conférence) suffisent pour cloner la voix d'un dirigeant.

8. Les personnes habilitées à valider un paiement, un ordre ou un contrat disposent-elles d'une identité vocale vérifiée ?

L'attaque ne vise pas votre réseau, mais la personne qui dit oui.

9. Quand vous traduisez la parole, quelle voix est utilisée, et qui en détient un modèle ?

Confier la voix de vos dirigeants à un service vocal extérieur crée un modèle de leur voix que vous ne maîtrisez pas.

D. Conformité et maîtrise

10. Les sons générés ou modifiés par l'IA pendant vos réunions sont-ils signalés aux participants et marqués de façon lisible par machine ?

L'article 50 du règlement européen sur l'IA s'applique depuis le 2 août 2026, avec des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial. Il impose de marquer les contenus synthétiques ; il n'impose pas de détecter les deepfakes, une protection qui relève d'une décision distincte.

11. Si nécessaire, pourriez-vous faire tourner votre plateforme de réunion sur vos propres serveurs, y compris en réseau isolé (air-gap) ?

Certaines réunions (défense, enquêtes, fusions-acquisitions) ne devraient jamais passer par un cloud partagé.

12. Pourriez-vous présenter dès aujourd'hui à un auditeur ou à un régulateur chaque sous-traitant qui traite les données de vos réunions, et le lieu où il les traite ?

Le RGPD, NIS2 et DORA attendent que vous connaissiez votre chaîne d'approvisionnement, pas seulement votre fournisseur principal.

Cette grille est un outil d'auto-évaluation, pas un avis juridique.