Alors que l'intelligence artificielle générative s'impose progressivement dans les organisations, la question de son déploiement dans des environnements exigeants en matière de sécurité, de conformité et de souveraineté reste entière. C'est dans ce contexte que Craft AI a été retenu par le MEDEF pour déployer un agent conversationnel souverain, destiné à permettre à ses collaborateurs et adhérents d'interroger intelligemment l'ensemble de son corpus documentaire interne.

‍

Un patrimoine stratégique sous-exploité

Première organisation représentative des entreprises avec 240 000 entreprises adhérentes,, le MEDEF produit chaque année un volume important de contenus à forte valeur ajoutée : notes de position, rapports d’expertise et de prospective, analyses juridiques et comptes rendus de commissions. Ce corpus représente près de 20 000 documents accessibles à des milliers de collaborateurs et représentants de fédérations professionnelles et de MEDEF territoriaux.

La diversité et le volume des documents produits ainsi que la multiplicité des sources d’accès, reflètent la richesse des travaux du MEDEF et appellent à une organisation plus lisible et plus structurée de ces contenus. Afin d’en maximiser la diffusion et l’impact auprès des ses adhérents, le MEDEF a souhaité se doter d'une solution visant à rendre son patrimoine documentaire pleinement accessible et exploitable.

‍

Une solution fiable, traçable et maîtrisée

L'agent conversationnel développé par Craft AI repose sur une architecture de type RAG, qui garantit que chaque réponse générée s'appuie exclusivement sur les documents du corpus interne, avec une traçabilité complète des sources mobilisées. Les utilisateurs pourront interroger la base en langage naturel et obtenir, selon leurs besoins, une synthèse, une analyse détaillée ou des éléments de langage directement réutilisables. Chaque réponse indiquera explicitement les documents de référence, leur date de publication et leur entité émettrice.

Un mécanisme d'abstention automatique sera intégré. Lorsque le niveau de confiance est insuffisant, l'agent signale l'absence de réponse fiable plutôt que de générer une réponse approximative. Une absence de réponse est ainsi préférée à une réponse non vérifiable, afin de garantir la fiabilité de l’information fournie à l’utilisateur.

‍

La souveraineté comme exigence

La souveraineté est au cœur du projet. L'ensemble de la solution est hébergé en France ou au sein de l'Union européenne, sans transfert ni accès possible depuis un pays tiers. Toute dépendance à des prestataires soumis à des législations extraterritoriales est exclue. Le dispositif est conforme au RGPD et intègre les principes de l'AI Act.

Dans un contexte où la confiance des utilisateurs conditionne l'adoption de l'intelligence artificielle, la maîtrise pleine et entière des données n'est pas une option mais un prérequis. Le MEDEF conserve un contrôle total sur ses contenus, ses paramétrages et les réponses produites, ainsi que sur les choix de fournisseurs de modèles. 

« Déployer de l’intelligence artificielle générative dans une organisation dont la crédibilité repose sur la rigueur de ses positions impose un niveau élevé d’exigence technique et juridique. Ce projet démontre qu’il est possible de concilier performance, traçabilité et souveraineté dans des usages concrets et opérationnels » déclare Homéric de Sarthe, Directeur Général de Craft AI.

‍

À propos de Craft AI

Craft AI est un éditeur de logiciel français qui propose une plateforme permettant de déployer des applications d’IA, de manière maîtrisée et dans un cadre de confiance. L’entreprise dispose également d’un laboratoire de recherche en IA qui publie régulièrement des articles scientifiques dans des conférences de premier plan comme l’ICML. Pour en savoir plus : https://www.craft.ai/

Le cas particulier des GPAI (Modèles d'IA à usage général) : Les grands modèles de langage (LLM) comme Mistral AI, OpenAI ou Claude entrent dans un régime propre. Soumis à une application progressive, ils nécessitent des analyses d'impact approfondies pour évaluer les risques selon s’ils sont utilisés bruts, fine-tunés ou intégrés via API.

‍

3. La Méthode "RADAR" pour Auditer ses Cas d'Usage

Développée par Xavier Trigano, la méthode RADAR permet à toute organisation de piloter sa mise en conformité de manière itérative :

• R – Recenser : Cartographier exhaustivement tous les cas d'usage de l'entreprise (outils internes pour les collaborateurs et solutions commercialisées).
• A – Attribuer les rôles : Identifier si l'organisation agit en tant que Fournisseur de modèle, Fournisseur de système d'IA, Intégrateur ou Déployeur (utilisateur final). Une même entreprise peut cumuler plusieurs rôles.
• D – Déterminer le risque : Qualifier le niveau de risque selon le type de cas d’usage et sa finalité (Inacceptable ? Haut risque ? Limité ? Faible ?).
• A – Appliquer les mesures : Mettre en œuvre les actions techniques et organisationnelles requises par le niveau de risque identifié.
• R – Rédiger la documentation : Constituer le registre et les preuves de conformité (similaire à la logique de l'accountability du RGPD).

Focus "AI by Design" - L'exemple du tri automatique de CV : Un outil RH qui exclut ou accepte des candidats de manière 100 % autonome est classé "Haut Risque", avec un coût de conformité très lourd. La méthode RADAR recommande plutôt une approche by design : modifier les fonctionnalités de l'outil pour en faire un simple système d'aide à la décision (qui extrait les compétences clés du CV mais laisse la validation finale à un recruteur humain). L'outil apporte la même valeur métier, mais bascule en risque limité, allégeant drastiquement les contraintes légales.

‍

4. FAQ : Shadow IT, RGPD et Souveraineté

Comment lutter contre le Shadow AI en entreprise ?

L'interdiction pure et simple ne fonctionne pas. Pour maîtriser l'usage des LLM par les collaborateurs, la réponse doit être transverse :

• Définir un catalogue d'usages autorisés sur la base d'outils sécurisés mis à disposition.
• Utiliser des solutions technologiques de DLP (Data Loss Prevention) pour bloquer le chargement de données sensibles vers des LLM tiers.
• Mettre à jour la charte informatique et le règlement intérieur.

L'usage des LLM (ChatGPT, Claude...) viole-t-il le RGPD ?

Ce n'est pas l'outil qui caractérise la violation, mais la finalité de l'usage. Reformuler une campagne marketing sur Claude ne présente aucun risque RGPD. En revanche, y injecter l'intégralité du fichier RH de la pyramide des âges de l'entreprise sans précaution constitue un manquement grave.

Des alternatives souveraines (hébergées on-premise ou sur des clouds français/européens) permettent de pallier les risques liés au Cloud Act américain tout en garantissant une efficacité équivalente.

Comment encadrer mes équipes dans leur utilisation de l’IA ?

L'IA Act impose une obligation de formation pour tous les utilisateurs au sein de l'organisation. L'IA pouvant se tromper ou halluciner, seul l'esprit critique de l'humain formé permet de couvrir ce risque résiduel et d'assurer un contrôle qualité efficace.

‍

5. Conclusion : L'IA Act, un levier de confiance et de compétitivité

L'IA Act ne doit pas être perçu comme un frein à l’innovation, mais comme un cadre de confiance.

En intégrant la conformité dès la conception des projets, l'IA devient un levier pérenne de performance économique, d'acceptabilité sociale et de souveraineté.

‍

Envie de développer votre agent IA sur-mesure conforme à la réglementation AI Act ? Contactez nos équipes.

‍

‍

Et accédez au replay de ce webinaire dès maintenant !