PIPELINEGuide
Faire soi-même la protection des données et la conformité IA ou la faire faire ?
Beaucoup de choses autour de la protection des données et de la conformité IA peuvent être construites soi-même — la question est de savoir si c'est rentable. Quand la prestation interne a du sens, où se situe la limite et quelle voie est la plus coûteuse.
Construire soi-même la protection des données et la conformité IA est rentable si le projet reste petit, si quelqu'un dans l'entreprise a du temps pour cela et si personne ne dépend du fait que ce soit opérationnel à une date précise. Dès que d'autres systèmes doivent intervenir ou que quelqu'un est responsable en cas de défaillance, la mise en œuvre externe est généralement plus avantageuse — la voie la plus coûteuse est celle qui reste inachevée.
01 — Prestation interne
Faire soi-même ou faire faire ?
- Faire soi-même est judicieux si quelqu'un dans l'entreprise a le temps et l'intérêt pour cela, si le projet reste petit et si personne ne dépend de sa mise en service à une date précise.
- Les modules prêts à l'emploi vous amènent rapidement à un premier résultat, mais atteignent leurs limites là où entrent en jeu des processus propres, des données propres ou des connexions à des systèmes existants.
- Faire faire est rentable dès que la protection des données et la conformité IA doivent communiquer avec d'autres systèmes, dès que quelqu'un est tenu responsable si cela ne fonctionne pas, ou dès que la charge interne devient plus coûteuse que la mise en œuvre externe.
- La voie la plus coûteuse est celle à moitié achevée : construite en interne pendant des mois en parallèle, puis abandonnée et refaite en externe. Qui opte pour la prestation interne devrait fixer un budget temps et un point d'abandon.
- Formule mixte : conception et mise en place externes, maintenance interne. C'est souvent la voie la plus économique pour la protection des données et la conformité IA — à condition que le transfert soit documenté.
02 — Prérequis
Ce qu'il vous faut pour la conformité IA
- Un motif clairement identifié. Non pas « nous devrions faire quelque chose avec l'IA », mais un processus qui coûte aujourd'hui du temps ou des commandes de manière avérée.
- Contenus ou données existants. La protection des données et la conformité IA travaillent avec ce qui existe. Plus la situation de départ est complète, plus la mise en place est courte.
- Accès aux systèmes concernés. Qui gère les accès doit être impliqué dès le départ — c'est d'après l'expérience la cause de retard la plus fréquente.
- Une personne de contact décisionnaire. Une, pas trois.
- Volonté d'ajuster après le lancement. Les premières semaines en exploitation réelle montrent ce qui manquait dans le concept. C'est normal et prévu.
03 — Calcul
Comment calculer
Quatre chiffres suffisent : à quelle fréquence le processus se produit-il ? Combien de temps dure-t-il ? Quel est le coût horaire interne ? Et que coûte la solution — une fois, plus l'exploitation sur trois ans ?
Un exemple : un processus qui se produit deux fois par semaine et dure à chaque fois 40 minutes mobilise environ 69 heures par an. Avec un coût horaire interne de 45 euros, cela représente environ 3 100 euros par an qui y sont immobilisés. Si une solution réduit cette charge de deux tiers, elle s'amortit — selon l'offre réelle — souvent en un à deux ans. Nous vous communiquerons la valeur exacte pour votre cas après le premier entretien.
Ce calcul est volontairement conservateur : il ne prend en compte que le temps économisé, pas les erreurs évitées ni les commandes obtenues grâce à une réaction plus rapide. En pratique, l'avantage est généralement plus élevé — mais il ne faut pas compter dessus avant de l'avoir mesuré.
04 — Questions
Questions fréquentes
Un accord verbal dans l'équipe suffit-il au lieu d'une directive écrite ?
Non, en cas de litige ou de contrôle, seul compte ce qui est documenté. Une brève directive écrite protège en outre les nouveaux collaborateurs qui n'ont jamais entendu l'accord verbal.
Avons-nous le droit d'entrer des données clients dans ChatGPT ?
Dans la variante gratuite sans garantie contractuelle : non. Avec un accès professionnel, un contrat de sous-traitance et un entraînement exclu, cela peut être licite — selon le type de données concernées. C'est précisément cette distinction qui doit figurer dans la directive d'utilisation, car elle est constamment pertinente au quotidien.
Cela s'applique-t-il aussi aux entreprises individuelles ?
Oui. L'AI Act ne fait pas de distinction selon la taille de l'entreprise, mais selon la finalité d'utilisation et le risque. Qui a un chatbot sur son site web est concerné — indépendamment du fait qu'une ou cent personnes travaillent dans l'entreprise.
Avons-nous besoin d'une analyse d'impact relative à la protection des données ?
Pas de manière générale. Elle devient nécessaire si le traitement représente probablement un risque élevé pour les personnes concernées — par exemple lors d'un profilage approfondi. Pour un chatbot FAQ sur le site web, elle n'est généralement pas requise. Nous l'examinons au cas par cas et consignons le résultat par écrit.
À quelle fréquence l'inventaire doit-il être actualisé ?
Toujours lorsqu'un nouvel outil est introduit ou que la finalité d'utilisation d'un outil existant change. Une vérification annuelle comme intervalle minimum est judicieuse, même sans raison concrète.
Et si nous utilisons plusieurs outils d'IA de différents fournisseurs ?
Chaque outil est évalué individuellement — fournisseur, traitement des données et classe de risque diffèrent. La directive d'utilisation résume les résultats, afin que personne n'ait à consulter chaque outil individuellement.
Que nous demande concrètement l'EU AI Act ?
Pour la plupart des entreprises, il s'agit de deux choses : transparence et compétence. Transparence signifie que les personnes doivent reconnaître quand elles communiquent avec un système d'IA ou voient des contenus générés par IA — cela s'applique depuis août 2026. Compétence signifie que les personnes qui déploient de tels systèmes sont suffisamment formées pour cela. Les deux sont documentables et réalisables avec un effort raisonnable.
05 — Décision
Comment avancer
L'étape suivante la plus avantageuse est un entretien, pas un devis. Vingt minutes suffisent généralement pour clarifier si un projet a du sens, dans quel cadre il s'inscrit et si nous sommes les bons interlocuteurs.
Si ce n'est pas le cas, nous le disons. Un non honnête coûte moins cher qu'un projet qu'on abandonne au bout de trois mois — des deux côtés.
06 — Suite
Pages correspondantes
- Protection des données et conformité IA — vue d'ensemble
- Protection des données et conformité IA — liste de contrôle
- Protection des données et conformité IA — alternatives
- Protection des données et conformité IA — Exemples pratiques
- Protection des données et conformité IA — introduction
- Protection des données et conformité IA — déroulement
- Protection des données et conformité IA — subvention
- Protection des données et conformité IA — Petites entreprises
- Conseil IA
- Formation IA
- Chatbot IA
- Tous les guides
Protection des données et conformité IA par région
Prochaine étape
Parlons brièvement de savoir si cela vaut le coup pour vous.
Une conversation de vingt minutes suffit généralement pour clarifier si un projet a du sens. Sinon, nous le disons — c'est moins cher pour les deux parties qu'une offre dont personne n'a besoin.