Accès, clés, données : ce qui est écrit avant chaque intervention.

Où vivent les clés et les identifiants ?

Dans vos comptes. Dès qu'une recette touche vos données ou tourne chez vous, elle utilise vos comptes et vos clés, jamais les miens. Les clés sont stockées côté serveur, dans un gestionnaire de secrets ou une variable d'environnement : jamais dans un fichier suivi par Git, jamais dans le code envoyé au navigateur. Je ne crée aucun compte à votre place.

Pendant la Revue de décision, je travaille sur mon propre poste, à partir de sources publiques et de ce que vous choisissez de m'envoyer.

Quels accès me donnez-vous, et comment les retirez-vous ?

Seulement ceux qu'une étape exige, listés par écrit avant la séance : quel dossier, quelle base, en lecture ou en écriture. Ce sont des accès à mon nom, que vous ouvrez vous-même et que vous fermez vous-même en fin de mission. Je n'héberge pas vos données.

Que peut faire un agent, et que ne peut-il pas faire ?

Un agent est un programme d'IA qui exécute une tâche dans des limites écrites. Chaque agent a un périmètre écrit : les outils qu'il peut utiliser, les sources qu'il peut lire, ce qu'il n'a pas le droit de modifier. Ce périmètre est un réglage, pas une consigne : un agent à qui l'on n'a pas donné l'outil d'écriture ne peut rien modifier, même par erreur. Toute action irréversible — envoi, publication, paiement, suppression — attend une confirmation humaine.

Vos contenus servent-ils à entraîner les modèles ?

Cela dépend de l'offre souscrite auprès de l'éditeur, et c'est la première chose que je vérifie avec vous. Sur les offres professionnelles des principaux éditeurs — offres équipe, offres entreprise, accès par API —, vos contenus ne servent pas à l'entraînement par défaut. Sur certaines offres individuelles, l'entraînement est activé par défaut tant que l'utilisateur ne le désactive pas dans ses réglages, et la durée de conservation des échanges change selon ce réglage.

L'offre utilisée est donc écrite avant toute séance sur données réelles, et le réglage est ouvert devant vous, dans vos paramètres. Une exigence plus stricte, comme la non-conservation des données, se négocie au contrat avec l'éditeur et se vérifie : c'est votre DSI qui la valide.

Comment un chiffre est-il vérifié avant de vous être remis ?

Chaque chiffre porte sa source, cliquable et datée. Une donnée manquante est affichée comme manquante, avec sa raison, jamais estimée en silence. Avant publication, un contrôle automatique bloque la sortie d'un rapport qui contient encore une donnée personnelle : il rend une erreur, pas un avertissement qu'on ignore.

Que devient ce qui est produit ?

Vous le recevez en fichiers ouverts : HTML, tableur, texte, code commenté. Ils se lisent sans moi et sans l'outil qui les a produits. Si un éditeur devient indisponible — c'est arrivé, sur plusieurs jours —, vos livrables restent lisibles.

Et les données personnelles ?

Aucune donnée personnelle ou confidentielle n'entre dans une requête sans base légale identifiée et minimisation vérifiée au préalable (règle 9 de la checklist). Je vous dis quelles démarches existent et où elles se remplissent ; je ne les remplis pas à votre place : je ne suis ni un cabinet juridique, ni un auditeur.

Qui est responsable de quoi après la mission ?

Les comptes, l'hébergement et la facturation sont à votre nom dès le départ, jamais au mien. Pour certaines bases de données hébergées, la région de stockage ne peut plus être changée une fois la base créée : elle se choisit donc au cadrage, avec vous.

L'exploitation quotidienne d'une automatisation livrée — une tâche planifiée qui échoue, une clé qui expire — vous revient, sauf accompagnement signé à part. Le code livré n'est pas un logiciel maintenu : ce sont des squelettes commentés, à faire relire chez vous.