La réunion où la DSI a dit « non »

La scène se joue dans beaucoup d’entreprises marocaines en ce moment. Le responsable QHSE arrive enthousiaste : il a vu une démo d’assistant IA qui répond en français à ses questions sur les non-conformités, recalcule ses indicateurs, prépare ses rapports de revue de direction. Magique. Il veut le brancher sur la base QHSE dès la semaine prochaine.

Et là, le DPO lève la main. « Ces données contiennent des noms de salariés, des accidents du travail, des plaintes clients. On va les envoyer où, exactement ? À qui ? Pour quoi faire ? Et est-ce que ce prestataire va s’en servir pour entraîner son IA ? » Silence dans la salle. La DSI, elle, pense déjà à la CNDP et à la loi 09-08.

Ces questions ne sont pas un frein. Ce sont les bonnes questions. Et la bonne nouvelle, c’est qu’elles ont des réponses concrètes — à condition de savoir lesquelles exiger de votre éditeur.

Ce que dit vraiment la loi 09-08 (et pourquoi l’IA ne change pas les principes)

La loi 09-08 relative à la protection des données personnelles, sous le contrôle de la CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel), encadre depuis des années tout traitement de données personnelles au Maroc. Vos données QHSE en contiennent presque toujours : identité des personnes accidentées, auteurs de non-conformités, signataires d’actions, données de santé au travail.

Brancher une IA dessus ne crée pas un régime juridique nouveau. Cela ré-active des principes que vous connaissez déjà :

Finalité : les données ne servent qu’à l’usage prévu (piloter votre QHSE), pas à autre chose.
Proportionnalité : on ne traite que ce qui est nécessaire.
Sécurité et confidentialité : le responsable du traitement doit garantir que les données ne fuient pas.
Encadrement des transferts et des sous-traitants : si un prestataire touche vos données, son rôle doit être contractualisé.

Si vous travaillez avec des donneurs d’ordre européens, ajoutez le RGPD par-dessus — mêmes principes, mêmes exigences sur les sous-traitants. La question n’est donc pas « ai-je le droit d’utiliser une IA sur mes données QHSE ? ». La question est : « dans quelles conditions techniques et contractuelles ? »

Les deux risques que tout le monde évalue mal

Quand on parle d’IA et de données, deux peurs reviennent toujours. Elles méritent une réponse nette.

Risque n°1 : « Mes données vont entraîner l’IA du prestataire »

C’est la crainte numéro un, et elle est légitime : si vos non-conformités servaient à entraîner un modèle, elles pourraient théoriquement ressortir ailleurs. La réponse à exiger est binaire.

Chez Betterfly, aucun modèle d’IA n’est entraîné sur les données clients. L’assistant s’appuie sur des modèles déjà pré-entraînés, accessibles via l’API Azure OpenAI, encadrée par un DPA (accord de traitement des données). Vos données métier — celles qui sont déjà dans votre base — sont seulement injectées comme contexte au moment où vous posez une question (c’est le principe du RAG : récupération puis génération). Elles servent à formuler la réponse, à l’instant T, puis n’alimentent aucun apprentissage. La machine lit votre dossier pour vous répondre ; elle ne le mémorise pas dans ses neurones.

Risque n°2 : « Les données d’un autre client vont se mélanger aux miennes »

Le deuxième cauchemar du DPO : une fuite latérale, où une question posée par un client ferait remonter les données d’un autre. La réponse est architecturale, pas une promesse de bonne conduite.

Betterfly repose sur une isolation stricte par client : une architecture database-per-tenant. Chaque organisation a sa propre base. Les données d’un client ne fuient jamais vers un autre, parce qu’elles ne cohabitent pas. Ce n’est pas un réglage, c’est la fondation.

Où vivent vos données, concrètement

Une question simple, souvent oubliée : physiquement, où sont stockées mes données ? Pour beaucoup d’outils d’IA grand public, la réponse honnête est « on ne sait pas trop, quelque part aux États-Unis ».

Betterfly est hébergé sur Microsoft Azure, région France Central — une infrastructure proche, en Europe, sur une plateforme elle-même certifiée. Les échanges sont chiffrés en transit (TLS). Cela compte pour votre analyse de transfert au titre de la loi 09-08 et du RGPD : vous pouvez documenter où vont les données et sous quel cadre.

L’humain garde la main — par conception

Le règlement européen sur l’IA (EU AI Act) pose deux exigences que tout acheteur prudent devrait déjà appliquer, même hors de l’UE : la supervision humaine (article 14) et la transparence sur le fait qu’on interagit avec une IA (article 50, applicable autour de décembre 2026).

C’est exactement le positionnement de BetterAssist : un copilote IA, jamais un agent autonome. La formule que nous assumons mot pour mot :

« BetterAssist augmente l’expert, il ne le remplace pas. La machine propose et prouve ; l’humain décide et engage. »

Concrètement, l’humain reste dans la boucle aux points sensibles — publication, signature, clôture d’une action. L’IA ne signe rien, ne valide rien seule. Et chaque réponse de l’assistant porte une trace : un identifiant, les sources citées, le modèle utilisé, le coût. Cette traçabilité est en extension continue — nous ne prétendons pas qu’elle couvre encore tout, mais le principe est intégré dès la conception.

Soyons honnêtes : ce qu’une IA QHSE ne doit pas vous promettre

Un éditeur sérieux vous dit aussi ce que son IA ne fait pas. Voici nos lignes rouges, que vous pouvez répéter telles quelles à un auditeur :

BetterAssist n’est pas un remplaçant de l’auditeur.
Il ne certifie pas votre conformité.
Il ne garantit pas l’absence de non-conformité.
Il n’est pas le décideur final.
Il ne donne pas de conseil juridique.

Sur le volet analyse de données, même rigueur : avec BetterChart, vous posez une question en langage naturel, l’IA produit une requête SQL validée sur vos propres données, et le résultat est un graphique calculé, pas inventé. Si l’information n’existe pas, l’assistant préfère dire « je ne sais pas » plutôt que d’halluciner un chiffre. Une IA qui sait s’abstenir est une IA à qui un DPO peut faire confiance.

Les 7 questions à poser à votre éditeur avant de signer

Imprimez cette liste. Posez-la à n’importe quel fournisseur d’IA QHSE. Les réponses doivent être claires, écrites, et contractuelles.

Entraînez-vous vos modèles sur mes données ? (La bonne réponse : non, et c’est écrit dans le contrat.)
Où sont hébergées mes données, et sous quel cadre juridique ? (Région, certifications de l’hébergeur, DPA du fournisseur d’IA.)
Comment garantissez-vous que mes données ne se mélangent pas à celles d’un autre client ? (Cherchez « isolation par client / par base ».)
Qui valide les sorties de l’IA avant qu’elles n’engagent mon entreprise ? (L’humain doit rester dans la boucle aux points sensibles.)
Puis-je tracer ce que l’IA a répondu, sur quelles sources et avec quel modèle ? (Exigez une traçabilité, et demandez honnêtement jusqu’où elle va.)
Êtes-vous vous-mêmes certifiés sur la sécurité et la gouvernance de l’IA ? (ISO 27001, ISO 42001 : un éditeur certifié vit ce qu’il vend.)
Que ne fait pas votre IA ? (Si l’éditeur ne sait pas répondre, méfiez-vous.)

L’éditeur applique à lui-même ce qu’il vous vend

C’est sans doute la meilleure garantie. Betterfly est éditée par E-Quality Engineering (EQE), une entreprise certifiée ISO/IEC 27001:2022 (sécurité de l’information) et ISO/IEC 42001:2023 (management de l’intelligence artificielle). Les exigences que la plateforme outille — gouvernance de l’IA, supervision humaine, traçabilité, protection des données — nous les vivons en interne. On vit ce qu’on vend.

Et pour ceux qui pilotent leur propre conformité IA, Betterfly intègre un module ISO 42001 : suivi des contrôles de l’Annexe A, déclaration d’applicabilité (SoA), et liaison directe entre chaque contrôle et ses preuves.

Confier ses données QHSE à un assistant intelligent n’est donc pas une question de foi. C’est une question de garde-fous vérifiables. Posez les bonnes questions, exigez les bonnes réponses — et l’IA devient un atout de conformité, pas un risque de plus.

Pour aller plus loin :

Consultez notre page Confiance & Sécurité : hébergement, isolation par client, non-entraînement sur vos données et engagements concrets
Découvrez BetterAssist, le copilote IA audit-grade qui augmente l’expert sans jamais le remplacer