Sécurité, RGPD & AI Act

Dernière mise à jour : 10 juillet 2026

Hébergement et souveraineté des données

Les données de la plateforme sont hébergées en Union européenne. L'architecture est pensée pour que vous restiez maître de vos données à chaque niveau :

• Hébergement en Europe, sur des infrastructures situées dans l'UE.
• Isolation par client au niveau de la base de données : vos données ne sont jamais mélangées à celles d'un autre client.
• Maîtrise des accès : vous contrôlez qui, dans votre organisation, accède à quoi.
• Réversibilité : vos données sont exportables, et restituables ou supprimées en fin de contrat.
• Aucun transfert hors UE sans cadre juridique approprié (Data Privacy Framework ou clauses contractuelles types).

RGPD : notre rôle, vos garanties contractuelles

Sur la plateforme, Apprentisia traite les données de vos apprenants et candidats pour votre compte : nous agissons comme sous-traitant au sens de l'article 28 du RGPD, et vous restez responsable de traitement. Concrètement :

• Un accord de traitement des données (DPA) est fourni avec le contrat.
• Minimisation : la plateforme ne collecte que ce qui est nécessaire à la simulation et à sa restitution.
• Pas de compte requis pour les candidats : un lien d'invitation suffit pour passer une simulation.
• Les traitements du site vitrine sont décrits dans notre politique de confidentialité.

AI Act : notre positionnement

Nous ne contournons pas le sujet : utilisés pour l'évaluation de candidats ou l'évaluation en formation professionnelle, les systèmes d'IA relèvent des cas d'usage à haut risque de l'annexe III du règlement européen sur l'IA (recrutement, point 4 ; éducation et formation professionnelle, point 3). Les principales obligations pour ces systèmes s'appliquent à partir d'août 2026. Apprentisia anticipe cette échéance : les piliers exigés par le règlement sont déjà au cœur du produit.

• Transparence (art. 50) : l'utilisateur sait à tout moment qu'il interagit avec une IA. Aucune simulation ne se fait passer pour un humain.
• Supervision humaine (art. 14) : chaque restitution peut être relue, corrigée ou invalidée par un humain. L'IA propose, l'humain décide.
• Traçabilité (art. 12) : les sessions et les décisions de validation laissent une trace exploitable en cas d'audit.
• Robustesse : chaque restitution est accompagnée d'un indice de confiance. Pas de score fantôme présenté comme une vérité.
• Gouvernance des données (art. 10) : une démarche documentée sur la qualité et la pertinence des données utilisées.

Ce que vous obtenez en tant que déployeur

L'AI Act impose aussi des obligations à nos clients qui déploient ces systèmes (art. 26). Nous sommes conçus pour vous aider à les tenir :

• Documentation décrivant le fonctionnement du système et ses limites.
• Piste d'audit des sessions et des validations humaines.
• Workflow de validation humaine intégré : aucune restitution n'a à être utilisée sans relecture.
• Mentions d'information prêtes à l'emploi pour vos candidats et apprenants.
• Jamais de critère d'exclusion automatique : les résultats sont indicatifs et aucune décision entièrement automatisée n'est prise sur une personne (en cohérence avec l'article 22 du RGPD).

Ce que nous ne prétendons pas

Des questions précises sur notre démarche, le DPA ou l'AI Act ? Nos réponses détaillées sont aussi dans la FAQ, et nous nous ferons un plaisir d'y répondre de vive voix.