Souveraineté numérique 20 mai 2026 à 12:30

Collaborer avec mon assistant IA :

SaaS & IA: maîtrisez l'usage de vos données

SaaS, IA, convertisseurs PDF en ligne: chaque service tiers crée une zone de confiance. Pour les données sensibles, la bonne approche reste simple: limiter, classifier et maîtriser.

Illustration de la maîtrise des données dans les usages SaaS, IA et outils numériques tiers

Les outils SaaS et les assistants IA ont rendu beaucoup de tâches plus simples. Résumer un document, reformuler un texte, extraire des informations, convertir un fichier, compresser un PDF, partager un secret: tout se fait en quelques secondes.

Cette simplicité a un coût souvent invisible: la donnée quitte votre périmètre.

Même lorsqu’un service indique que les données ne sont pas réutilisées, pas conservées ou pas utilisées pour entraîner un modèle, il reste une réalité de base: à partir du moment où vous passez par un tiers, vous créez une zone de confiance. Et pour une entreprise, cette confiance doit être traitée avec méthode, pas avec optimisme.

La bonne posture n’est pas la paranoïa. C’est une logique zero trust appliquée aux usages du quotidien: on limite ce qui sort, on qualifie le risque, et on évite d’envoyer des informations sensibles là où elles n’ont pas besoin d’aller.

SaaS, IA: le même problème de fond

On oppose souvent les outils SaaS classiques et l’intelligence artificielle comme s’il s’agissait de deux sujets séparés.

En pratique, le problème est le même:

quelles données sont transmises;
où elles sont traitées;
combien de temps elles restent accessibles;
qui peut techniquement y accéder;
quels journaux sont conservés;
quelle juridiction s’applique;
comment l’organisation peut auditer ou reprendre la main.

Un CRM, un outil de ticketing, un outil de signature, un convertisseur de documents, un assistant IA ou une plateforme de transcription posent tous une question comparable: quel niveau de maîtrise accepte-t-on de perdre pour gagner en confort ou en productivité ?

Pour des données publiques ou peu sensibles, la réponse peut être simple. Pour des données clients, financières, juridiques, RH, commerciales ou stratégiques, elle doit être beaucoup plus stricte.

”Nous ne réutilisons pas vos données” ne suffit pas toujours

Certaines plateformes précisent que les données ne sont pas utilisées pour l’entraînement, qu’elles sont supprimées après traitement ou qu’elles ne sont pas revendues.

C’est mieux que l’inverse. Mais ce n’est pas une autorisation automatique.

Il faut distinguer plusieurs niveaux de garantie:

une promesse marketing affichée sur une page;
une politique de confidentialité lisible;
un contrat professionnel avec clauses de confidentialité;
une configuration réellement adaptée au compte utilisé;
des contrôles techniques sur la rétention, les accès et les journaux;
une capacité d’audit ou de preuve en cas d’incident.

Entre “le service dit qu’il ne le fait pas” et “nous maîtrisons réellement le risque”, il y a un écart.

La logique zero trust consiste à partir d’une règle simple: si une donnée n’a pas besoin de quitter notre périmètre, elle ne sort pas. Si elle doit sortir, alors on réduit, on anonymise, on encadre et on documente.

Le cas très courant des PDF en ligne

Les services de PDF en ligne sont un bon exemple parce qu’ils sont partout.

Compresser un PDF trop lourd. Fusionner deux documents. Séparer une page. Convertir un PDF en Word. Extraire des images. Passer un document dans un OCR. Dans beaucoup d’équipes, le réflexe est immédiat: chercher un outil gratuit dans un moteur de recherche, déposer le fichier, récupérer le résultat.

Pour un PDF public, ce n’est pas forcément un sujet majeur.

Pour un document interne, c’est autre chose.

Un PDF peut contenir:

un contrat client;
une proposition commerciale;
une facture;
un RIB;
un bulletin de salaire;
un CV;
un extrait de base de données;
un document juridique;
une roadmap produit;
une procédure interne;
des informations de sécurité;
des métadonnées invisibles au premier coup d’œil.

Dans ce scénario, l’action paraît anodine, mais le document complet est transmis à un tiers. L’utilisateur voulait juste “réduire la taille du fichier”. L’organisation vient peut-être d’exposer un actif sensible.

Des incidents ont déjà montré le risque

Ce risque n’est pas théorique.

En 2020, Wandera a signalé que plusieurs applications mobiles de gestion et conversion de documents associées à Cometdocs transmettaient des fichiers sans chiffrement, exposant potentiellement des documents privés pendant leur transfert. L’incident illustrait très bien le problème: les utilisateurs installent un outil pratique pour convertir des fichiers, sans forcément mesurer ce que l’application fait avec les documents.

Plus récemment, des chercheurs de PT SWARM ont rappelé que la génération ou conversion PDF est une frontière de confiance à part entière: le moteur de rendu traite du HTML, des images, des polices, des ressources externes et parfois des chemins locaux ou des accès réseau. Mal configurée ou vulnérable, cette brique peut devenir un canal de fuite, un vecteur SSRF ou une source de déni de service.

Le sujet n’est donc pas seulement “est-ce que le site est connu ?”. Le sujet est plus large: dès qu’un fichier sensible est traité par un tiers, on dépend de son code, de son infrastructure, de sa configuration, de sa politique de rétention et de ses pratiques de sécurité.

Les données à ne pas envoyer dans un outil tiers non validé

Une règle simple aide beaucoup: par défaut, ne transmettez pas à un SaaS, à une IA ou à un outil en ligne non validé ce que vous ne publieriez pas dans un canal externe.

À éviter strictement dans les outils non approuvés:

données clients nominatives;
données personnelles ou RH;
documents de santé;
contrats, devis et propositions commerciales;
informations financières;
exports CRM, ERP ou support;
journaux applicatifs contenant des identifiants, IP, emails ou tokens;
secrets, mots de passe, clés API, certificats;
documents juridiques ou contentieux;
stratégie commerciale, roadmap, M&A, projets confidentiels;
code propriétaire non public;
incidents de sécurité en cours.

Cela ne veut pas dire qu’aucun outil externe ne peut jamais traiter ces données. Cela veut dire que l’outil doit être validé, contractualisé, configuré et intégré à une gouvernance claire.

Les bonnes pratiques à mettre en place

La première étape est de classifier les données.

Tout n’a pas le même niveau de risque. Un communiqué public, une image de test, une documentation déjà publiée ou un texte générique peuvent être traités avec une souplesse raisonnable. Un contrat client ou un export de tickets support ne doit pas suivre le même chemin.

Ensuite, il faut donner aux équipes des alternatives simples. Dire “n’utilisez pas d’outil en ligne” ne fonctionne pas si l’organisation ne fournit pas de solution pratique.

Quelques pratiques concrètes:

définir une liste d’outils approuvés;
bloquer ou décourager les services non validés pour les documents sensibles;
anonymiser les contenus avant usage IA quand c’est possible;
supprimer les noms clients, emails, montants, références internes et secrets;
préférer des outils client side quand le traitement peut rester dans le navigateur;
privilégier des solutions auto-hébergées pour les usages récurrents;
séparer les canaux quand on transmet un secret;
journaliser les usages sensibles;
former les équipes avec des cas concrets, pas seulement une charte.

La sécurité doit être utilisable. Sinon, elle est contournée.

Auto-héberger les outils qui reviennent souvent

Lorsqu’un usage devient régulier, la bonne question est: pourquoi dépendre d’un service externe si l’outil peut tourner chez nous ?

Pour le partage ponctuel de secrets, nous avons déjà présenté Yopass dans un article dédié. L’idée est simple: éviter d’envoyer un mot de passe ou une clé API directement par mail, et préférer un lien temporaire, idéalement à usage unique, avec expiration.

Pour les PDF, une solution comme Stirling PDF répond très bien à beaucoup de besoins courants: fusionner, séparer, compresser, convertir, OCR, signer, réorganiser ou protéger des documents. L’intérêt n’est pas seulement fonctionnel. L’intérêt est de pouvoir l’exécuter dans un périmètre maîtrisé, par exemple sur une instance interne ou une infrastructure opérée par l’entreprise.

Ce type d’approche change la posture:

les documents ne partent pas vers un outil choisi au hasard;
l’accès peut être limité aux utilisateurs internes;
les journaux et la rétention sont maîtrisables;
les mises à jour peuvent être suivies;
la solution peut être intégrée aux procédures existantes;
l’organisation garde une cohérence avec sa politique de sécurité.

L’auto-hébergement n’est pas toujours nécessaire. Mais pour les usages sensibles et fréquents, c’est souvent le meilleur compromis entre confort, sécurité et souveraineté.

IA: quand le local redevient stratégique

L’IA ajoute une couche supplémentaire parce qu’elle pousse naturellement les utilisateurs à donner du contexte.

Pour obtenir une bonne réponse, on colle un document, un ticket, un mail client, un extrait de code, une clause contractuelle, une transcription de réunion. L’outil devient utile précisément parce qu’il reçoit des informations riches.

C’est là que le sujet devient sérieux.

Pour certains usages, un service IA externe validé peut être pertinent, surtout avec un contrat adapté et des paramètres de confidentialité maîtrisés. Pour d’autres, il faut envisager des modèles locaux ou privés:

analyse de documents internes;
assistance support sur base de connaissances client;
recherche dans des procédures d’exploitation;
synthèse de tickets sensibles;
aide à la rédaction sur données confidentielles;
exploitation de logs ou rapports d’incident;
usage métier avec contraintes de conformité.

Un modèle local ou une plateforme IA privée ne résout pas tout automatiquement. Il faut penser l’authentification, l’isolation, la journalisation, les droits d’accès, les sources documentaires, les mises à jour et les performances. Mais il permet de reprendre la main sur l’endroit où les données sont traitées et sur les règles qui s’appliquent.

Ce que nous pouvons déployer pour sécuriser ces usages

Chez Forget About IT, ce sujet rejoint directement notre approche: open source, maîtrise de l’infrastructure, observabilité, automatisation et souveraineté des données.

Nous pouvons accompagner une organisation sur plusieurs niveaux:

cartographie des usages SaaS, IA et outils en ligne;
classification des données et identification des zones à risque;
mise en place d’outils internes comme Yopass ou Stirling PDF;
déploiement de services auto-hébergés sur infrastructure Linux;
exposition sécurisée via VPN, SSO, reverse proxy et contrôle d’accès;
supervision, sauvegardes, mises à jour et maintien en condition de sécurité;
déploiement de modèles IA locaux ou privés selon les contraintes métier;
rédaction de règles simples pour les équipes.

L’objectif n’est pas de bloquer les usages modernes. L’objectif est de les rendre compatibles avec la réalité d’une entreprise: données clients, obligations contractuelles, confidentialité, conformité et continuité d’activité.

Un bon outil interne n’a pas besoin d’être spectaculaire. Il doit être disponible, compréhensible, maintenu, sécurisé et suffisamment simple pour être utilisé à la place du premier service trouvé en ligne.

Conclusion

SaaS et IA apportent de vrais gains de productivité. Les outils PDF en ligne aussi. Le problème n’est pas leur existence. Le problème est l’absence de gouvernance autour des données qui y transitent.

La règle à retenir est simple: toute donnée envoyée à un tiers doit être considérée comme sortie de votre périmètre de maîtrise. Même avec de bonnes garanties, il faut appliquer une logique zero trust: limiter, anonymiser, contractualiser, auditer, et privilégier les solutions internes quand le risque le justifie.

Pour les secrets, des outils comme Yopass améliorent les échanges du quotidien. Pour les PDF, Stirling PDF permet de ramener des usages fréquents dans un environnement maîtrisé. Pour l’IA, les modèles locaux ou privés ouvrent une trajectoire intéressante dès que les données deviennent sensibles.

Si vous souhaitez sécuriser ces usages sans ralentir vos équipes, nous pouvons vous aider à définir la bonne trajectoire et déployer les outils adaptés.

Sources

FAQ: SaaS, IA et maîtrise des données

Peut-on utiliser un SaaS ou une IA avec des données sensibles ?

Oui, mais seulement après classification des données, validation juridique et technique, et avec des garanties claires sur les accès, la rétention, l’entraînement, la localisation et la réversibilité.

Si un service indique ne pas réutiliser les données, est-ce suffisant ?

Non. C’est une garantie contractuelle ou déclarative utile, mais elle ne remplace pas une logique zero trust: limiter ce qui est transmis et vérifier le niveau réel de maîtrise.

Pourquoi les outils PDF en ligne sont-ils risqués ?

Parce qu’ils demandent souvent d’uploader le document complet vers un service tiers. Si le document contient des contrats, données clients, données RH ou éléments stratégiques, l’exposition peut devenir disproportionnée.

Quelles alternatives privilégier pour manipuler des PDF sensibles ?

Une solution locale ou auto-hébergée comme Stirling PDF, opérée dans un périmètre maîtrisé, permet de réduire la dépendance à des services externes pour les opérations courantes.

Forget About IT peut-il déployer des outils internes ou des modèles IA locaux ?

Oui. Nous pouvons accompagner l’audit des usages, le déploiement d’outils internes, l’auto-hébergement de services open source et la mise en place de modèles IA locaux adaptés aux données sensibles.