Sécurité des Données et IA en Bureau d'Études

La sécurité des données est le frein numéro un à l'adoption de l'IA dans les bureaux d'études. Pas le coût, pas la complexité technique, pas le manque de compétences. La peur que des données sensibles de projets finissent sur les serveurs d'un fournisseur cloud américain, accessibles à des tiers ou utilisées pour entraîner un modèle d'intelligence artificielle.

Cette inquiétude est légitime. Un bureau d'études manipule des informations à forte valeur : plans de projets non publiés, prix de marché, données clients maîtres d'ouvrage, propriété intellectuelle sur des méthodes de calcul. La moindre fuite peut avoir des conséquences contractuelles, concurrentielles et juridiques graves.

Mais entre la prudence raisonnée et le blocage complet, il y a un fossé que beaucoup de BET ne parviennent pas à franchir. Le résultat : leurs concurrents qui ont compris comment déployer l'IA de manière sécurisée gagnent en productivité pendant que les autres restent à l'écart. Cet article fait le point sur ce qui est réellement risqué, ce qui ne l'est pas, et comment protéger concrètement vos données tout en tirant parti de l'IA.

Pourquoi la sécurité des données bloque l'adoption de l'IA dans les BET

Le secteur de l'ingénierie est historiquement prudent sur la question des données. Et pour cause. Un bureau d'études travaille sous accords de confidentialité avec ses clients, manipule des informations qui ont une valeur stratégique directe (prix, méthodes, projets en cours), et opère dans un cadre réglementaire de plus en plus strict.

Selon la Fédération CINOV, qui représente plus de 4 000 entreprises du conseil et de l'ingénierie, la question de la confidentialité des données revient systématiquement comme le premier sujet de préoccupation lorsque l'on parle d'IA avec les dirigeants de BET.

Les craintes les plus courantes :

• Mes données de projets vont-elles être utilisées pour entraîner le modèle ? Un concurrent pourrait-il obtenir des informations similaires en interrogeant le même outil ?
• Où sont physiquement stockées les données ? Sur des serveurs américains soumis au Cloud Act ? En Europe ? En France ?
• Que se passe-t-il en cas de fuite ? Qui est responsable ? Le BET ? Le fournisseur d'IA ? L'éditeur de la solution ?
• Les accords de confidentialité avec nos MOA nous autorisent-ils à utiliser l'IA sur les données de leurs projets ?

Ces questions sont pertinentes. Le problème, c'est que beaucoup de dirigeants de BET s'arrêtent à la question sans chercher la réponse. Or les réponses existent, elles sont documentées, et les solutions techniques pour sécuriser l'utilisation de l'IA sont aujourd'hui matures.

Ce qui est réellement envoyé à un LLM quand vous utilisez l'IA

Avant de parler de solutions, il faut comprendre ce qui se passe techniquement quand un ingénieur utilise un outil d'IA générative. La plupart des inquiétudes viennent d'une méconnaissance du fonctionnement réel.

Le mécanisme en trois étapes

1. Envoi de la requête (prompt) : l'utilisateur envoie un texte (et éventuellement un fichier) au serveur du fournisseur d'IA. Ce texte transite par une connexion chiffrée (HTTPS/TLS).
2. Traitement par le modèle : le serveur utilise le modèle pour générer une réponse. Le texte envoyé est traité en mémoire vive, le temps de la requête.
3. Renvoi de la réponse : le résultat est renvoyé à l'utilisateur. La requête peut être conservée temporairement (logs) ou supprimée, selon les conditions du fournisseur.

Ce que le modèle ne fait pas

Contrairement à une idée reçue très répandue, le modèle n'apprend pas en temps réel de vos requêtes. Quand vous envoyez un CCTP à ChatGPT pour le reformuler, le modèle GPT-4 ne "mémorise" pas votre document. L'entraînement d'un LLM est un processus distinct, massif, qui se fait sur des mois avec des datasets préparés en amont.

Ce qui peut poser problème, en revanche :

• La conservation des logs : certains fournisseurs conservent les conversations pour améliorer leurs services ou détecter les abus
• L'utilisation pour l'entraînement futur : sur les interfaces grand public, les conversations peuvent alimenter les futurs cycles d'entraînement (sauf opt-out explicite)
• L'accès par les employés du fournisseur : pour le débogage ou la modération, certains employés peuvent accéder aux conversations

API, interface web, instance privée ou modèle local : le comparatif sécurité

Tous les modes d'accès à l'IA ne se valent pas en matière de protection des données. Voici un comparatif clair des quatre options disponibles pour un bureau d'études.

L'API professionnelle, le bon compromis pour la majorité des BET

Pour un bureau d'études de 5 à 50 personnes, l'API professionnelle offre le meilleur rapport sécurité/coût/performance. Concrètement, cela signifie :

• Aucune donnée utilisée pour l'entraînement : OpenAI, Anthropic (Claude), Mistral et Google s'engagent contractuellement à ne pas entraîner leurs modèles sur les données transmises via l'API
• Un DPA conforme au RGPD : un accord de traitement des données (Data Processing Agreement) encadre juridiquement la relation
• Un chiffrement de bout en bout : les données transitent en TLS 1.2+ et sont chiffrées au repos (AES-256)
• Des options d'hébergement européen : Azure OpenAI propose des régions France et Europe, Mistral est hébergé sur Scaleway (France), Anthropic propose des régions EU via AWS

C'est sur cette base que nous construisons les solutions IA pour les bureaux d'études que nous accompagnons. L'interface utilisateur est développée sur mesure, et seules les requêtes nécessaires transitent vers l'API, avec un contrôle total sur ce qui est envoyé.

Quand envisager une instance privée ou un modèle local

L'instance cloud privée (un modèle déployé sur votre propre tenant cloud, par exemple via Azure, OVH ou Scaleway) se justifie quand :

• Vos contrats clients interdisent explicitement tout transfert de données vers un tiers
• Vous travaillez sur des projets d'infrastructures sensibles (défense, nucléaire, sites classés)
• Le volume de requêtes justifie économiquement un déploiement dédié

Le modèle on-premise (hébergé sur vos propres machines) est rarement nécessaire pour un BET. Il implique un investissement matériel significatif (GPU), une maintenance technique, et les modèles open-source disponibles localement (Llama, Mistral) sont encore en retrait par rapport aux modèles cloud sur les tâches complexes d'ingénierie.

Les données sensibles d'un bureau d'études et comment les protéger

Toutes les données d'un BET ne sont pas sensibles au même degré. Identifier ce qui doit être protégé permet d'adopter des mesures proportionnées plutôt qu'un blocage généralisé.

Classification des données par niveau de sensibilité

Les bonnes pratiques de protection

Quelle que soit l'architecture choisie, ces pratiques réduisent considérablement les risques :

• Anonymiser avant d'envoyer : remplacer les noms de clients, de projets et d'adresses par des identifiants génériques avant de soumettre un document à l'IA. Un script de pré-traitement peut automatiser cette tâche
• Segmenter les requêtes : au lieu d'envoyer un document complet, n'envoyer que les extraits pertinents. Un assistant RAG bien conçu fait cela automatiquement
• Séparer les flux : utiliser l'IA pour les tâches à faible sensibilité (reformulation de clauses génériques, recherche normative) et des processus manuels pour les données critiques (prix, stratégie)
• Contrôler les accès : définir qui peut utiliser l'IA et sur quels types de projets, avec des droits différenciés par rôle
• Journaliser les usages : garder une trace de ce qui est envoyé à l'IA pour audit interne et conformité

RGPD et AI Act, ce que dit la loi pour les bureaux d'études

Le cadre juridique autour de l'IA en entreprise est désormais clair. Deux textes principaux encadrent l'utilisation de l'IA dans un BET : le RGPD (en vigueur depuis 2018) et l'AI Act européen (application progressive de 2025 à 2027).

Ce que le RGPD impose concrètement

Le RGPD s'applique dès que des données personnelles sont traitées par un système d'IA. Pour un bureau d'études, cela concerne principalement les données des personnes physiques (noms de contacts MOA, coordonnées, parfois des données de riverains dans les études d'impact).

La CNIL a publié des fiches pratiques spécifiques à l'IA qui précisent les obligations :

• Finalité définie : vous devez savoir pourquoi vous utilisez l'IA et le documenter (aide à la rédaction, recherche documentaire, vérification normative)
• Minimisation des données : n'envoyer au modèle que les données strictement nécessaires à la tâche, pas le dossier complet
• Base légale : l'intérêt légitime est généralement la base applicable pour un BET qui utilise l'IA comme outil de productivité, mais il doit être documenté
• DPA avec le fournisseur : un Data Processing Agreement conforme à l'article 28 du RGPD doit être en place avec le fournisseur d'IA
• Information des personnes : si des données personnelles sont traitées par l'IA, les personnes concernées doivent en être informées

En pratique, un BET qui utilise l'IA pour reformuler des CCTP ou rechercher dans sa base documentaire manipule très peu de données personnelles. La mise en conformité RGPD est donc relativement simple pour la majorité des cas d'usage.

L'AI Act et ses implications pour les BET

Le règlement européen sur l'intelligence artificielle (AI Act) adopté en 2024 entre en application progressivement :

• Février 2025 : interdiction des systèmes IA à risque inacceptable (manipulation, scoring social)
• Août 2025 : obligations pour les modèles d'IA à usage général (transparence, droits d'auteur)
• Août 2026 : obligations complètes pour les systèmes IA à haut risque (documentation, gestion des risques, supervision humaine)

Pour un bureau d'études, la classification dépend de l'usage :

• Risque minimal (pas d'obligations spécifiques) : utiliser l'IA pour rédiger des CCTP, rechercher des documents, reformuler du texte, générer des synthèses
• Risque potentiellement élevé : utiliser l'IA pour produire des calculs structurels, vérifier la conformité sismique, dimensionner des ouvrages dont la défaillance pourrait mettre en danger la sécurité des personnes

Dans le second cas, l'AI Act imposera des obligations de documentation technique, de traçabilité des décisions et de supervision humaine systématique. Ce qui, dans les faits, correspond déjà aux bonnes pratiques d'un BET sérieux : l'ingénieur valide toujours les résultats de l'IA avant de les intégrer dans un livrable.

Checklist sécurité avant de déployer l'IA dans votre BET

Voici la checklist concrète et actionnable que nous utilisons chez Tensoria lors de chaque audit IA pour un bureau d'études. Chaque point est vérifiable en quelques minutes.

Avant le choix de la solution

1. Cartographier vos données sensibles : lister les types de documents qui passeront par l'IA, les classer par niveau de sensibilité (voir le tableau ci-dessus). Identifier les données qui ne doivent jamais transiter par un service externe
2. Vérifier les accords de confidentialité clients : relire vos contrats cadre avec les MOA pour identifier d'éventuelles clauses restrictives sur l'utilisation d'outils tiers pour le traitement de leurs données
3. Définir la politique d'usage interne : rédiger un document clair (une page suffit) qui précise ce que les collaborateurs peuvent et ne peuvent pas envoyer à l'IA, avec des exemples concrets

Lors du choix du fournisseur

4. Exiger un DPA conforme : le fournisseur doit fournir un Data Processing Agreement conforme à l'article 28 du RGPD, précisant la localisation des données, la durée de conservation et les mesures de sécurité
5. Vérifier la non-utilisation pour l'entraînement : obtenir un engagement écrit (contractuel, pas juste marketing) que vos données ne seront pas utilisées pour entraîner ou améliorer les modèles
6. Privilégier l'hébergement EU/France : choisir des solutions hébergées en Europe, idéalement en France. Mistral (Scaleway), Azure OpenAI (région France Central), OVH AI Endpoints sont des options concrètes
7. Vérifier les certifications : ISO 27001 pour le fournisseur d'IA et l'hébergeur, HDS si vous traitez des données de santé (rare pour un BET mais possible sur certains projets hospitaliers)

Lors du déploiement

8. Mettre en place l'anonymisation automatique : configurer un filtre qui remplace les noms propres, adresses et références projets par des identifiants génériques avant tout envoi à l'IA
9. Activer la journalisation : logger toutes les requêtes envoyées à l'IA (sans stocker les réponses complètes si non nécessaire) pour permettre un audit interne ultérieur
10. Former les équipes : une session de 2 heures suffit pour expliquer les bonnes pratiques, les interdits, et montrer comment utiliser l'outil de manière sécurisée. La formation est d'ailleurs une recommandation explicite de l'ANSSI

Les architectures sécurisées pour un BET connecté à l'IA

Concrètement, comment s'organise un système d'IA sécurisé dans un bureau d'études ? Voici les trois architectures que nous déployons chez nos clients BET, de la plus simple à la plus sécurisée.

Architecture 1 : API sécurisée avec couche métier

C'est la solution la plus courante et celle qui offre le meilleur rapport sécurité/coût. Le principe :

• Une application web interne (hébergée chez vous ou sur un cloud EU) sert d'interface aux ingénieurs
• L'application applique les règles de sécurité (anonymisation, filtrage, journalisation) avant d'envoyer les requêtes à l'API du fournisseur d'IA
• La base documentaire RAG reste sur vos serveurs ou sur un cloud EU dédié
• Seuls les extraits pertinents (et anonymisés) transitent vers l'API pour la génération

Cette architecture est celle que nous recommandons pour 80% des bureaux d'études. Elle permet de bénéficier des modèles les plus performants (GPT-4, Claude, Mistral Large) tout en gardant le contrôle sur les données.

Architecture 2 : modèle dédié en cloud privé

Pour les BET qui travaillent sur des projets sensibles (grands équipements publics, hôpitaux, data centers), un modèle déployé sur un tenant cloud privé élimine le risque de mutualisation :

• Un modèle (Mistral, Llama, ou un modèle fine-tuné) tourne sur des GPU dédiés à votre usage
• Aucune donnée ne quitte votre périmètre cloud
• Le coût est plus élevé mais la garantie de confidentialité est maximale

Architecture 3 : modèle on-premise pour les projets classifiés

Réservée aux BET travaillant sur des projets défense ou des infrastructures classifiées. Le modèle tourne sur des machines physiques dans vos locaux, sans connexion internet. Les performances sont inférieures aux modèles cloud, mais la sécurité est absolue.

Ce que font les BET qui ont réussi leur transition vers l'IA

Les bureaux d'études qui utilisent l'IA avec succès partagent des caractéristiques communes dans leur approche de la sécurité.

Ils commencent par les cas d'usage à faible risque. La recherche documentaire intelligente, la reformulation de clauses génériques, la synthèse de documents réglementaires. Ces tâches ne nécessitent pas l'envoi de données sensibles et permettent aux équipes de se familiariser avec l'outil.

Ils montent progressivement en sensibilité. Une fois la confiance établie et les processus de sécurité rodés, ils passent à la rédaction de CCTP assistée par l'IA, puis à l'analyse de DCE, en ajustant les mesures de protection à chaque étape.

Ils impliquent le responsable qualité dès le début. Dans un BET certifié ISO 9001, l'intégration de l'IA dans les processus doit être documentée dans le système qualité. Cela peut paraître administratif, mais c'est un excellent cadre pour structurer la démarche de sécurité.

Ils ne cherchent pas la perfection. Un système sécurisé à 95% et opérationnel vaut mieux qu'un système parfait qui n'est jamais déployé. L'objectif est de protéger ce qui doit l'être, pas de construire un bunker numérique.

Questions fréquentes sur la sécurité des données et l'IA en bureau d'études

Pour aller plus loin

• IA pour bureaux d'études fluides : notre page dédiée aux BET CVC, plomberie et désenfumage, avec les enjeux de confidentialité spécifiques aux données de projet fluides.
• IA pour bureaux d'études : notre page dédiée aux solutions d'automatisation et d'IA pour les BET.
• Assistant IA interne (RAG) : déployer un assistant documentaire sécurisé sur vos propres données techniques.
• Audit IA : cadrer votre projet d'IA avec un diagnostic complet incluant l'analyse de sécurité.
• Développement de solutions IA sur mesure : concevoir une architecture IA adaptée à vos exigences de confidentialité.
• Bureau d'études et IA pour les appels d'offres : comment un BET a sécurisé et accéléré ses réponses aux AO grâce à l'IA.
• L'assistant IA technique pour bureaux d'études : les cas d'usage concrets d'un copilote IA dans un BET.
• Automatiser la rédaction de CCTP avec l'IA : générer vos pièces écrites en quelques minutes, en toute sécurité.
• GED intelligente pour bureaux d'études : transformer la gestion documentaire avec la recherche sémantique.
• Pénurie d'ingénieurs et IA : quand les effectifs manquent, l'IA comme multiplicateur de productivité en BET.