En résumé
- Céos, un assistant en français et en anglais, répond aux questions sur la protection des données à partir des documents de l’Autorité.
- Trois outils guidés dans la conversation : déclaration de violation de données, registres et analyse d’impact (AIPD).
- Un audit de sécurité qui a ramené les vulnérabilités connues des dépendances de 13 à 0.
- Une formation de trois jours sur l’IA et la cybersécurité, avec sa plateforme d’exercices.
Des questions nombreuses, des textes exigeants
Une autorité de protection des données reçoit les mêmes questions de la part de publics très différents : particuliers, entreprises, délégués à la protection des données. Les réponses existent, mais elles sont réparties entre la loi, les délibérations, les guides et les formulaires.
Le projet devait rendre ces textes accessibles en langage courant, sans jamais faire dire à l’assistant ce que les documents ne disent pas.
Céos, un assistant RAG sur le site de l’Autorité
Nous avons construit l’assistant de bout en bout : une base documentaire dédiée à l’APDP, un moteur de recherche et de génération sur une instance qui lui est réservée, et une interface de conversation intégrée au site WordPress sous la forme d’une extension.
Les réponses s’affichent au fil de la génération, en français ou en anglais. L’historique reste dans le navigateur du visiteur, qui peut noter chaque réponse ; ces retours sont consultables dans l’administration du site et servent à corriger la base.
L’équipe de l’Autorité règle l’assistant depuis l’administration WordPress : activation, pages concernées, message d’accueil, fonctions avancées.
Des outils de conformité dans la conversation
L’assistant ne se limite pas à répondre. Quand la conversation porte sur une violation de données, il propose le formulaire de déclaration : 29 questions expliquées une à une, une référence unique et un export prêt à transmettre.
L’analyse d’impact suit le même principe. Un parcours en 14 étapes commence par vérifier si une AIPD est nécessaire, puis évalue les risques avec une cotation impact × probabilité et signale les cas qui exigent une consultation préalable. Le brouillon se reprend là où il a été laissé et s’exporte en PDF.
Sécurité et confidentialité vérifiées, pas supposées
Les réponses saisies dans l’analyse d’impact restent dans le navigateur. L’aide de l’IA est facultative, désactivée par défaut, déclenchée uniquement par un clic, et l’utilisateur voit ce qui sera envoyé avant l’envoi. Un test automatique contrôle qu’aucune donnée ne sort en dehors de ce cas.
Côté site, les échanges avec l’extension sont protégés par jetons, limites de débit, liste fermée de points d’accès et contrôle des fichiers envoyés.
L’audit des dépendances a recensé 13 vulnérabilités connues, dont une critique et quatre élevées. Toutes ont été corrigées, et une bibliothèque non corrigeable a été retirée.
Trois jours de formation à l’IA et à la cybersécurité
Nous avons conçu et animé une formation privée de trois jours pour les équipes de l’Autorité. Elle couvre l’IA générative et le fonctionnement de Céos, l’analyse d’impact, l’hygiène numérique, l’hameçonnage, la recherche en sources ouvertes et la réponse à incident.
La formation s’appuie sur une plateforme construite pour l’occasion : 25 modules de cours, 226 questions d’évaluation, des travaux pratiques, des enquêtes à résoudre dans le navigateur et une cellule de crise de deux heures jouée en équipe.
Le formateur projette le diaporama sur tous les postes, lance des sondages et suit la progression du groupe. Chaque participant repart avec un passeport de compétences et un certificat. Tous les scénarios, identités et incidents utilisés sont fictifs.