Manuel d'utilisation

Manuel d'utilisation de l'IA et FAQ

Ce manuel explique le fonctionnement du moteur d'IA de 3rdComply, ce pour quoi il est conçu, comment utiliser chaque fonctionnalité basée sur l'IA, comment s'exerce la supervision humaine et comment corriger ou signaler les résultats produits par l'IA. Tous les résultats de l'IA ont une valeur consultative : une revue humaine est toujours requise.

Fonctionnalités d'IA

Sections

Section 1

Ce que fait l'IA (et ce qu'elle ne fait pas)

Finalité prévue

Le moteur d'IA de 3rdComply sert à comparer la posture de sécurité des fournisseurs externes aux exigences de référence internes de votre organisation. Il vous fait gagner du temps de recherche et fournit une aide à la rédaction tenant compte du contexte pour la gestion des risques fournisseurs.

Limites fondamentales

Chaque résultat produit par l'IA dans 3rdComply est strictement considéré comme une recommandation consultative. L'IA n'agit jamais de manière autonome en votre nom et ne remplace ni l'expertise humaine ni le conseil juridique.

L'IA EST / FAIT…

L'IA EST / FAIT…	Détails
Un outil de comparaison	Elle extrait les exigences attendues de vos politiques internes pour permettre une comparaison directe.
Un outil de recherche automatisée	Elle collecte les informations des portails de sécurité publics des fournisseurs grâce à une recherche ciblée et ancrée sur des sources (search grounding).
Un outil d'analyse des risques	Elle évalue les questionnaires fournisseurs au regard de critères de conformité.

L'IA N'EST PAS / NE FAIT PAS…

L'IA N'EST PAS / NE FAIT PAS…	Détails
Un outil d'exclusion des fournisseurs	Elle ne bloque pas et ne place pas automatiquement de fournisseurs sur liste noire en fonction des scores.
Un outil de création de politiques	Elle ne rédige pas de nouvelles règles pour votre organisation : elle se contente d'extraire celles qui existent.
Un substitut à la due diligence humaine	Elle ne peut pas détecter si un fournisseur ment : tous les résultats doivent être vérifiés par un humain.

⚠ Règle obligatoire

N'utilisez jamais un résultat de l'IA comme seul fondement d'une décision de conformité. Les constats, scores de risque et évaluations générés par l'IA doivent être revus, validés et approuvés par une personne qualifiée avant toute action de l'organisation.

Section 2

Fonctionnalités d'IA par produit

La plateforme 3rdComply s'appuie sur trois grandes capacités d'IA conçues pour simplifier l'alignement et le recoupement des exigences de sécurité des fournisseurs :

Web Search Query

Interroge les domaines du fournisseur, et eux seuls, par recherche ancrée sur des sources afin de compléter les questions de sécurité restées sans réponse.

Vendor Standard Benchmark

Extrait de vos politiques internes les exigences de sécurité attendues pour établir la référence de chaque question.

Questionnaire Evaluator

Évalue les réponses des fournisseurs externes au regard des bonnes pratiques pour signaler les points faibles et proposer un niveau de risque.

Section 3

Guides d'utilisation des fonctionnalités

Web Search Query

Objectif

Interroger le web (en se limitant au domaine officiel du fournisseur et à ses sous-domaines) pour répondre aux questions du questionnaire fournisseur restées sans réponse.

Entrées

Nom du fournisseur, URL et questions.

Résultats

Réponses sourcées, avec les URL citées.

Mode d'emploi

1Accédez à Vendor Portals et ouvrez un questionnaire d'évaluation fournisseur.
2Sélectionnez les questions sans réponse et cliquez sur Run Web Search.
3Indiquez le nom du fournisseur et l'URL de son domaine officiel (par ex. https://vendor.com).
4L'IA effectue une recherche ciblée ancrée sur des sources, répond aux questions à partir des pages de sécurité publiques du fournisseur et joint les liens directs vers les sources citées (URL).

Vendor Standard Benchmark

Objectif

Extraire de vos politiques internes les exigences de sécurité de l'entreprise afin de disposer d'une référence pour les questions du questionnaire fournisseur.

Entrées

Fichiers de politiques internes + questions.

Résultats

Liste des exigences attendues.

Mode d'emploi

1Accédez à Standards Setup.
2Importez les politiques internes de l'entreprise (PDF, DOCX ou XLSX).
3Saisissez ou sélectionnez les questions de sécurité à évaluer.
4Cliquez sur Extract Standards Benchmark.
5L'IA analyse les politiques, en extrait les exigences de sécurité de référence de l'entreprise et restitue les exigences attendues pour chaque question.

Questionnaire Evaluator

Objectif

Évaluer les réponses des fournisseurs tiers aux questionnaires et proposer un niveau de risque.

Entrées

Questionnaire fournisseur complété.

Résultats

Scores de risque + justifications.

Mode d'emploi

1Accédez à Vendor Portals et ouvrez un questionnaire fournisseur complété.
2Cliquez sur Analyze Answers.
3L'IA lit chaque réponse du fournisseur, l'évalue au regard des bonnes pratiques de conformité, signale les points faibles et calcule un score de risque suggéré (faible, moyen, élevé).

Section 4

Supervision humaine et points de contrôle obligatoires

Tous les résultats de l'IA sont des recommandations consultatives et nécessitent une intervention humaine explicite avant d'être finalisés ou exploités.

Matrice des points de contrôle

Les points de contrôle suivants doivent être validés par du personnel qualifié avant de passer à l'étape suivante du processus :

Fonctionnalité	Point de contrôle	Éléments à vérifier	Qualification minimale du réviseur
Web Search Query	Avant de valider les réponses.	Vérifier que les URL citées existent bien et étayent la réponse.	Tout membre de l'équipe conformité.
Vendor Standard Benchmark	Avant de finaliser la référence.	Vérifier que les exigences extraites correspondent bien aux politiques internes en vigueur.	Responsable conformité ou auditeur maîtrisant le référentiel.
Questionnaire Evaluator	Avant la notation finale du fournisseur.	Valider les notations ; examiner manuellement tout fournisseur dont le score est inférieur à 70 %.	Responsable conformité / analyste risques.

Grille d'évaluation commune

Lors de chaque revue à un point de contrôle, évaluez systématiquement le résultat au regard des critères suivants :

Exactitude factuelle

Les règles extraites, les citations et les références au fournisseur sont-elles correctes ?

Contexte de l'organisation

Le résultat tient-il compte de la taille, du secteur et du profil de risque propres à votre organisation ?

Actualité

Les informations recueillies sont-elles à jour, ou renvoient-elles à des politiques obsolètes publiées sur le domaine ?

Exhaustivité

Le résultat couvre-t-il tous les aspects de la demande d'évaluation, ou présente-t-il des lacunes ?

Section 5

Procédures de reprise en main

La plateforme 3rdComply repose sur le principe de primauté humaine : vous avez toujours le dernier mot. L'IA n'agit jamais de manière autonome.

Corriger les réponses de Web Search Query

Modifier le contenu

Ajustez le raisonnement, modifiez le texte de la réponse renvoyée, ou corrigez et remplacez manuellement les URL citées dans le volet d'édition du questionnaire.

Corriger les paramètres de Vendor Standard Benchmark

Modifier les références extraites

Dans le tableau de l'éditeur d'exigences, modifiez manuellement le texte de l'exigence extraite, ou supprimez une exigence recommandée et saisissez une exigence personnalisée.

Corriger les scores de Questionnaire Evaluator

Modification manuelle du niveau de risque

Sélectionnez un autre niveau de risque dans la liste déroulante de la fiche fournisseur. Saisissez obligatoirement une justification écrite de cette modification manuelle.

Modifier la justification

Cliquez sur l'icône de modification du champ d'évaluation pour réécrire ou effacer la justification du risque proposée par l'IA.

Section 6

Signaler un problème lié à l'IA

Les utilisateurs, clients, partenaires, prestataires et autres parties prenantes sont invités à signaler sans délai tout problème lié à l'IA, notamment :

Un comportement de l'IA inattendu, non souhaité ou préjudiciable.
Des résultats biaisés, discriminatoires ou inéquitables.
Des réponses inexactes, trompeuses, mensongères ou dangereuses.
Tout incident présumé touchant à la confidentialité, à la sécurité ou à la protection des données, y compris l'exposition de données personnelles ou d'informations sensibles.
Un accès non autorisé aux systèmes d'IA ou leur utilisation abusive.
Tout manquement présumé aux lois, réglementations, obligations contractuelles ou exigences de gouvernance de l'IA de l'organisation applicables.

Section 7

Canaux de signalement

Les problèmes liés à l'IA peuvent être signalés via les canaux de communication appropriés ou en contactant notre délégué à la protection des données (DPO) à l'adresse privacy@feha.io. Dans la mesure du possible, le signalement doit préciser le système d'IA concerné, décrire le problème et inclure tout élément de preuve utile.

Chaque signalement est enregistré, reçoit une référence unique et fait l'objet d'un suivi tout au long de l'investigation, de la remédiation et de la clôture. Les signalements anonymes peuvent être acceptés le cas échéant.

Section 8

Que signaler ?

Si un résultat de l'IA vous semble incorrect, inutile ou préoccupant, rendez-vous dans Feedback pour attribuer une note (de 1 à 5 étoiles) et rédiger une description. Le tableau ci-dessous indique les informations à fournir :

Situation	Informations à fournir
Erreur factuelle	L'affirmation erronée, la réponse correcte et la source.
Hallucination	L'identifiant de contrôle ou d'article, ou la citation de site web, inventé, avec la confirmation qu'il n'existe pas.
Biais	La requête, le référentiel ou la référence attendus, et le résultat obtenu.
Problème de sécurité	Si l'IA a divulgué des informations qu'elle n'aurait pas dû révéler, ou contourné ses garde-fous.

Section 9

FAQ (questions fréquentes)

Q1 : Mes données sont-elles transmises à des fournisseurs d'IA externes ?

Oui, le contenu des documents est transmis à une API tierce pour traitement. Toutefois, toutes les données personnelles (noms, adresses e-mail, numéros de téléphone, cartes bancaires, clés d'API, etc.) sont automatiquement masquées avant l'envoi. Les données transmises via l'API ne servent pas à l'entraînement des modèles ; vos données d'origine sont traitées de façon éphémère et supprimées une fois la requête terminée.

Q2 : L'IA peut-elle accéder aux données internes de mon entreprise ?

Uniquement si vous les importez explicitement. L'IA a accès exclusivement : (1) à la base de connaissances réglementaire sélectionnée (référentiels publics) et (2) aux documents que vous importez au cours de la session en cours. Elle ne peut accéder ni à votre base de données MySQL, ni à vos autres données FEHA, ni aux données d'autres entreprises.

Q3 : Que se passe-t-il si j'importe par erreur un fichier contenant des données sensibles ?

Le système de masquage des données personnelles (Presidio + 11 détecteurs personnalisés) détecte et masque automatiquement 22 types de données sensibles avant leur envoi au LLM. Votre fichier d'origine est traité de façon éphémère : il n'est jamais stocké dans le système d'IA. Une fois le traitement terminé, l'ensemble du contenu importé est supprimé.

Q4 : Quelqu'un peut-il manipuler l'IA par injection de prompt via mes documents ?

Le système dispose de garde-fous qui détectent plus de 40 catégories de schémas d'injection de prompt, aussi bien dans les saisies des utilisateurs que dans le contenu des documents importés. Tout contenu malveillant est rejeté avec un message d'erreur générique. Le système assainit également le contexte RAG récupéré afin d'empêcher toute injection depuis la base de connaissances.

Q5 : Quels formats de fichiers puis-je importer ?

PDF, DOCX, XLSX, XLS, JSON, PNG, JPG, TIFF. Chaque fichier est contrôlé à la fois sur son extension et sur sa signature binaire (magic bytes) : le système vérifie le contenu réel du fichier, pas seulement son nom. La taille maximale est de 10 Mo par fichier.

Q6 : J'ai reçu un message d'erreur « inappropriate content detected ». Que s'est-il passé ?

Votre saisie a déclenché les garde-fous du système. Cela peut se produire si votre texte contient, même involontairement, des schémas qui s'apparentent à une injection de prompt. Essayez de reformuler votre question. Si vous pensez qu'il s'agit d'un faux positif, signalez-le via la fonctionnalité Feedback.

Q7 : Mes interactions avec l'IA sont-elles journalisées ?

Oui. Chaque requête adressée à l'IA enregistre : le modèle utilisé, le nombre de messages, un aperçu de la saisie, les données personnelles détectées, un aperçu de la réponse et la consommation de tokens. Ces journaux servent au suivi de la qualité et à l'investigation des incidents. Ils ne sont pas partagés à l'extérieur. L'observabilité est assurée par Langfuse.

Q8 : La génération de l'évaluation met très longtemps à répondre.

Pour les fonctionnalités d'analyse de fichiers ou les traitements en arrière-plan comme les modules de compilation, le temps de traitement attendu est de 30 à 120 secondes selon le nombre et la taille des fichiers. Consultez l'indicateur d'état de la tâche. Si le problème persiste, contactez votre administrateur système pour qu'il vérifie l'état du conteneur AI Services.

Section 10

Contact pour les signalements et l'assistance

Conformément à vos cadres de protection de la vie privée et de traitement des données, tout biais présumé du modèle, problème de sécurité ou manquement en matière de traitement des données peut être signalé au contact confidentialité / aux représentants chargés de la protection des données :

Contact confidentialité / délégué à la protection des données (DPO)

Henry Kevin Marcelino Ratu

Ryan Yosedie

privacy@feha.io

Tous les résultats produits par l'IA dans 3rdComply sont considérés comme des recommandations consultatives. N'utilisez jamais un résultat de l'IA comme seul fondement d'une décision de conformité. Pour signaler un biais, un problème de sécurité ou pour toute question relative à l'IA, contactez-nous à l'adresse privacy@feha.io.