Que sait-on de nous, dehors, que nous ne savons pas dedans ?

L'audit répond à trois questions que personne dans l'organisation ne peut documenter seul : où circulent nos données, qu'est-ce que nos sites et nos prestataires exposent, et où notre marque apparaît quand un décideur cherche, sur Google comme dans ChatGPT.

• Diagnostic souveraineté numérique : ce que vos sites, formulaires, extensions, hébergement, prestataires et accès exposent aujourd'hui. Déductible à 100 % du premier trimestre d'un contrat de gouvernance.
• Diagnostic conformité sectorielle : RGPD, AI Act, obligations propres à votre secteur, registre et preuves opposables.
• Diagnostic visibilité : ce que l'on dit de vous quand un décideur cherche, sur Google comme dans les moteurs de réponse, et les positions perdues depuis 2023.

L'audit complet ajoute le relevé sur place et la reconnaissance offensive, la cartographie des flux et une restitution à la direction.

J+0 : cadrage écrit, accès nécessaires listés, interlocuteurs nommés. J+1 à J+12 : entretiens courts, analyses techniques non destructives, requêtes aux moteurs IA, lecture des contrats fournisseurs. J+15 : séance de restitution direction ou COMEX, dossier signé remis, questions traitées en séance.

Le plan de remédiation est priorisé et chiffré, indépendant de toute mission de suite : vous pouvez le confier à qui vous voulez.

Le diagnostic de souveraineté numérique procède par relevé externe. C'est son intégrité et c'est son plafond : depuis l'extérieur, on voit ce qu'une organisation expose, jamais ce qu'elle fait. Or l'exposition réelle d'une organisation en 2026 n'est presque jamais sur son site.

Le cabinet observe cinq postes, dans cet ordre de priorité.

Outils d'intelligence artificielle. Quels assistants sont réellement utilisés, y compris ceux que la direction ne connaît pas. Pour quelles tâches et avec quelles données en entrée. Compte personnel ou compte d'entreprise. Contrat et clause de sous-traitance signés, ou absence de contrat. Paramétrage de rétention et d'entraînement. Pays de traitement. Consigne écrite et connue des équipes, ou son absence. C'est aujourd'hui le premier poste d'exposition, et le seul qu'aucun outil automatique ne verra.

Parc informatique. Nombre et nature des postes, systèmes et versions, chiffrement des disques, application des mises à jour, comptes d'administration et mots de passe partagés, protection anti-logiciel malveillant et sa supervision réelle, matériel personnel utilisé pour le travail, procédure de départ d'un collaborateur. Un ordinateur portable non chiffré perdu est une violation de données à notifier sous 72 heures ; chiffré, il ne l'est pas.

Communication et partage de fichiers. Messagerie et hébergement des boîtes, visioconférence et ses fonctions d'enregistrement ou de transcription automatique, outils de partage officiels et outils réellement employés, liens de partage publics encore actifs, transferts de fichiers volumineux. Une transcription automatique de réunion est un traitement de données, souvent hébergé hors Union européenne, presque jamais déclaré au registre.

Logiciels de gestion et applications métier. Éditeur, hébergement et pays de traitement de chaque application. Sous-traitants déclarés et leur cascade. Contrats, clauses et durées de conservation. Réversibilité : pouvez-vous récupérer vos données, dans quel format. Cartographie des accès.

Infrastructure et sauvegardes. Serveurs et stockage sur site, fréquence et emplacement des sauvegardes, existence d'une copie hors site, test de restauration déjà conduit, accès distants et leur authentification, séparation des réseaux, périmètre et accès du prestataire informatique. Une sauvegarde jamais restaurée n'est pas une sauvegarde, c'est une hypothèse.

La méthode. Observation directe et entretiens courts. Le cabinet ne fait remplir aucun questionnaire : un questionnaire mesure ce qu'une organisation croit faire, pas ce qu'elle fait. C'est la raison d'être du déplacement. Aucun test d'intrusion, aucune donnée lue ou emportée, aucune configuration modifiée.

Ce qui est écrit. Uniquement ce qui a été observé ou montré. Une rubrique non renseignée porte la mention « non observée ». Une absence de constat n'est jamais présentée comme un constat de conformité. Le dossier ne nomme aucun collaborateur : les constats portent sur des pratiques, pas sur des personnes.

Le cabinet ne touche aucune commission des prestataires qu'il recommande, y compris quand il recommande un concurrent sur un périmètre qu'il ne couvre pas. Le rapport est signé par l'ingénieur qui a fait les relevés et vous appartient.