Le seul agent IA client conçu pour l'Europe depuis le premier jour.

Que vous l'appeliez chatbot ou Agent Client, la posture RGPD reste la même : Unless est le sous-traitant, et vous restez le responsable du traitement. Les données personnelles restent dans l'UE, sont contrôlées pour détecter les PII dès leur entrée dans la plateforme, et les identifiants sensibles sont tokenisés avant tout appel à un modèle. Vos utilisateurs finaux exercent leurs droits d'accès, de rectification et d'effacement via votre propre tableau de bord, avec confirmation humaine de chaque demande avant toute modification.

Oui, qu'il s'agisse d'un simple chatbot ou d'un système pleinement agentique. Au sens de l'AI Act européen, Unless est le fournisseur du système d'IA, et vous en êtes le déployeur. La plupart des déploiements agentiques, comme l'Agent Client, sont classés à risque limité, ce qui impose de signaler que le client s'adresse à une IA, de conserver une traçabilité d'audit par décision, et de permettre à un humain de revoir ou d'annuler toute sortie - autant d'éléments que la plateforme vous fournit par défaut. Lorsqu'un cas d'usage spécifique se rapproche du risque élevé, nous travaillons avec vous en amont sur les obligations supplémentaires applicables.

Trois régimes s'appliquent généralement en même temps, que vous exploitiez un chatbot basique ou un système agentique comme l'Agent Client. Le RGPD encadre les données personnelles concernées, avec vous comme responsable du traitement et Unless comme sous-traitant. L'AI Act européen encadre le système d'IA lui-même : divulgation, traçabilité d'audit, supervision humaine. Et si vous êtes une entité financière, DORA ajoute la gestion du risque informatique, le signalement des incidents, et la supervision des tiers. Unless est conçue pour porter le volet technique de ces trois régimes, et non l'ajouter après coup pour chaque déploiement.

Les risques habituels s'appliquent à tout chatbot, agentique ou non : traiter des données personnelles sans filtrage adéquat, donner des réponses sans trace de leur justification, ou entreprendre une action que personne n'a approuvée. L'Agent Client répond directement à chacun de ces risques : les PII sont filtrées et tokenisées avant tout appel à un modèle, chaque réponse porte une traçabilité d'audit par décision que votre DPO peut consulter, et l'agent ne prend jamais de décision irréversible sans qu'un humain n'ait d'abord approuvé la limite. Les risques du Top 10 OWASP pour les LLM - injection de prompt, gestion non sécurisée des sorties, contamination des données, et les autres - sont atténués au niveau de la plateforme.

Fonctionnellement, oui. Le RGPD ne classe pas selon l'étiquette utilisée : ce qui compte, c'est qui est responsable du traitement, qui est sous-traitant, et comment circulent les données personnelles. L'Agent Client d'Unless conserve la même posture RGPD, que votre équipe l'appelle agent, assistant ou chatbot : résidence des données dans l'UE, filtrage et tokenisation des PII au niveau de la passerelle, et gestion des droits des personnes concernées via votre tableau de bord.

Pas par défaut. La plupart des déploiements agentiques, y compris les nôtres, sur l'Acquisition, la Rétention, l'Expansion et le Support, sont classés à risque limité, ce qui impose la divulgation, la supervision humaine et une traçabilité d'audit par décision, plutôt que les obligations plus lourdes prévues pour les systèmes à haut risque. Si votre cas d'usage spécifique relève effectivement du haut risque au titre de l'Annexe III, nous travaillons avec vous en amont sur les mesures supplémentaires applicables.

Cela vaut que vous exploitiez un simple chatbot ou l'Agent Client complet : le modèle qui formule la réponse finale ne voit jamais de données personnelles, il ne reçoit que des jetons et du texte filtré, jamais un nom, un e-mail ou un identifiant récupérable. Le seul composant qui voit des données personnelles en clair est l'étape de détection des PII elle-même, c'est pourquoi elle est répertoriée comme sous-traitant dans votre DPA, au même titre que les fournisseurs cloud hébergés dans l'UE sur lesquels s'exécute la plateforme. Nous ne prétendons pas qu'aucun composant ne touche jamais aux données personnelles ; nous pouvons dire précisément lequel le fait, et que ce n'est pas le modèle.

Pas en tant qu'entité juridique propre. L'infrastructure cloud sur laquelle s'exécute Unless l'est, elle : AWS détient les certifications ISO/IEC 27001, 27017 et 27018, auditées de manière indépendante. Le système de management de la sécurité de l'information d'Unless est lui-même modelé sur les normes ISO 27001 et 27002:2022, et nous travaillons à l'obtention de la certification ISO/IEC 42001, spécifique aux systèmes de management de l'IA.

Pas encore au niveau de l'infrastructure, et nous ne prétendons pas le contraire. Unless s'exécute aujourd'hui sur des régions AWS situées dans l'UE, et nous avons l'intention de migrer vers l'AWS European Sovereign Cloud dès qu'il prendra en charge ce dont la plateforme a besoin. Ce sur quoi nous pouvons nous appuyer aujourd'hui, c'est le flux de données : les données personnelles brutes sont tokenisées et filtrées au niveau de la passerelle, de sorte qu'elles n'atteignent jamais un modèle sous une forme qu'un fournisseur pourrait lire, quelle que soit la région cloud sous-jacente.

Oui, et Unless est conçue pour soutenir vos obligations plutôt que pour les alourdir. Notre gestion des risques informatiques s'aligne sur la norme ISO 27001 et les recommandations de l'ENISA, les incidents sont divulgués dans des délais contractuellement engagés, la plateforme fait l'objet de tests d'intrusion annuels, et les sous-traitants sont divulgués, avec des droits d'audit et de résiliation que vous conservez.