Logiciels de conformité UE pour audits comparés

En bref.
« Hébergé en Europe » ne désigne pas une seule chose mais quatre : la juridiction de l'éditeur, le lieu de stockage, le lieu du calcul, et ce qui sort de votre périmètre pendant l'inférence. Un outil peut satisfaire la première et échouer sur la troisième. Voici la grille que nous utilisons pour trancher, et le protocole pour la vérifier vous-même en démonstration. Cette page compare des critères, pas des éditeurs : nous ne portons de jugement que sur les outils dont nous avons un relevé daté, et nous n'en nommons aucun autre.

« Hébergé en Europe » recouvre quatre choses distinctes

La mention revient dans presque toutes les fiches produit, et elle recouvre au moins quatre affirmations qui ne s'impliquent pas les unes les autres. La juridiction de l'éditeur : sous quel droit vit la société qui exploite l'outil. Le lieu de stockage : où dorment vos documents au repos. Le lieu du calcul : où tourne le modèle quand il lit vos documents et rédige. Et ce qui sort de votre périmètre pendant l'inférence : ce qui est transmis à un tiers, même transitoirement, même sans être conservé.

Les quatre se dissocient en pratique. Un éditeur peut être immatriculé dans l'Union, stocker à Francfort, et faire tourner l'inférence sur une infrastructure dont il ne nomme pas la région. Une réponse de questionnaire de sécurité qui écrit « hébergement européen » sans préciser laquelle des quatre affirmations elle porte n'est pas vérifiable : elle sera reprise telle quelle par votre client, puis contestée par son auditeur.

Le premier travail de sélection consiste donc à séparer ces quatre questions et à les poser une par une. C'est long, c'est fastidieux, et c'est le seul moyen d'obtenir une réponse qui tienne devant un tiers. Nous traitons ce point en détail dans un article consacré à la différence entre hébergement européen et souveraineté : les deux termes circulent comme des synonymes alors qu'ils désignent des engagements de nature différente.

Pour notre part, nous proposons plus de 80 pays au choix du client, avec les données et le traitement dans la même instance privée. Cette dernière précision est l'engagement utile : elle signifie que la réponse à « où dorment mes documents » et la réponse à « où sont-ils lus » sont la même.

Résidence des données : ce qu'il faut obtenir par écrit

Quatre éléments valent d'être exigés dans une annexe contractuelle plutôt que recueillis à l'oral en démonstration. Premier élément, la région nommée : pas « Europe », pas « UE », mais le pays ou la région d'infrastructure, écrit. Deuxième élément, la mention explicite que le stockage et le traitement se font dans la même instance — sans cette phrase, rien n'interdit que le calcul se fasse ailleurs.

Troisième élément, la liste des sous-traitants qui touchent le contenu de vos documents, avec leur rôle. Un fournisseur de modèle, un service de reconnaissance de caractères, un moteur de recherche vectorielle sont autant de points où le contenu transite. Quatrième élément, le mode de déploiement disponible : nous annonçons SaaS, cloud privé, et sur site compatible air-gap, et ces trois modes ne répondent pas à la même contrainte.

Le test est simple et il discrimine vite : demandez que la région figure dans l'annexe du contrat, pas dans le support de présentation. Un éditeur qui accepte de l'écrire a tranché la question en interne. Un éditeur qui préfère la formulation générale ne l'a pas tranchée, ou la réponse ne vous conviendrait pas.

Nous ne portons ici aucune appréciation sur ce qu'une réglementation exigerait en matière de localisation : ce terrain relève de vos juristes, et une page produit n'est pas le bon endroit pour l'établir. Ce qui précède décrit une méthode de vérification, pas un état du droit.

Traçabilité des preuves : ce qu'un auditeur réclame

Une réponse de conformité finit par engager une signature. La question n'est donc pas la qualité de la rédaction mais ce que l'outil attache à ce qu'il rédige. Six éléments méritent d'être vérifiés sur un cas réel : le document source, la page, la version du document, un score de fiabilité, le nom du validateur, et l'horodatage.

Nous attachons ces six éléments à chaque réponse, avec un score de confiance de 0 à 100. Le score ne sert pas d'argument commercial : il sert à trier ce qui peut partir sans relecture de ce qui doit remonter à un expert. Un texte juste mais sans source vous oblige à refaire la vérification à la main, et vous n'avez alors automatisé que la frappe.

L'angle de l'audit ajoute une exigence que les grilles d'achat oublient souvent : le format de restitution. Quand un auditeur demande la justification de trente réponses, pouvez-vous lui remettre la piste telle quelle, ou faut-il la reconstituer à la main dans un tableur ? La différence entre les deux situations se compte en jours-personnes, et elle ne se voit pas pendant une démonstration de vingt minutes si personne ne la demande.

Aptitude aux questionnaires et aux audits réglementaires

Un outil peut être irréprochable sur la résidence et inutilisable sur vos dossiers. Trois points décident de l'aptitude réelle. Les formats entrants d'abord : un questionnaire arrive en tableur, dans un portail client, en PDF, ou en Word rédigé librement, et un outil qui ne traite qu'un seul de ces canaux vous laisse le reste à la main.

Ensuite, le comportement quand la preuve n'existe pas encore. C'est le cas le plus fréquent et le moins souvent démontré : la question porte sur un document que vous n'avez pas. Un outil qui laisse la case vide vous rend la main sans rien ; la question à poser est ce qu'il propose à la place, et sous quelle forme.

Enfin l'étendue. Nous mettons en œuvre 85 agents — 72 agents métier, 12 agents sectoriels et un bibliothécaire — et nous travaillons en 109 langues, avec le vocabulaire réglementaire local. Optivalue Watch surveille 193 juridictions. Ces trois chiffres ne disent pas qu'un dossier se remplit tout seul : ils disent quelle part du périmètre est couverte sans développement spécifique.

Deux articles traitent séparément les deux usages que cette page regroupe : le choix d'un outil pour les questionnaires de sécurité, et la préparation d'un audit ISO 27001 ou NIS2. Ils entrent dans le détail du travail de réponse, là où cette page s'en tient aux critères de sélection.

Le protocole de vérification, à faire jouer en démonstration

La seule comparaison qui vaille se fait sur vos documents. Apportez votre dernier questionnaire reçu, dans son format d'origine, et trois documents internes réels — une politique, un rapport d'audit, un contrat. Refusez le jeu de données de l'éditeur : il a été choisi pour que l'outil s'y comporte bien.

Quatre mesures à relever pendant la séance. Le délai jusqu'à la première réponse complète et sourcée. La proportion de réponses qui portent effectivement les six éléments de traçabilité. Ce que fait l'outil sur une question dont la preuve n'existe pas dans vos documents. Et la restitution : demandez l'export de la piste de justification, et regardez ce qui sort.

Côté mise en œuvre, nous annonçons une mise en service en 7 minutes, sans projet informatique : c'est le délai pour disposer d'un environnement de travail, pas un temps de traitement. L'éditeur est certifié ISO/IEC 27001 et a reçu le Prix de la Souveraineté Européenne 2026. Sur nos pages produit, le gain publié est une réduction de 90 % du temps de réponse aux appels d'offres.

Un dernier conseil de méthode : faites jouer le même protocole à chaque outil considéré, dans le même ordre, avec les mêmes documents. Une grille remplie dans des conditions différentes d'un éditeur à l'autre ne compare rien, et c'est ainsi que la plupart des comparatifs publics se construisent.

« Hébergement en Europe » et « souveraineté », est-ce la même chose ?
Non. L'hébergement désigne un lieu d'infrastructure. La souveraineté engage en plus la juridiction de l'éditeur, la chaîne de sous-traitance et le lieu du calcul. Un outil peut stocker en Europe tout en faisant lire vos documents ailleurs : les deux affirmations sont compatibles et c'est précisément le point à vérifier.

Comment prouver où se fait réellement le calcul ?
Demandez que la région d'infrastructure du traitement, et non seulement du stockage, figure dans une annexe du contrat, accompagnée de la liste des sous-traitants qui touchent le contenu des documents. Un engagement écrit se vérifie ; une mention dans un support de présentation ne s'oppose à personne.

Faut-il un déploiement sur site pour être tranquille ?
Pas systématiquement. Le sur site compatible air-gap répond à une contrainte précise, quand aucun flux sortant n'est acceptable. Pour beaucoup d'organisations, une instance privée où les données et le traitement restent dans la même région suffit. Le choix se fait sur votre classification interne, pas sur le mode le plus restrictif disponible.