Vailor : l'alternative GRC IA souveraine à CISO Assistant

Le prix de la licence n'est qu'une ligne. À périmètre constant sur un an, le coût réel additionne l'hébergement, les sauvegardes dont la restauration est testée, la supervision, les montées de version, la reprise de données, la formation des équipes et le temps interne passé à exploiter l'outil. Le mode de licence, open source ou propriétaire, ne détermine à lui seul ni ce total ni la charge d'exploitation : ce qui change, c'est qui porte chaque poste. Côté usage, le temps passé par vos équipes sur les analyses de risque se compte lui aussi en jours-homme : c'est là que l'IA de Vailor intervient, en préremplissant l'analyse à partir de vos documents.

Une instance qui porte le registre des risques, les plans d'action et les preuves est elle-même un actif sensible. L'exploiter suppose une veille de sécurité et l'application des correctifs, des sauvegardes dont la restauration est vérifiée, du chiffrement, une gestion des accès avec authentification multifacteur, de la journalisation et un plan de reprise. Ces points relèvent de vos propres mesures : l'ISO/IEC 27001:2022 les couvre notamment par la gestion des vulnérabilités techniques et la sauvegarde de l'information. Il faut aussi prévoir la continuité quand la personne qui connaît l'installation change de poste.

Vous. En protection des données, le responsable de traitement le reste quel que soit l'hébergement : le RGPD impose des mesures de sécurité adaptées au risque (article 32) et la notification d'une violation à l'autorité de contrôle sous 72 heures (article 33). Ce qui change, c'est la façon de le démontrer. En auto-hébergement, vous produisez vous-même la preuve technique. Avec un éditeur agissant comme sous-traitant, l'article 28 impose un contrat qui encadre instructions, sécurité, sous-traitants ultérieurs et assistance en cas d'incident. La directive NIS2 range par ailleurs la sécurité de la chaîne d'approvisionnement parmi les mesures attendues (article 21).

Le lieu compte, mais il ne règle pas tout. Quatre questions se posent ensemble : où sont stockées les données, quel droit s'applique au fournisseur, qui peut techniquement y accéder, et quels modèles d'IA traitent le contenu de vos analyses. Héberger vous-même répond à la première ; les trois autres restent à traiter, en particulier dès qu'un service externe est appelé. Vailor est conçue en France et héberge les données en France par défaut. Vous choisissez le modèle d'IA utilisé, y compris un modèle auto-hébergé chez vous, et vos données ne servent jamais à entraîner des modèles.

Oui. Deux modes existent : le SaaS, avec des données stockées en France, et l'installation dans votre infrastructure. Le choix se décide sur la sensibilité des données traitées et sur vos obligations, pas sur une préférence technique. Ce qui varie ensuite, c'est qui exploite la plateforme et à quel rythme les mises à jour sont appliquées. Le traitement IA suit la même logique : vous choisissez le modèle, y compris un modèle auto-hébergé.

Par extraction plutôt que par ressaisie. On récupère le référentiel de mesures, le registre des risques, les plans d'action et les preuves associées, puis on rétablit le lien entre un risque, la mesure qui le réduit et la preuve qui l'atteste : c'est ce lien qui fait la valeur d'un historique, pas le nombre de fiches. La reprise porte d'abord sur le périmètre réellement suivi, le reste suit ensuite. Un bon test consiste à rejouer une analyse déjà produite et à comparer les résultats avant de basculer, en gardant l'ancien outil accessible en lecture le temps d'un cycle de revue.