Conseil et déploiement de solutions d’intelligence artificielle

La mission vise à transformer les usages existants de l’IA en solutions collectives, sécurisées, mesurables et transmissibles. Elle associe cadrage des besoins, choix des solutions, sécurisation, configuration et intégration de pilotes, accompagnement des équipes et transfert continu de compétences.

Diagnostic, usages et gouvernance

Le prestataire recense outils, comptes, licences, automatisations, fournisseurs, interfaces, données mobilisées et pratiques individuelles ou collectives. Il conduit des entretiens et observations des situations de travail, classe les usages selon leur valeur, autonomie, sensibilité des données, risques et maturité, puis propose des mesures immédiates de sécurisation.

Les cas d’usage à étudier comprennent notamment la veille réglementaire et concurrentielle, la production et le contrôle de documents et contenus, l’analyse d’appels d’offres et de contrats, l’assistance documentaire interne sourcée, l’analyse de données et l’aide à la décision, ainsi que la transcription et la synthèse de réunions. Les solutions sont distinguées selon quatre niveaux d’autonomie : assistance individuelle, assistant métier alimenté par un corpus validé, automatisation supervisée et agent connecté. Les actions externes ou engageantes restent soumises à validation humaine expresse, sauf décision formelle et documentée.

Les livrables de cadrage comprennent notamment diagnostic de maturité, cartographie des usages et risques, registre initial, mesures d’urgence, liste provisoire d’outils autorisés, feuille de route, charte d’usage, règles de supervision humaine et procédure d’autorisation de nouveaux usages.

Conformité, architecture et cybersécurité

Le cadrage couvre le règlement européen sur l’IA, le RGPD, le droit social, la propriété intellectuelle, le secret des affaires, les contrats fournisseurs et l’analyse de l’assujettissement potentiel à NIS2. Il prévoit une matrice de conformité par cas d’usage, un registre juridique et des clauses contractuelles types.

La conception technique comprend la comparaison des solutions et hébergements, l’intégration au système d’information, le SSO, l’authentification multifacteur, les rôles et habilitations, l’isolation des environnements et la journalisation. Elle traite aussi du chiffrement, des connecteurs, de la conservation et suppression des données, des risques d’injection de consignes, d’exfiltration et de permissions excessives. Les outils professionnels retenus doivent être administrés par le groupe et configurés pour interdire l’utilisation de ses données à des fins d’entraînement, sauf accord écrit, spécifique et préalable.

Les essais et la recette portent sur des jeux représentatifs, l’exactitude, la pertinence, la citation des sources, la robustesse, la non-divulgation, les droits d’accès et les coûts. Sont notamment attendus une architecture de référence, un dossier de sécurité, une politique de données IA, un modèle de base de connaissances, des procédures d’accès et un plan de réponse aux incidents IA.

Pilotes, intégration et recette

Le cahier des charges prévoit la sélection de trois à cinq pilotes à partir d’une matrice valeur/risque/faisabilité et d’indicateurs mesurés avant expérimentation. Au moins trois pilotes doivent être conçus, configurés et mis en recette, dont un assistant documentaire sourcé et une automatisation supervisée. Le DQE chiffre quatre POC, quatre architectures RAG, l’intégration de trois copilotes ou assistants et six connecteurs LLM/API.

Les pilotes sont réalisés avec les utilisateurs métiers, ajustés sur des dossiers réels et documentés. La recette fonctionnelle, technique, juridique et de sécurité couvre notamment qualité, taux d’erreur, citations, habilitations, temps gagné, taux de reprise, coût par usage et satisfaction. La mise en production nécessite une validation formelle, un plan de retour arrière, un support de démarrage, une documentation d’exploitation et un propriétaire interne pour chaque service.

Formation, pilotage et transfert

La formation traite du fonctionnement et des limites de l’IA, de la vérification des résultats, de la confidentialité, de la propriété intellectuelle, des biais, de la sécurité et de la responsabilité. Des parcours différenciés sont prévus pour les utilisateurs, managers, administrateurs, équipes informatiques et fonctions juridiques, RH, communication et contrôle interne, avec exercices pratiques et évaluation des acquis.

Le pilotage comprend un tableau de bord sur l’adoption, les gains vérifiés, la qualité, les reprises, les coûts, les incidents, la conformité, l’empreinte environnementale et la satisfaction, ainsi que des audits et revalidations en cas d’évolution du modèle, du fournisseur ou des usages. Sont également prévus une veille juridique, technologique et cyber, un plan de support et une feuille de route à 18–24 mois.

Le transfert s’effectue tout au long de la mission : documentation à jour, association de référents internes à la conception et aux tests, montée en autonomie sur l’administration et suivi de cette autonomie. Le plan de réversibilité est élaboré au démarrage et actualisé à chaque phase ; il est formalisé au plus tard six mois avant l’échéance du contrat, ou immédiatement en cas de résiliation anticipée. Il couvre les accès, configurations, données, formats ouverts réutilisables, formations de transfert, assistance à la transition et suppression des données après validation de la reprise. Les résultats attendus comprennent notamment documentation d’exploitation, configurations exportées, jeux de tests, base de connaissances et registre des usages.

Le périmètre exclut du déploiement opérationnel les usages analytiques ou industriels touchant la conduite des installations, la maintenance prédictive, la sûreté industrielle ou la détection d’anomalies opérationnelles ; ceux-ci peuvent faire l’objet d’une étude d’opportunité et d’un cahier des charges distinct.

Le DQE prévoit également huit classifications de systèmes IA, cinq AIPD, trois tests de red teaming LLM, huit sessions de formation et quatre rapports trimestriels de pilotage et de veille. Il chiffre quatre trimestres de veille réglementaire IA.