Le seul agent IA orienté client conçu pour l'Europe dès le premier jour.

Que vous l'appeliez chatbot ou Agent de clientèle, la posture RGPD reste la même : Unless est le sous-traitant, et vous restez le responsable du traitement. Les données personnelles restent dans l'UE, sont contrôlées pour détecter les PII dès leur entrée dans la plateforme, et les identifiants sensibles sont tokenisés avant tout appel à un modèle. Vos utilisateurs finaux exercent leurs droits d'accès, de rectification et d'effacement via votre propre tableau de bord, et un humain confirme chaque demande avant toute modification.

Oui, qu'il s'agisse d'un simple chatbot ou d'un système pleinement agentique. Au sens de l'AI Act européen, Unless est le fournisseur du système d'IA, et vous en êtes le déployeur. La plupart des déploiements agentiques, comme l'Agent de clientèle, sont classés à risque limité. Ce classement impose de signaler que le client s'adresse à une IA, de conserver une traçabilité d'audit par décision et de permettre à un humain de revoir ou d'annuler toute sortie. La plateforme vous fournit tout cela par défaut. Lorsqu'un cas d'usage spécifique se rapproche de la catégorie à haut risque, nous travaillons avec vous en amont sur les obligations supplémentaires applicables.

Trois régimes s'appliquent généralement en même temps, que vous exploitiez un chatbot basique ou un système agentique comme l'Agent de clientèle. Le RGPD encadre les données personnelles concernées, avec vous comme responsable du traitement et Unless comme sous-traitant. L'AI Act européen encadre le système d'IA lui-même : divulgation, traçabilité d'audit, supervision humaine. Et si vous êtes une entité financière, DORA ajoute la gestion du risque informatique, le signalement des incidents et la supervision des tiers. Unless est conçu pour porter le volet technique de ces trois régimes, et non l'ajouter après coup pour chaque déploiement.

Les risques habituels s'appliquent à tout chatbot, agentique ou non : traiter des données personnelles sans filtrage adéquat, donner des réponses sans trace de leur justification, ou entreprendre une action que personne n'a approuvée. L'Agent de clientèle répond directement à chacun de ces risques : les PII sont filtrées et tokenisées avant tout appel à un modèle, chaque réponse porte une traçabilité d'audit par décision que votre DPO peut consulter, et l'agent n'entreprend jamais d'action irréversible sans qu'un humain ait d'abord approuvé la limite. Les risques du Top 10 OWASP pour les LLM - injection de prompt, gestion non sécurisée des sorties, empoisonnement des données, entre autres - sont atténués au niveau de la plateforme.

Fonctionnellement, oui. Le RGPD ne classe pas selon l'étiquette utilisée : ce qui compte, c'est qui est responsable du traitement, qui est sous-traitant et comment circulent les données personnelles. Que votre équipe l'appelle agent, assistant ou chatbot, l'Agent de clientèle d'Unless conserve la même posture RGPD : résidence des données dans l'UE, filtrage et tokenisation des PII au niveau de la passerelle et gestion des droits des personnes concernées via votre tableau de bord.

Pas par défaut. La plupart des déploiements agentiques relèvent du risque limité, les nôtres compris, sur l'Acquisition comme sur la Rétention, l'Expansion et le Support. Ce classement impose la divulgation, la supervision humaine et une traçabilité d'audit par décision, et non les obligations plus lourdes réservées aux systèmes à haut risque. Si votre cas d'usage spécifique relève effectivement du haut risque au titre de l'Annexe III, nous travaillons avec vous en amont sur les mesures supplémentaires applicables.

Cela vaut pour un simple chatbot comme pour l'Agent de clientèle complet. Le modèle qui formule la réponse finale ne voit jamais de données personnelles : il ne reçoit que des jetons et du texte filtré, jamais un nom, un e-mail ou un identifiant récupérable. Le seul composant qui voit des données personnelles en clair est l'étape de détection des PII elle-même, c'est pourquoi elle est répertoriée comme sous-traitant ultérieur dans votre DPA, au même titre que les fournisseurs cloud hébergés dans l'UE sur lesquels s'exécute la plateforme. Nous ne prétendons pas qu'aucun composant ne touche jamais aux données personnelles ; nous pouvons dire précisément lequel le fait, et que ce n'est pas le modèle.

Pas en tant qu'entité juridique propre. C'est en revanche le cas de l'infrastructure cloud sur laquelle Unless s'exécute : AWS détient les certifications ISO/IEC 27001, 27017 et 27018, auditées de manière indépendante. Le système de management de la sécurité de l'information d'Unless est lui-même calqué sur les normes ISO 27001 et 27002:2022, et nous travaillons à l'obtention de la certification ISO/IEC 42001, spécifique aux systèmes de management de l'IA.

Pas encore au niveau de l'infrastructure, et nous ne prétendons pas le contraire. Unless s'exécute aujourd'hui sur des régions AWS situées dans l'UE, et nous avons l'intention de migrer vers l'AWS European Sovereign Cloud dès qu'il prendra en charge ce dont la plateforme a besoin. Ce sur quoi nous pouvons nous appuyer aujourd'hui, c'est le flux de données : les données personnelles brutes sont tokenisées et filtrées au niveau de la passerelle, de sorte qu'elles n'atteignent jamais un modèle sous une forme qu'un fournisseur pourrait lire, quelle que soit la région cloud sous-jacente.

Oui, et Unless est conçu pour soutenir vos obligations plutôt que pour les alourdir. Notre gestion des risques informatiques s'aligne sur la norme ISO 27001 et les recommandations de l'ENISA. Les incidents sont signalés dans les délais sur lesquels nous nous engageons, et la plateforme fait l'objet de tests d'intrusion annuels. Les sous-traitants sont communiqués, avec des droits d'audit et de résiliation que vous conservez.