SOC 2 Type II et contenu des documents : ce qu'il faut vérifier

À retenir

• Une attestation SOC 2 Type II ne couvre que les contrôles que le fournisseur a choisi d'inclure dans le périmètre : demandez la Section III (description du système) et la Section IV (tests et exceptions), pas le certificat d'une page. Les choix de périmètre révèlent souvent plus sur la posture de sécurité que les contrôles eux-mêmes.
• « Nous ne conservons pas le contenu des documents » est une affirmation sur la persistance, pas sur la finalité. Exigez qu'elle soit formulée comme un contrôle testé, avec un identifiant de contrôle nommé, une taille d'échantillon et un résultat en Section IV.
• Vérifiez le fournisseur de modèle sous-jacent. Chez OpenAI, le comportement par défaut est que les journaux de surveillance des abus, qui peuvent contenir des prompts et des réponses, sont conservés jusqu'à 30 jours, et ce défaut s'applique sauf si le fournisseur dispose d'un accord ZDR (Zero Data Retention) ou Modified Abuse Monitoring approuvé.
• Complétez le rapport avec un DPA conforme à l'article 28, une liste nominative des sous-traitants et une lettre de pont (bridge letter) si la période d'audit s'est achevée il y a plus de 90 jours.

Que prouve réellement un SOC 2 Type II sur le contenu des documents ?

Il prouve qu'un cabinet d'experts-comptables indépendant a testé un ensemble défini de contrôles sur une période définie et a consigné les exceptions constatées. Rien de plus. Un audit SOC 2 sans réserve signifie que le fournisseur a validé les contrôles qu'il a choisi d'inclure, pas qu'il est globalement sécurisé. Si « aucun contenu de document n'est écrit dans un stockage persistant » n'est pas formulé comme objectif de contrôle dans la Section III et testé dans la Section IV, le rapport ne dit rien à ce sujet, quelle que soit l'assurance affichée dans la plaquette commerciale.

Votre première demande est donc aussi simple qu'incontournable : le rapport complet sous NDA, incluant la description du système et la matrice de tests. Lisez le périmètre du système. Un fournisseur peut limiter son SOC 2 au plan de contrôle (tableau de bord, authentification, facturation) et exclure le chemin d'inférence. Vérifiez ensuite le tableau des exceptions. Les exceptions sont normales, et souvent instructives ; un rapport sans aucune exception sur 12 mois et 90 contrôles signifie généralement que les contrôles ont été rédigés de façon trop permissive.

Un rapport SOC 2 sans la moindre exception sur une année complète n'est pas un gage de qualité, c'est plutôt l'indice que les contrôles ont été rédigés pour être validés sans effort.

Vérifiez aussi qui a signé le rapport, la date de fin de la période d'audit, et si les Trust Services Criteria incluent la Confidentialité et la Vie privée, ou seulement la Sécurité et la Disponibilité. La plupart des pipelines OCR et LLM traitent des données confidentielles clients, donc se limiter à la Sécurité constitue un périmètre très réduit.

Quels contrôles précis doivent figurer en Section IV pour une revendication d'absence de journalisation du contenu ?

Cinq, et vous pouvez les nommer dès votre demande. Premièrement, un contrôle de rétention des données stipulant que les octets du document et le texte extrait sont supprimés dans un délai de N secondes ou minutes après la livraison de la réponse, avec un test de la tâche de suppression sur un échantillon de requêtes. Deuxièmement, un contrôle de journalisation stipulant que les journaux applicatifs et d'infrastructure excluent les corps de requêtes et de réponses, testé par inspection des schémas de journaux et d'échantillons d'entrées. Troisièmement, un contrôle d'accès prouvant qu'aucun rôle humain ne peut récupérer le contenu des documents clients en production, y compris le support et les astreintes techniques. Quatrièmement, un contrôle de gestion des changements, car c'est précisément une modification du niveau de journalisation qui fait fuiter du contenu vers un outil comme Datadog. Cinquièmement, un contrôle sur le sous-traitant fournisseur de modèle.

Si le fournisseur procède à du fine-tuning ou à des évaluations de modèles, demandez séparément si du contenu client alimente un corpus d'entraînement ou d'évaluation, et quel contrôle prouve le contraire. C'est un chemin de données distinct de l'inférence, avec un stockage et des intervenants différents.

Pourquoi la section des exclusions (carve-out) est-elle la page la plus importante du rapport ?

Parce que la couche qui héberge vos documents est souvent celle que l'auditeur n'a jamais testée. Dans la méthode dite du carve-out, les contrôles de l'organisation sous-traitante sont entièrement exclus du périmètre et des tests de l'audit ; le rapport indique simplement que certains critères reposent sur les contrôles propres de cette organisation sous-traitante, et il vous appartient d'obtenir et d'examiner séparément son propre rapport. Votre auditeur ne teste pas directement les contrôles de l'organisation sous-traitante.

Un carve-out est une pratique courante et ne constitue pas en soi un signal d'alarme. Mais il crée un véritable trou dans l'assurance : si un fournisseur s'appuie sur AWS et que AWS est exclu, l'audit ne couvre pas la couche infrastructure (réseau, calcul, stockage, sécurité physique). Ce qui compte vraiment pour votre question, c'est de savoir si le fournisseur du modèle de fondation est lui-même nommé comme organisation sous-traitante. Lorsqu'un sous-traitant critique est exclu, le rapport liste les Complementary Subservice Organization Controls, c'est-à-dire les activités que le fournisseur délègue à ce prestataire. Lisez cette liste attentivement. Si la sortie OCR est envoyée à un LLM tiers et que ce fournisseur n'apparaît nulle part dans la Section III, la description du système est trompeuse, et vous devez le signaler par écrit.

Comment vérifier la politique de rétention du fournisseur de modèle, et pas seulement celle du vendeur ?

Demandez la configuration de rétention par écrit, par point d'accès (endpoint), accompagnée de la preuve d'approbation. Le comportement par défaut des grandes API n'est pas une rétention nulle. Les journaux de surveillance des abus peuvent contenir des prompts, des réponses et des métadonnées dérivées comme des sorties de classificateurs ; par défaut, ils sont générés pour tout usage de fonctionnalité API et conservés jusqu'à 30 jours, sauf obligation légale de conservation plus longue. Le contenu client ne peut être exclu de ces journaux que pour les clients éligibles ayant obtenu une approbation Zero Data Retention ou Modified Abuse Monitoring.

Deux conséquences pratiques. Le ZDR n'est pas une simple case à cocher : il requiert une approbation du fournisseur et l'acceptation d'exigences supplémentaires, après quoi les contrôles de rétention sont configurés au niveau de l'organisation, avec possibilité de les surcharger par projet. Donc « nous avons le ZDR » doit s'accompagner d'une capture d'écran des paramètres d'organisation et de projet, pas d'une simple phrase. Et la couverture est partielle : certains points d'accès et fonctionnalités ne sont pas éligibles au ZDR, donc activer le ZDR pour une organisation ne transforme pas automatiquement tous les objets d'API à état en objets éphémères. Les conversations, fichiers et vector stores conservent l'état applicatif jusqu'à suppression, quel que soit le paramétrage.

L'entraînement est une question distincte du stockage. Un opt-out d'entraînement est un contrôle sur la finalité ; le ZDR est un contrôle sur la persistance. Les comportements par défaut varient selon le fournisseur : OpenAI indique que les données API ne sont pas utilisées pour entraîner ses modèles sauf opt-in explicite, alors que Mistral entraîne ses modèles sur les données API par défaut et exige un opt-out via un paramètre d'administration, de même que Cohere via un commutateur Data Controls.

Quelles preuves valent mieux qu'un rapport SOC 2 pour cette affirmation précise ?

Des preuves que vous pouvez tester vous-même, ou qu'un auditeur a testées avec un échantillon déclaré. Classées par difficulté de falsification :

Une bridge letter est émise par la direction, pas par l'auditeur ; elle couvre l'écart entre la fin de la période et la date de la lettre, et ne constitue qu'une déclaration de la direction, sans intervention de l'auditeur. Au-delà de six mois, de nombreuses équipes de gestion des risques fournisseurs refusent ces lettres et demandent directement la date du nouveau rapport, car la direction se porte alors garante d'une période non examinée plus longue que celle qu'a réellement auditée l'auditeur. Notre checklist d'évaluation des fournisseurs IDP séquence ces demandes pour éviter de négocier les preuves une fois le contrat signé.

Que doit préciser le DPA que le SOC 2 ne peut pas couvrir ?

Le DPA est l'instrument qui rend l'absence de journalisation du contenu réellement opposable. L'article 28(3)(h) impose au sous-traitant de mettre à disposition toutes les informations nécessaires pour démontrer sa conformité et de permettre, voire de contribuer, aux audits et inspections. Proposer un rapport SOC 2 est une première étape raisonnable, mais une clause qui exclurait toute possibilité d'inspection entrerait en conflit avec cette obligation. Sur les sous-traitants, le sous-traitant « ne recrute pas un autre sous-traitant sans l'autorisation écrite préalable, spécifique ou générale, du responsable du traitement ».

Les fournisseurs d'IA se distinguent du SaaS classique sur deux clauses en particulier. La rétention doit couvrir les prompts, les sorties, les journaux, les embeddings et les caches, pas seulement les enregistrements stockés et les sauvegardes, et la liste des sous-traitants doit nommer le fournisseur de modèle de fondation qui exécute réellement l'inférence. Ajoutez un SLA de suppression chiffré, et un délai de notification de violation ; une relecture fait souvent apparaître une fenêtre de 96 heures là où vous en vouliez 72, ou un transfert vers une juridiction sans décision d'adéquation. Notre checklist RGPD pour les projets d'IA documentaire relie ces clauses au pipeline documentaire, et Sygnet publie sa propre posture et la liste de ses sous-traitants sur sa page sécurité et conformité.

Une clause de rétention rédigée pour une base de données ne couvre pas un vector store, un cache d'embeddings ou un journal de prompts, et c'est précisément là que finit le contenu des documents.

FAQ

Un fournisseur peut-il être certifié SOC 2 Type II et quand même stocker mes documents ?

Oui, très facilement. Le rapport atteste des contrôles inclus dans le périmètre, et stocker les documents clients de façon sécurisée est un contrôle parfaitement auditable. Le SOC 2 n'est pas un socle minimal de protection des données ; c'est une opinion sur les contrôles que le fournisseur a choisi de soumettre à audit. Si la rétention nulle compte pour vous, elle doit apparaître comme un objectif de contrôle explicite dans la description du système et être testée en Section IV avec un échantillon déclaré, sinon elle n'est tout simplement pas couverte.

La rétention nulle de données signifie-t-elle que rien n'est conservé où que ce soit ?

Non. Le ZDR signifie généralement que les prompts et sorties couverts ne sont pas écrits dans un stockage durable du fournisseur après traitement, mais cela ne couvre pas automatiquement les métadonnées, les outils, les journaux clients, les fichiers, les caches, les signaux de sécurité ou les exceptions légales. Les points d'accès à état, comme les fichiers et les vector stores, conservent l'état applicatif jusqu'à ce qu'une suppression intervienne. Demandez quels points d'accès sont utilisés, lesquels sont éligibles au ZDR, et ce que l'application du fournisseur conserve elle-même pour les reprises sur erreur, les files d'attente et la relecture humaine.

Comment tester moi-même l'absence de journalisation pendant un POC ?

Envoyez un document contenant une chaîne « canari » unique, puis explorez toutes les surfaces de récupération possibles : recherche dans le support, API de journal d'audit, traces d'erreurs, toute console d'administration. Demandez au fournisseur de rechercher ce canari dans sa pile d'observabilité et de vous fournir une capture d'écran datée. Combinez cela avec une extraction du schéma de journaux montrant que les corps de requêtes en sont exclus. C'est la même méthode que celle utilisée pour l'évaluation de la précision d'extraction : définissez le test avant la démonstration du fournisseur, pas après.