Questionnaire de sécurité client : y répondre avec l'IA sans rien inventer

Répondre à un questionnaire de sécurité avec l'IA : oui, à une condition

Oui, une PME peut répondre au questionnaire de sécurité d'un client avec Claude ou ChatGPT, à une condition : l'assistant ne répond qu'à partir de vos documents, cite le document pour chaque réponse et écrit « à confirmer » quand il ne trouve rien. Une personne nommée valide chaque réponse avant l'envoi.

Le risque est contractuel. Un « oui » à « chiffrez-vous les sauvegardes ? » devient un engagement envers le client, et une mesure inventée par l'IA, c'est votre entreprise qui la déclare. Le questionnaire est aussi confidentiel : il peut décrire l'organisation du client et arriver sous accord de confidentialité, donc il se traite dans une offre d'équipe (Claude Team ou Enterprise, ChatGPT Business), jamais dans un compte personnel.

La méthode tient en six étapes : réunir les documents sources, créer un projet, poser la consigne plus bas, faire pré-remplir avec des statuts, relire par domaine, réinjecter les réponses validées pour le questionnaire suivant. Votre client vous demandera peut-être aussi comment vous utilisez l'IA vous-même : le cadre est dans notre guide du calendrier de l'AI Act pour les PME, et nos autres repères sont réunis sur la page conformité IA.

Qu'est-ce qu'un questionnaire de sécurité fournisseur ?

Un questionnaire de sécurité fournisseur est la liste de questions qu'un client envoie à un prestataire avant de lui confier des données ou un accès, pour savoir quelles mesures de sécurité il a réellement en place : contrôle des accès, sauvegardes, chiffrement, gestion des incidents, sous-traitants. Il prend la forme d'un tableur maison, d'un portail d'achat ou d'un référentiel standard.

Pourquoi vous en recevez de plus en plus

La directive NIS 2 (directive (UE) 2022/2555) demande aux entités qu'elle couvre de traiter, parmi leurs mesures de sécurité, « la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations » avec leurs fournisseurs directs, et de tenir compte des vulnérabilités propres à chacun et de la qualité de leurs pratiques de cybersécurité (article 21, paragraphes 2 d) et 3, texte reproduit par Springlex). C'est ce qui pousse les grands clients à interroger leurs prestataires, même petits.

Au 11 novembre 2026, la loi de transposition n'est pas promulguée en France. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025 ; à l'Assemblée nationale, la discussion en séance publique est datée du 9 novembre 2026 et le dossier n'affiche pas d'adoption (dossier législatif de l'Assemblée nationale). L'ANSSI indique que NIS 2 s'appliquera quand « l'ensemble des textes de transposition (loi, décrets, arrêtés) auront été promulgués » (MonEspaceNIS2). Si un site vous annonce la loi publiée au Journal officiel, vérifiez sur le dossier de l'Assemblée avant de le croire. De toute façon, vos clients n'attendent pas la loi pour envoyer leurs questionnaires.

Ce que l'IA peut faire, et ce qui ne se délègue pas

Tensoria, qui vend un agent pour cette tâche, résume le risque ainsi : « Déclarer un chiffrement, une certification ou un test d'intrusion qui n'existe pas engage l'entreprise » (page cas d'usage). Je vais plus loin : même relue, une réponse sur une certification ou un test d'intrusion se vérifie contre le certificat ou le rapport lui-même, pas contre la mémoire de celui qui relit.

Avant de commencer : les documents sources

L'assistant ne vaut que ce que valent vos documents. Réunissez, dans un dossier daté, vos politiques écrites (sécurité, mots de passe, sauvegarde, télétravail), même courtes ; la liste de vos sous-traitants et outils en ligne, avec le pays d'hébergement quand vous le connaissez, et vos contrats de traitement des données ; le schéma de votre informatique (postes, serveurs, services en ligne, qui administre quoi) ; les preuves réelles, comme l'attestation de sauvegarde, un rapport de test ou la police d'assurance cyber si vous en avez une ; et les questionnaires déjà envoyés et validés, avec leur date.

Si vous partez de rien, le guide d'hygiène informatique de l'ANSSI (42 mesures) et le guide de la sécurité des données personnelles de la CNIL (édition 2024, 25 fiches) servent de liste de contrôle. Cochez ce que vous faites vraiment : c'est ce document coché qui devient une source, pas le guide.

La méthode en six étapes

1. Créez un projet dans une offre d'équipe. Dans Claude, un projet est un espace de travail avec « leurs propres historiques de chat et bases de connaissances » ; sur Team et Enterprise, il se partage avec des droits « Peut afficher » ou « Peut modifier » (centre d'aide de Claude). ChatGPT propose des projets comparables.
2. Déposez les documents sources de la section précédente, avec leur date dans le nom du fichier.
3. Posez la consigne du projet, à copier et à adapter :

Tu prépares les réponses de [nom de l'entreprise] à un questionnaire de sécurité client.
Règles :
1. Réponds uniquement à partir des documents du projet. Pour chaque réponse, cite le document et la section.
2. Si aucun document ne répond, écris « À CONFIRMER » et la question à poser en interne. N'invente jamais une mesure, une certification, un délai ou un chiffre.
3. Donne un statut par question : Oui, Partiel, Non, Non applicable, À confirmer.
4. « Partiel » si la mesure existe pour une partie du périmètre ; dis laquelle.
5. Signale à part toute question qui engage un délai, une pénalité, une certification ou un audit : elle sera traitée par la direction.
6. Réponse en 3 phrases au plus, dans la langue du questionnaire.
Rends un tableau : n° de question, statut, réponse proposée, source, remarque.

4. Faites pré-remplir par blocs de 30 à 50 questions plutôt que d'un coup, pour que la relecture reste possible. Si le questionnaire vit dans un portail d'achat, exportez ou copiez les questions par bloc et recollez les réponses validées à la main ; ne donnez pas à un agent l'accès au portail.
5. Relisez par domaine : la personne qui administre l'informatique relit les accès et les sauvegardes, la direction relit tout ce qui engage. Chaque « Oui » doit avoir une source que le relecteur a ouverte, parce que l'erreur la plus probable n'est pas l'absence de source, c'est une source citée qui ne dit pas ce que la réponse affirme.
6. Réinjectez les réponses validées dans le projet, datées, avec le nom du validateur. Une réponse plus ancienne que la dernière révision de la politique concernée se revérifie avant réemploi. Quand ces réponses s'accumulent, une base de connaissance IA les range une fois pour toutes et chaque questionnaire repart de là.

Exemple : un éditeur de logiciel de 15 personnes reçoit un tableur de 120 questions d'un client bancaire. L'assistant en documente une partie à partir de la politique de sécurité et de deux questionnaires passés, et en marque une autre « à confirmer ». Le travail humain se concentre sur ces questions et sur celles qui engagent un délai ou une pénalité.

La confidentialité du questionnaire de votre client

Le questionnaire décrit souvent l'organisation et les exigences du client, et arrive sous accord de confidentialité. Relisez cet accord avant de déposer le fichier dans un outil en ligne.

• Claude Team, Enterprise et l'API : « Par défaut, nous n'utiliserons pas vos entrées ou sorties de nos produits commerciaux » pour l'entraînement, écrit Anthropic, sauf les retours que l'utilisateur envoie ; les propriétaires peuvent désactiver « Évaluer les conversations » (centre de confidentialité).
• ChatGPT Business, Enterprise et l'API : « We don't train our models on your organization's data by default » (OpenAI, données des entreprises).
• Comptes personnels (Claude Free, Pro, Max ; ChatGPT gratuit ou Plus) : à exclure pour ce travail. Leurs autres risques sont détaillés dans l'article Risques de Claude en PME.

Le questionnaire vous demandera sans doute à son tour si vous utilisez l'IA et avec quel fournisseur. Répondez avec la même méthode, à partir du contrat de l'offre que vous utilisez.

Ce que je recommande

Un assistant d'équipe suffit tant que les questionnaires restent ponctuels et qu'une personne tient la bibliothèque de réponses. Je ne propose un logiciel dédié que lorsque plusieurs personnes répondent en même temps à plusieurs clients et qu'il faut suivre qui a validé quoi.

Ne répondez jamais « oui » pour passer l'étape d'achat. Un « partiel » argumenté, avec la date à laquelle la mesure sera en place, se défend devant un client ; un « oui » faux se découvre à l'audit. Et si vous n'avez aucune politique écrite, ne commencez pas par l'outil : l'IA ne fera que reformuler du vide, et c'est ce vide que le client cherche.

Pour savoir si ce travail vaut un outil chez vous, l'audit gratuit de Waimia dure 45 minutes : prendre rendez-vous. Les éditeurs de logiciel trouveront d'autres usages dans l'article IA pour éditeur SaaS.