# Questionnaire de sécurité : répondre avec l'IA sans inventer > Répondre au questionnaire de sécurité d'un client avec Claude ou ChatGPT : documents sources, consigne à copier, statuts, relecture et ce qui ne se délègue pas. Source : https://waimia.com/blog/questionnaire-securite-ia --- [Accueil](/)[Blog](/blog)Questionnaire de sécurité client : y répondre avec l'IA sans rien inventer FR Édition française ◉ Disponible ![Une femme approche une grande clé d'un cadenas bleu géant, une pile de documents à ses pieds] § Blog · Conformité IA et RGPD # Questionnaire de sécurité client : y répondre avec l'IA sans rien inventer Répondre au questionnaire de sécurité d'un client avec Claude ou ChatGPT : documents sources, consigne à copier, statuts, relecture et ce qui ne se délègue pas. Simon Beros·7 novembre 2026·9 min de lecture [Simon Beros](/equipe/simon-beros)7 novembre 2026 · Mis à jour le11 novembre 2026 · 9 min de lecture ## Répondre à un questionnaire de sécurité avec l'IA : oui, à une condition Oui, une PME peut répondre au questionnaire de sécurité d'un client avec Claude ou ChatGPT, à une condition : l'assistant ne répond qu'à partir de vos documents, cite le document pour chaque réponse et écrit « à confirmer » quand il ne trouve rien. Une personne nommée valide chaque réponse avant l'envoi. Le risque est contractuel. Un « oui » à « chiffrez-vous les sauvegardes ? » devient un engagement envers le client, et une mesure inventée par l'IA, c'est votre entreprise qui la déclare. Le questionnaire est aussi confidentiel : il peut décrire l'organisation du client et arriver sous accord de confidentialité, donc il se traite dans une offre d'équipe (Claude Team ou Enterprise, ChatGPT Business), jamais dans un compte personnel. La méthode tient en six étapes : réunir les documents sources, créer un projet, poser la consigne plus bas, faire pré-remplir avec des statuts, relire par domaine, réinjecter les réponses validées pour le questionnaire suivant. Votre client vous demandera peut-être aussi comment vous utilisez l'IA vous-même : le cadre est dans notre [guide du calendrier de l'AI Act pour les PME](/ressources/guides/ai-act-pme-calendrier), et nos autres repères sont réunis sur la page [conformité IA](/conformite-ia). Vérifiez ce que ce sujet change chez vous : 45 minutes, gratuit, sans engagement. [Réserver l'audit gratuit →](/contact?offer=audit-ia-pme&intent=audit) ## Qu'est-ce qu'un questionnaire de sécurité fournisseur ? Un questionnaire de sécurité fournisseur est la liste de questions qu'un client envoie à un prestataire avant de lui confier des données ou un accès, pour savoir quelles mesures de sécurité il a réellement en place : contrôle des accès, sauvegardes, chiffrement, gestion des incidents, sous-traitants. Il prend la forme d'un tableur maison, d'un portail d'achat ou d'un référentiel standard. | Référentiel | Éditeur | Ce que c'est | Accès | | --- | --- | --- | --- | | [CAIQ v4.1](https://cloudsecurityalliance.org/artifacts/star-level-1-security-questionnaire-caiq-v4-1) | Cloud Security Alliance | « a set of Yes/No questions » sur les contrôles d'un service cloud, publié le 27 janvier 2026 ; la v4 de 2021 comptait [261 questions](https://cloudsecurityalliance.org/blog/2021/09/01/what-is-caiq) | Téléchargeable sans compte | | [AI-CAIQ](https://cloudsecurityalliance.org/artifacts/ai-consensus-assessments-initiative-questionnaire-ai-caiq) | Cloud Security Alliance | Extension du CAIQ « designed specifically for AI systems », publiée le 16 octobre 2025 | Page publique | | [SIG Lite et SIG Core](https://sharedassessments.org/about-sig/) | Shared Assessments | Questionnaire de risque fournisseur en 19 domaines ; l'édition 2026 référence ISO 42001 (IA), selon les [mises à jour du SIG 2026](https://sharedassessments.org/blog/2026-sig-workbook-updates/). Édition 2023 : 126 questions en Lite, 855 en Core | « not free to download » (membres ou abonnement) | | Tableur maison | Le client | Questions reprises de ces référentiels ou de sa propre politique | Envoyé sous confidentialité | ## Pourquoi vous en recevez de plus en plus La directive NIS 2 (directive (UE) 2022/2555) demande aux entités qu'elle couvre de traiter, parmi leurs mesures de sécurité, « la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations » avec leurs fournisseurs directs, et de tenir compte des vulnérabilités propres à chacun et de la qualité de leurs pratiques de cybersécurité (article 21, paragraphes 2 d) et 3, [texte reproduit par Springlex](https://www.springlex.eu/fr/packages/nis2/nis2-directive/article-21/)). C'est ce qui pousse les grands clients à interroger leurs prestataires, même petits. Au 11 novembre 2026, la loi de transposition n'est pas promulguée en France. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025 ; à l'Assemblée nationale, la discussion en séance publique est datée du 9 novembre 2026 et le dossier n'affiche pas d'adoption ([dossier législatif de l'Assemblée nationale](https://www.assemblee-nationale.fr/dyn/17/dossiers/DLR5L17N50731)). L'ANSSI indique que NIS 2 s'appliquera quand « l'ensemble des textes de transposition (loi, décrets, arrêtés) auront été promulgués » ([MonEspaceNIS2](https://aide.monespacenis2.cyber.gouv.fr/fr/article/avancement-de-la-transposition-de-la-directive-nis-2-1b3j1da/)). Si un site vous annonce la loi publiée au Journal officiel, vérifiez sur le dossier de l'Assemblée avant de le croire. De toute façon, vos clients n'attendent pas la loi pour envoyer leurs questionnaires. ## Ce que l'IA peut faire, et ce qui ne se délègue pas | Tâche | Assistant IA | Personne nommée | | --- | --- | --- | | Retrouver la réponse déjà validée dans un ancien questionnaire | Oui | Vérifie qu'elle est encore vraie | | Reformuler une politique interne en réponse courte, traduire en anglais | Oui | Relit | | Classer les questions par domaine et par responsable | Oui | Répartit | | Signaler les questions sans source | Oui, c'est son rôle principal | Répond ou décide de répondre « non » | | Déclarer une certification, un audit, un test d'intrusion | Non | Répond, preuve à l'appui | | Délais de notification d'incident, durées de reprise, pénalités | Non | Direction, après lecture du contrat | | Répondre « oui » à une mesure en projet | Non | Répond « partiel » ou « prévu le… » | | Signer et envoyer | Non | Dirigeant ou responsable sécurité | Tensoria, qui vend un agent pour cette tâche, résume le risque ainsi : « Déclarer un chiffrement, une certification ou un test d'intrusion qui n'existe pas engage l'entreprise » ([page cas d'usage](https://tensoria.fr/cas-usage/repondre-questionnaires-securite-ia)). Je vais plus loin : même relue, une réponse sur une certification ou un test d'intrusion se vérifie contre le certificat ou le rapport lui-même, pas contre la mémoire de celui qui relit. ## Avant de commencer : les documents sources L'assistant ne vaut que ce que valent vos documents. Réunissez, dans un dossier daté, vos politiques écrites (sécurité, mots de passe, sauvegarde, télétravail), même courtes ; la liste de vos sous-traitants et outils en ligne, avec le pays d'hébergement quand vous le connaissez, et vos contrats de traitement des données ; le schéma de votre informatique (postes, serveurs, services en ligne, qui administre quoi) ; les preuves réelles, comme l'attestation de sauvegarde, un rapport de test ou la police d'assurance cyber si vous en avez une ; et les questionnaires déjà envoyés et validés, avec leur date. Si vous partez de rien, le [guide d'hygiène informatique de l'ANSSI](https://messervices.cyber.gouv.fr/guides/guide-dhygiene-informatique) (42 mesures) et le [guide de la sécurité des données personnelles de la CNIL](https://www.cnil.fr/fr/guide-de-la-securite-des-donnees-personnelles-nouvelle-edition-2024) (édition 2024, 25 fiches) servent de liste de contrôle. Cochez ce que vous faites vraiment : c'est ce document coché qui devient une source, pas le guide. ## La méthode en six étapes - Créez un projet dans une offre d'équipe. Dans Claude, un projet est un espace de travail avec « leurs propres historiques de chat et bases de connaissances » ; sur Team et Enterprise, il se partage avec des droits « Peut afficher » ou « Peut modifier » ([centre d'aide de Claude](https://support.claude.com/fr/articles/9517075-qu-est-ce-que-les-projets)). ChatGPT propose des projets comparables. - Déposez les documents sources de la section précédente, avec leur date dans le nom du fichier. - Posez la consigne du projet, à copier et à adapter : `Tu prépares les réponses de [nom de l'entreprise] à un questionnaire de sécurité client. Règles : 1. Réponds uniquement à partir des documents du projet. Pour chaque réponse, cite le document et la section. 2. Si aucun document ne répond, écris « À CONFIRMER » et la question à poser en interne. N'invente jamais une mesure, une certification, un délai ou un chiffre. 3. Donne un statut par question : Oui, Partiel, Non, Non applicable, À confirmer. 4. « Partiel » si la mesure existe pour une partie du périmètre ; dis laquelle. 5. Signale à part toute question qui engage un délai, une pénalité, une certification ou un audit : elle sera traitée par la direction. 6. Réponse en 3 phrases au plus, dans la langue du questionnaire. Rends un tableau : n° de question, statut, réponse proposée, source, remarque.` Faites pré-remplir par blocs de 30 à 50 questions plutôt que d'un coup, pour que la relecture reste possible. Si le questionnaire vit dans un portail d'achat, exportez ou copiez les questions par bloc et recollez les réponses validées à la main ; ne donnez pas à un agent l'accès au portail. Relisez par domaine : la personne qui administre l'informatique relit les accès et les sauvegardes, la direction relit tout ce qui engage. Chaque « Oui » doit avoir une source que le relecteur a ouverte, parce que l'erreur la plus probable n'est pas l'absence de source, c'est une source citée qui ne dit pas ce que la réponse affirme. Réinjectez les réponses validées dans le projet, datées, avec le nom du validateur. Une réponse plus ancienne que la dernière révision de la politique concernée se revérifie avant réemploi. Quand ces réponses s'accumulent, une [base de connaissance IA](/services/base-de-connaissance-ia) les range une fois pour toutes et chaque questionnaire repart de là. Exemple : un éditeur de logiciel de 15 personnes reçoit un tableur de 120 questions d'un client bancaire. L'assistant en documente une partie à partir de la politique de sécurité et de deux questionnaires passés, et en marque une autre « à confirmer ». Le travail humain se concentre sur ces questions et sur celles qui engagent un délai ou une pénalité. ## La confidentialité du questionnaire de votre client Le questionnaire décrit souvent l'organisation et les exigences du client, et arrive sous accord de confidentialité. Relisez cet accord avant de déposer le fichier dans un outil en ligne. - Claude Team, Enterprise et l'API : « Par défaut, nous n'utiliserons pas vos entrées ou sorties de nos produits commerciaux » pour l'entraînement, écrit Anthropic, sauf les retours que l'utilisateur envoie ; les propriétaires peuvent désactiver « Évaluer les conversations » ([centre de confidentialité](https://privacy.claude.com/fr/articles/7996868-mes-donnees-sont-elles-utilisees-pour-l-entrainement-du-modele)). - ChatGPT Business, Enterprise et l'API : « We don't train our models on your organization's data by default » ([OpenAI, données des entreprises](https://openai.com/business-data/)). - Comptes personnels (Claude Free, Pro, Max ; ChatGPT gratuit ou Plus) : à exclure pour ce travail. Leurs autres risques sont détaillés dans l'article [Risques de Claude en PME](/blog/risques-claude-pme). Le questionnaire vous demandera sans doute à son tour si vous utilisez l'IA et avec quel fournisseur. Répondez avec la même méthode, à partir du contrat de l'offre que vous utilisez. ## Ce que je recommande Un assistant d'équipe suffit tant que les questionnaires restent ponctuels et qu'une personne tient la bibliothèque de réponses. Je ne propose un logiciel dédié que lorsque plusieurs personnes répondent en même temps à plusieurs clients et qu'il faut suivre qui a validé quoi. Ne répondez jamais « oui » pour passer l'étape d'achat. Un « partiel » argumenté, avec la date à laquelle la mesure sera en place, se défend devant un client ; un « oui » faux se découvre à l'audit. Et si vous n'avez aucune politique écrite, ne commencez pas par l'outil : l'IA ne fera que reformuler du vide, et c'est ce vide que le client cherche. Pour savoir si ce travail vaut un outil chez vous, [l'audit gratuit de Waimia](/audit-ia-pme) dure 45 minutes : [prendre rendez-vous](/contact?offer=audit-ia-pme&intent=audit). Les éditeurs de logiciel trouveront d'autres usages dans l'article [IA pour éditeur SaaS](/blog/ia-editeur-saas). PDF · envoyé par e-mail ## Recevez la charte en PDF, prête à faire signer Vous recevez le PDF par e-mail, prêt à imprimer. - Le modèle complet en neuf articles, mis en page pour être imprimé et signé - Les notes d'adaptation pour l'ajuster à votre entreprise - Les champs que vous avez personnalisés sur la page, repris dans l'e-mail - Un seul e-mail, sans inscription à une liste Modèle PDF · A4 Charte IA pour PME 9 articles · 5 pages waimia.com Partager [X](https://x.com/intent/tweet?url=https%3A%2F%2Fwaimia.com%2Fblog%2Fquestionnaire-securite-ia&text=Questionnaire%20de%20s%C3%A9curit%C3%A9%20client%C2%A0%3A%20y%20r%C3%A9pondre%20avec%20l'IA%20sans%20rien%20inventer%20%C2%B7%20Waimia) [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwaimia.com%2Fblog%2Fquestionnaire-securite-ia) § Sources - [Cloud Security Alliance, CAIQ v4.1 (27 janvier 2026), lu le 7 novembre 2026](https://cloudsecurityalliance.org/artifacts/star-level-1-security-questionnaire-caiq-v4-1) enterprise - [Cloud Security Alliance, What is CAIQ (1er septembre 2021), lu le 7 novembre 2026](https://cloudsecurityalliance.org/blog/2021/09/01/what-is-caiq) enterprise - [Cloud Security Alliance, AI-CAIQ (16 octobre 2025), lu le 7 novembre 2026](https://cloudsecurityalliance.org/artifacts/ai-consensus-assessments-initiative-questionnaire-ai-caiq) enterprise - [Shared Assessments, About SIG, lu le 7 novembre 2026](https://sharedassessments.org/about-sig/) enterprise - [Shared Assessments, 2026 SIG workbook updates (19 septembre 2025), lu le 7 novembre 2026](https://sharedassessments.org/blog/2026-sig-workbook-updates/) enterprise - [ANSSI, Guide d'hygiène informatique, lu le 7 novembre 2026](https://messervices.cyber.gouv.fr/guides/guide-dhygiene-informatique) state - [CNIL, Guide de la sécurité des données personnelles, édition 2024, lu le 7 novembre 2026](https://www.cnil.fr/fr/guide-de-la-securite-des-donnees-personnelles-nouvelle-edition-2024) state - [Directive (UE) 2022/2555, article 21, reproduite par Springlex, lu le 7 novembre 2026](https://www.springlex.eu/fr/packages/nis2/nis2-directive/article-21/) state - [Assemblée nationale, projet de loi résilience des infrastructures critiques et cybersécurité, lu les 7 et 11 novembre 2026](https://www.assemblee-nationale.fr/dyn/17/dossiers/DLR5L17N50731) state - [ANSSI, MonEspaceNIS2, avancement de la transposition, lu le 7 novembre 2026](https://aide.monespacenis2.cyber.gouv.fr/fr/article/avancement-de-la-transposition-de-la-directive-nis-2-1b3j1da/) state - [Tensoria, répondre aux questionnaires de sécurité avec l'IA (page commerciale), lu le 7 novembre 2026](https://tensoria.fr/cas-usage/repondre-questionnaires-securite-ia) enterprise - [Anthropic, Qu'est-ce que les projets, lu le 7 novembre 2026](https://support.claude.com/fr/articles/9517075-qu-est-ce-que-les-projets) enterprise - [Anthropic, Mes données sont-elles utilisées pour l'entraînement du modèle, lu le 7 novembre 2026](https://privacy.claude.com/fr/articles/7996868-mes-donnees-sont-elles-utilisees-pour-l-entrainement-du-modele) enterprise - [OpenAI, Business data privacy, lu le 7 novembre 2026](https://openai.com/business-data/) enterprise À lire ensuite [§ Blog · Claude et assistants IA ### Risques de Claude en PME : ce qui peut mal tourner, et le réglage qui l'évite Compte personnel, conservation, injection de consignes, connecteurs : les 8 risques de Claude en PME, la source d'Anthropic et le réglage qui réduit chacun. →](/blog/risques-claude-pme)[§ Blog · Claude et assistants IA ### IA pour un éditeur SaaS : agents de code, support, notes de version et sécurité IA pour éditeur SaaS : Claude Code, Codex et Vibe comparés (prix, GitHub, secrets, données), 5 consignes pour support, code et sécurité. →](/blog/ia-editeur-saas)[§ Blog · Stratégie IA ### IA pour ESN : appels d'offres, dossiers de compétences, staffing et code client IA pour ESN : Claude, ChatGPT ou Mistral comparés sur données clients et CV, 5 consignes (appel d'offres, dossier, staffing, code) et l'AI Act. →](/blog/ia-esn) § Auteur [Simon BerosFondateur de Waimia · ingénieur IA et automatisation](/equipe/simon-beros) § Audit IA Ce que vous emportez : une cartographie écrite de vos tâches, avec les chantiers à lancer en premier. [Réserver l'audit gratuit →](/contact?offer=audit-ia-pme&intent=audit) ## Questions fréquentes Q.01 Peut-on répondre à un questionnaire de sécurité avec ChatGPT ou Claude ? Oui, si l'assistant travaille dans un projet qui contient vos documents, cite sa source pour chaque réponse et marque « à confirmer » ce qu'il ne trouve pas. Utilisez une offre d'équipe (Claude Team ou Enterprise, ChatGPT Business), pas un compte personnel. Une personne nommée valide chaque réponse avant envoi. Q.02 L'IA peut-elle inventer une mesure de sécurité, et qui est responsable ? Oui, un assistant peut produire une réponse plausible sans fondement si on ne lui interdit pas. La réponse envoyée engage votre entreprise, pas l'outil. C'est pourquoi la consigne impose une source par réponse et réserve à la direction les certifications, délais et pénalités. Q.03 Quels documents réunir avant de commencer ? Vos politiques écrites, la liste des sous-traitants et outils en ligne, un schéma de votre informatique, les preuves réelles (sauvegarde, test, assurance) et les questionnaires déjà validés. Sans politique écrite, partez du guide d'hygiène informatique de l'ANSSI et du guide sécurité de la CNIL, en cochant ce que vous faites vraiment. Q.04 Qu'est-ce que le CAIQ et le SIG ? Le CAIQ est un questionnaire de la Cloud Security Alliance, en questions oui ou non sur les contrôles d'un service cloud ; la version 4.1 date du 27 janvier 2026 et se télécharge sans compte. Le SIG, de Shared Assessments, couvre 19 domaines de risque ; son édition 2023 compte 126 questions en version Lite et 855 en version Core, et il n'est pas gratuit. Q.05 NIS 2 oblige-t-il une PME à répondre à ces questionnaires ? NIS 2 oblige les entités qu'elle couvre à traiter la sécurité de leur chaîne d'approvisionnement, donc à interroger leurs fournisseurs ; une PME prestataire qui n'est pas elle-même couverte y répond par contrat. Certaines PME relèvent de NIS 2 selon leur secteur et leur taille : à vérifier sur MonEspaceNIS2. Au 11 novembre 2026, la loi de transposition n'est pas promulguée en France ; à l'Assemblée nationale, la discussion en séance publique est datée du 9 novembre 2026 et le dossier n'affiche pas d'adoption. Q.06 Nos documents de sécurité servent-ils à entraîner le modèle ? Sur Claude Team, Enterprise et l'API, Anthropic écrit ne pas utiliser les entrées et sorties pour l'entraînement par défaut, sauf les retours envoyés par l'utilisateur, que les propriétaires peuvent désactiver. OpenAI écrit ne pas entraîner ses modèles sur les données de l'organisation par défaut pour ChatGPT Business, Enterprise et l'API. Sur un compte personnel, cela dépend du réglage de chaque utilisateur. Vos usages de l'IA sont-ils en règle avec l'AI Act et le RGPD ? L'audit gratuit de 45 minutes part de vos tâches réelles et dit par où commencer, ou s'il vaut mieux ne rien faire. [Réserver l'audit gratuit →](/contact?offer=audit-ia-pme&intent=audit) Explorer aussi ## Sur le même sujet Services - [Conformité IA : RGPD et AI Act](/conformite-ia) Guides et comparatifs - [AI Act pour PME : le calendrier à jour](/ressources/guides/ai-act-pme-calendrier) - [LLM et RAG : définitions pour dirigeants](/ressources/guides/llm-rag-dirigeant) À lire - [Facture électronique : ce que change la réception en PME](/blog/facture-electronique-reception-pme) - [Consultation du CSE et IA : quand consulter](/blog/consultation-cse-ia) - [Faux avis et IA : ce qui est permis, ce qui est interdit](/blog/faux-avis-ia) - [Départ d'un salarié : ses comptes d'IA personnels](/blog/comptes-ia-personnels-depart-salarie) - [Skills Claude Code : créer et partager en équipe](/blog/claude-code-skills)