Un rush peut contenir des visages, des voix, des locaux, des informations internes ou des éléments soumis à confidentialité. Avant d'utiliser un service de montage assisté par IA, la bonne question n'est pas seulement « où est le fournisseur ? », mais où chaque catégorie de donnée est-elle traitée, par qui et selon quel contrat ?
Cartographier le service réel
Listez séparément les fichiers sources, exports, transcriptions, miniatures, journaux, sauvegardes et données de compte. Demandez pour chacun le lieu de stockage, le lieu de traitement, la durée de conservation et les accès de support.
Examiner les engagements vérifiables
- liste et rôle des sous-traitants ultérieurs ;
- encadrement des transferts éventuels hors Espace économique européen ;
- chiffrement, gestion des clés et contrôle des accès ;
- suppression du stockage principal et sort des sauvegardes ;
- utilisation, ou non, des contenus pour entraîner des modèles.
La CNIL rappelle que le responsable de traitement doit encadrer et contrôler la sous-traitance. Une formule marketing comme « souverain » ou « conforme RGPD » ne remplace donc ni un DPA, ni une architecture datée, ni des preuves de contrôle.
Appliquer la même règle à Olympe AI
Olympe AI publie son identité juridique et sa méthode d'évaluation. Les localisations, sous-traitants, durées et mesures applicables au service souscrit doivent être confirmés dans les documents contractuels et techniques du périmètre retenu. Cette approche permet de comparer les fournisseurs sur des preuves plutôt que sur des slogans.