Où vivent vos données, et combien de temps.
Cette page est faite pour être imprimée et jointe à un dossier. Elle ne contient que des faits vérifiables : la localisation réelle de l’hébergement, la manière dont les établissements sont cloisonnés, les durées de conservation effectivement appliquées par une tâche planifiée, et notre position au regard du règlement européen sur l’intelligence artificielle.
Union européenne, et nous disons où.
« Hébergement européen » ne veut rien dire si l’on ne précise pas quoi, ni où.
Les données, en Irlande
La base de données et les fichiers — copies d’élèves, énoncés, corrigés, supports de cours — sont hébergés dans l’Union européenne, en Irlande. Chiffrement en transit et au repos.
Le rendu des pages, en Irlande
Les pages de l’application sont calculées dans la même région que la base. Ce n’est pas seulement une question de conformité : c’est aussi ce qui rend l’application rapide, puisque aucune requête ne traverse l’Atlantique.
Le traitement des corrections, en Allemagne
Le service qui orchestre les corrections tourne à Francfort. Il lit les fichiers, prépare la demande d’analyse et écrit le résultat.
L’analyse elle-même est confiée à un fournisseur de modèle spécialisé, qui n’est pas hébergé par nos soins. Ses conditions de traitement, sa localisation et son engagement de non-conservation figurent dans la documentation contractuelle que nous transmettons sur demande. Aucune copie, aucune grille et aucun exercice ne sert à entraîner un modèle, quel qu’il soit.
Ce qui s’efface, et quand.
Quatre durées, appliquées automatiquement. Les autres données vivent tant que l’établissement est client.
Ces trois durées ne sont pas une politique écrite quelque part : elles sont appliquées par une tâche planifiée qui s’exécute chaque nuit. Une durée annoncée mais jamais exécutée est une promesse que personne ne tient.
Un aménagement d'épreuve — le tiers-temps, par exemple — est enregistré comme un nombre de minutes, et rien d'autre. Aucun motif, aucun document médical, aucune mention de handicap n'entre dans CORRAICT : ces éléments restent dans le dossier de votre établissement. La décision vous appartient ; le produit ne fait que l'appliquer et en garder la trace.
Ce qui relève du haut risque, et ce qui n’en relève pas.
Les deux distinctions comptent pour un établissement : elles ne portent pas les mêmes obligations.
La correction, système à haut risque
- Évaluer les acquis d’apprentissage relève de l’annexe III du règlement (UE) 2024/1689.
- Nous l’assumons plutôt que de le contourner : supervision humaine obligatoire, aucune note publiée sans validation d’un enseignant.
- Chaque point proposé est rattaché à un critère de la grille et accompagné de sa justification — l’explicabilité n’est pas une option ajoutée après coup.
- L’historique d’une évaluation — proposition, modification, validation, horodatage — est conservé et exportable.
Ce qui n’est pas un système d’IA
- Le relevé des conditions de composition : des événements de navigateur horodatés côté serveur, comptés. Aucun modèle n’intervient, rien n’est inféré.
- L’individualisation des sujets : un calcul déterministe à partir de l’adresse de l’élève et des bornes déclarées par l’enseignant.
- Aucune surveillance de l’élève pendant l’épreuve : pas d’accès à la webcam, pas de reconnaissance des émotions — que l’article 5 interdit dans les établissements d’enseignement.
- Aucun outil de reconnaissance de texte généré, ni intégré ni développé.
Ce que nous transmettons sur demande.
Ce qui relève du contrat ne se publie pas sur une page web : cela s’échange, daté et signé.
Accord de sous-traitance, liste détaillée des sous-traitants avec leur rôle et leur localisation, bases légales par traitement, mesures techniques et organisationnelles, procédure en cas de violation de données, modalités de réversibilité et d’export. Adressez votre demande au point de contact protection des données ; nous répondons sous cinq jours ouvrés.
Les mentions légales et la politique de données de la plateforme complètent cette page.
Conformité au règlement européen sur l’IA.
Notre rôle, le calendrier des obligations, nos engagements concrets et ce que nous ne faisons pas. Ce document occupait sa propre page jusqu’au 27 août 2026.
Notre engagement
OAVENTURE intègre des technologies d’intelligence artificielle dans son offre. Nous considérons l’encadrement de l’IA comme une responsabilité, au même titre que la protection des données personnelles. Cette page décrit notre démarche de mise en conformité avec le Règlement (UE) 2024/1689 (« IA Act »), en complément de notre politique de confidentialité / conformité RGPD et de nos mentions légales.
Le cadre s’applique de manière progressive. Nous adaptons nos engagements au calendrier réglementaire et nous tenons cette page à jour à mesure que les obligations entrent en application.
Notre rôle au regard du règlement
Au sens de l’IA Act, OAVENTURE agit en qualité de déployeur : nous intégrons et utilisons des modèles et services d’IA fournis par des tiers (par exemple des fournisseurs de modèles d’IA à usage général) pour proposer nos fonctionnalités. Nous ne développons pas nos propres modèles de fondation.
À ce titre, nous sélectionnons des fournisseurs qui s’engagent eux-mêmes dans une démarche de conformité, et nous utilisons leurs systèmes conformément aux instructions et conditions qu’ils prévoient.
Cadre réglementaire et calendrier
L’IA Act est en vigueur depuis le 1er août 2024 et s’applique par étapes :
- Depuis février 2025 : interdiction des pratiques d’IA à risque inacceptable (notation sociale, manipulation, certains usages biométriques) et obligation de littératie en IA des équipes.
- Depuis août 2025 : obligations applicables aux fournisseurs de modèles d’IA à usage général.
- Échéances à venir : les obligations propres aux systèmes d’IA à haut risque, ainsi que les règles de transparence renforcée, entrent en application sur un calendrier qui s’étale jusqu’en 2027-2028 selon la nature des systèmes.
Notre démarche anticipe ces échéances : nous préparons dès maintenant la documentation, la gouvernance et les contrôles requis, sans attendre leur caractère contraignant.
Nos engagements concrets
Pour les fonctionnalités susceptibles de relever des usages à haut risque, nous mettons en œuvre les mesures suivantes :
Supervision humaine. Nos processus prévoient une intervention humaine sur les décisions importantes. Les résultats produits par l’IA sont conçus comme une aide à la décision, contrôlable et corrigeable par une personne compétente, et non comme une décision automatisée non supervisée.
Transparence. Nous informons les personnes concernées lorsqu’elles interagissent avec un système d’IA ou lorsqu’un tel système est utilisé à leur égard, et nous expliquons, dans des termes compréhensibles, la finalité de cet usage.
Usage conforme et maîtrisé. Nous utilisons les systèmes d’IA tiers conformément à leur destination et aux instructions de leurs fournisseurs, et nous surveillons leur fonctionnement dans le cadre de nos opérations.
Journalisation et traçabilité. Nous conservons les éléments permettant de retracer le fonctionnement des systèmes concernés, dans le respect des durées et finalités applicables.
Qualité et pertinence des données. Nous veillons à la pertinence des données d’entrée que nous maîtrisons et à la limitation des biais, en lien avec nos obligations de protection des données.
Sélection des fournisseurs. Nous privilégions des fournisseurs d’IA engagés dans une démarche de conformité documentée et offrant les garanties techniques et contractuelles correspondantes.
Aucune pratique interdite. Nous n’employons pas l’IA pour des finalités prohibées par le règlement (notation sociale, exploitation de vulnérabilités, manipulation, surveillance biométrique non autorisée, etc.).
Compétence des équipes. Nous formons et sensibilisons nos collaborateurs concernés à un usage maîtrisé et responsable de l’IA (obligation de littératie en IA).
Ce que nous ne faisons pas
Aucun outil de reconnaissance de texte généré. Nous n’intégrons pas — et nous ne développons pas — de dispositif prétendant déterminer si une copie a été rédigée par une intelligence artificielle. Ces outils ne tiennent pas leur promesse : OpenAI a retiré son propre classifieur en 2023 pour précision insuffisante, et les travaux de Stanford (Liang et al., 2023) établissent qu’ils classent massivement les textes de rédacteurs non natifs comme générés. Un tel verdict n’est pas défendable devant une commission, et il exposerait les étudiants les plus vulnérables. C’est une décision de conception, pas une étape de notre feuille de route.
Aucune surveillance de l’élève pendant l’épreuve. Pas de proctoring, pas d’accès à la webcam, pas de reconnaissance des émotions — que l’article 5 du règlement interdit d’ailleurs purement et simplement dans les établissements d’enseignement. Rien n’est prélevé sur la machine de l’élève : ni adresse IP, ni empreinte de navigateur, ni inventaire des logiciels ouverts. Les changements d’onglet ne sont pas observés.
Conditions de composition : des faits, jamais un jugement. Lorsqu’un établissement l’active, CORRAICT transmet à l’enseignant des éléments factuels sur la façon dont une copie rédigée en ligne a été composée — nombre et longueur des collages, rythme de saisie, durée. Le contenu de ce qui est collé n’est jamais enregistré, aucune touche n’est mémorisée, et la liste des éléments recueillis est fermée. Aucun score, aucun indice de risque, aucune action suggérée : la lecture et la décision appartiennent à l’enseignant. Ces éléments sont des événements de navigateur horodatés, produits sans aucune intervention d’un modèle. Notre analyse est donc que ce dispositif ne constitue pas un système d’IA au sens de l’article 3 du règlement, et qu’il ne relève pas des cas visés par l’annexe III en matière d’examens.
Un traitement décidé par l’établissement. Ce recueil est désactivé par défaut. Il n’est ouvert qu’à la demande écrite de l’établissement, qui en est responsable de traitement, puis activé épreuve par épreuve par l’enseignant. L’élève en est informé sur l’écran d’ouverture, avant de commencer à composer. Les éléments recueillis sont effacés un mois après la remise de la copie.
Articulation avec le RGPD
Lorsque nos traitements d’IA impliquent des données personnelles, ils s’inscrivent dans le respect du RGPD : base légale, minimisation, information des personnes, exercice des droits et, le cas échéant, analyse d’impact relative à la protection des données (AIPD). La conformité IA Act et la conformité RGPD sont conduites de façon coordonnée.
Gouvernance et contact
La conformité IA est suivie en interne par notre référent conformité IA. Pour toute question relative à nos usages de l’intelligence artificielle, à la supervision humaine ou à l’exercice de vos droits :
OAVENTURE — 13 bis avenue de la Motte-Picquet, 75007 Paris
Contact : contact@corraict.com
Ce document décrit nos engagements et notre démarche de mise en conformité avec le Règlement (UE) 2024/1689. Il ne constitue pas une déclaration de conformité à des obligations qui ne sont pas encore pleinement applicables, et est susceptible d’évolution en fonction du cadre réglementaire et de ses textes d’application.
Une question de conformité avant d’aller plus loin ?
Nous prenons volontiers un temps avec votre DPO ou votre DSI, avant même de parler du produit.