En une phrase
Avant vérification, notre index donnait 31 sur 100 à 37 modèles propriétaires sur 38. Après lecture des documentations officielles, ils vont de 44 à 80. Le premier chiffre mesurait notre ignorance. Le second mesure ce que les éditeurs publient.
Pourquoi un baromètre
Un DSI qui choisit un modèle d'IA doit répondre à des questions simples : où vont mes données, sont-elles utilisées pour entraîner, puis-je les faire effacer, ai-je un DPA, un SSO, des journaux d'audit. Les réponses existent. Elles sont dispersées dans des pages de conditions, des trust centers et des documentations techniques, en anglais, et elles changent sans prévenir.
Le Trust Index nAIvigate lit ces pages, ligne par ligne, et note ce que l'éditeur documente. Vingt critères, cinq familles, une règle : ce qui n'est pas documenté vaut zéro et reste visible. Ce n'est pas un score de conformité, la conformité dépend de votre traitement. C'est la mesure de ce que l'éditeur offre et publie.
Ce baromètre est la première édition. Il paraîtra à chaque changement significatif, et au moins une fois par mois.
Ce que nous avons fait le 9 septembre
Nous avons vérifié les engagements de 12 éditeurs couvrant 38 modèles propriétaires, sur leurs pages officielles uniquement : documentation plateforme, DPA, trust center, liste de sous-traitants, conditions d'API. Pour 33 modèles, la vérification est datée et sourcée. Pour 5, nous n'avons trouvé aucune page exploitable et l'index le dit.
Une règle de périmètre s'est imposée en cours de route : nous notons la plateforme first-party de l'éditeur, pas ce qu'il offre via un hyperscaler. Claude sur Bedrock à Francfort n'est pas Claude sur api.anthropic.com. Un client qui passe par AWS est couvert par le DPA d'AWS. Mélanger les deux revient à noter l'hébergeur à la place de l'éditeur.
Les résultats
| Éditeur | Plateforme notée | Score | Documenté | |---|---|---|---| | Google | Vertex AI | 80 | 100 % | | OpenAI | API Platform | 64 | 85 % | | xAI | API x.ai | 55 | 85 % | | Anthropic | Claude API | 51 | 85 % | | Alibaba | Model Studio | 45 | 70 % | | Black Forest Labs | FLUX API | 44 | 55 % |
Les modèles d'un même éditeur partagent le score de leur plateforme, sauf exception documentée : DALL-E 3 est exclu du Zero Data Retention chez OpenAI, Claude Fable 5 impose 30 jours de rétention chez Anthropic, Sora 2 est hébergé aux États-Unis uniquement.
Trois choses que le tableau révèle
Anthropic n'offre aucune région européenne sur son API directe. La documentation officielle liste deux zones d'inférence, us et global, et une seule zone de stockage, us. L'accès en région UE passe par Bedrock ou Vertex, hors périmètre de l'éditeur. Notre base disait "US/EU" par héritage. Elle dit "US" désormais, et Claude perd deux critères sur cinq dans la famille Données. C'est la correction la plus visible de cette édition, et la plus documentée.
Le premier européen du classement utilise vos données pour s'entraîner, sauf opt-out. Black Forest Labs, éditeur allemand des modèles FLUX, propose un endpoint européen. Ses conditions d'API accordent à l'entreprise une licence sur vos entrées et sorties, incluant l'entraînement de ses modèles. L'opt-out se fait par mail. Un endpoint UE n'est pas une garantie de traitement.
Google domine, mais uniquement via Vertex AI. Les six Gemini atteignent 80 avec 100 % de critères documentés : régions UE par modèle, pas d'entraînement, Zero Data Retention, SSO, SCIM, journaux d'audit, endpoint privé, sous-traitants publiés. L'API Gemini développeur, elle, n'offre pas ces garanties. Le score dit "Vertex", pas "Gemini".
Ce qui reste non documenté
Même chez les mieux notés, trois critères restent absents des pages publiques pour l'API : SSO/SAML, provisionnement SCIM et endpoint privé. OpenAI, Anthropic et xAI les proposent dans leurs offres Enterprise ou chat, mais ne les documentent pas pour l'accès programmatique. Ils valent zéro dans l'index jusqu'à publication. Si un éditeur nous envoie la page, la note monte le jour même.
Méthode et limites
Score = moyenne pondérée de cinq familles : données 30 %, souveraineté 20 %, entreprise 20 %, transparence 15 %, licence 15 %. Un critère vaut 100, 0, une valeur intermédiaire (sur demande, selon l'offre, opt-out) ou 0 s'il n'est pas documenté. Sous 50 % de critères documentés, le score est marqué provisoire et ne classe pas. Aucune position ne se vend. La méthode complète, les poids et la source de chaque valeur sont sur la page Trust Index et sur chaque fiche modèle.
Les limites sont celles de la méthode : nous lisons ce qui est publié, nous ne testons pas les engagements, et une page peut changer entre deux vérifications. Chaque fiche porte sa date. Le profil de confiance de chaque modèle est téléchargeable en PDF sur sa fiche.
Ce que ça change pour vous
Si vous utilisez l'un de ces modèles en production, la question n'est plus "est-il conforme" mais "sur quelle plateforme, avec quels engagements datés". Et si vous ne savez pas lesquels vos équipes utilisent déjà, c'est par là qu'il faut commencer : c'est le premier livrable du Radar IA de nAIvigate Studio.
nAIvigate sera à Big Data & AI Paris les 15 et 16 septembre, Porte de Versailles.