Nota vit sur une instance dédiée, chez un hébergeur européen certifié ISO/IEC 27001. Quand un modèle est appelé, ce n’est jamais le dossier qui part : Veil™ pseudonymise d’abord, et la table qui permet de relire ne quitte jamais l’infrastructure de LTC. Cette page ne raconte pas cette architecture. Elle la dessine.
La différence n’est pas de vocabulaire. Une cloison écrite dans le code applicatif s’oublie : il suffit d’une requête rédigée trop vite, d’un correctif posé un vendredi soir, et elle passe au travers. Ici, la cloison est sous la requête. Une requête qui l’oublierait ne rendrait rien du tout : pas les dossiers d’une autre étude, rien.
QualificationCloisonnement logique strict par étude (Row-Level Security), avec option d'instance dédiée pour les études qui l'exigent.
Six étapes. Aucune ne sort du cadre, et une seule laisse passer quelque chose vers un modèle.
La demande part d’un poste de l’étude. Le dossier, lui, reste là où il vit : sur l’instance dédiée. Ce qui voyage, c’est un extrait de texte et une question, jamais la base.
Ce n’est pas un réglage laissé à l’installation, c’est le seul mode de fonctionnement. Le chiffrement vaut dans les deux sens, et il vaut aussi pour ce qui dort.
Chiffrement systématique en transit et au repos (TLS 1.2+/1.3 ; AES-256).
Ce qui identifie une personne, un bien, un compte ou une date est repéré dans le texte et remplacé par un marqueur. Surtout : aucun appel à un modèle ne peut partir d’ailleurs. Il n’existe pas d’autre porte dans l’application, et une porte qui n’existe pas ne se surveille pas : elle ne s’ouvre pas.
Le fournisseur d’inférence reçoit le texte substitué et la question, jamais le dossier. Le traitement se fait dans l’Union, en inférence sans rétention : rien n’est conservé de l’autre côté.
Le modèle répond dans la langue de marqueurs qu’il a reçue. À cet instant précis, la réponse n’est lisible pour personne, ni pour lui, ni pour nous.
Les valeurs d’origine reprennent leur place, et seulement là. La table de correspondance qui le permet vit en mémoire vive, chiffrée, et disparaît en fin de session : elle ne quitte jamais l’infrastructure de LTC.
Qualification juridique · article 4(5) du RGPD
La pseudonymisation opérée par Veil™ relève de l'article 4(5) du RGPD, pas de l'anonymisation. Les données pseudonymisées par Veil demeurent des données à caractère personnel au sens du RGPD (considérant 26). Le fournisseur d'inférence est donc traité comme sous-traitant ultérieur, sous accord article 28, et non comme destinataire de données anonymisées.
Pseudonymisation, et non anonymisation. Nous l’écrivons dans ces termes parce que la différence a des conséquences contractuelles : le fournisseur d’inférence reste un sous-traitant ultérieur, sous accord article 28, et l’étude conserve tous ses droits sur les données.
Ce sont les trois questions que pose un conseil avant de laisser signer. Les esquiver ici reviendrait à les laisser poser plus tard.
La question est la bonne, et elle appelle une réponse d’architecture plutôt qu’une promesse. La détection travaille en trois couches qui se contrôlent l’une l’autre : ce qu’un motif reconnaît avec certitude n’est jamais laissé au jugement d’une couche statistique. Ce qui reste douteux est confirmé avant tout envoi, pas après.
Mesuré en continu ; métriques de rappel étendues au jalon pilote.
Un texte où chaque élément identifiant a été remplacé par un marqueur, et la question posée. Ni le nom des parties, ni l’adresse du bien, ni les montants, ni le numéro de registre national. Il ne voit pas davantage la table qui permettrait de les rétablir : elle reste dans l’infrastructure de LTC et se détruit en fin de session.
Non, et ce n’est pas une prudence commerciale, c’est ce qui détermine le régime juridique du produit. L’assistant propose, cite ses sources, et dit qu’il n’en a pas quand il n’en a pas. La décision reste un acte du notaire, du premier raisonnement jusqu’à la signature.
Qualification juridique · règlement (UE) 2024/1689
Nota est un système d'IA à risque limité au sens du règlement (UE) 2024/1689, soumis aux obligations de transparence de l'article 50. Il n'entre pas dans le champ de l'annexe III point 8, qui vise l'assistance aux autorités judiciaires dans l'interprétation du droit et l'application de la loi à des faits : Nota n'intervient ni dans une décision juridictionnelle ni dans l'exercice de la puissance publique, et ne produit aucune décision automatisée.
Masquer une donnée de santé ou une donnée judiciaire reviendrait à prétendre l’avoir neutralisée, et à faire porter cette prétention par l’étude. Veil ne la porte pas : lorsque la détection reconnaît une donnée relevant des articles 9 et 10 du RGPD, l’appel n’a pas lieu. L’utilisateur le voit à l’écran, le journal l’écrit, et le travail continue sans le modèle.
Un dispositif qui masquerait ces données donnerait le même résultat apparent et un risque tout autre. Le refus, lui, se constate.
La détection, en trois couches
Les trois travaillent sur le même texte et se relisent l’une l’autre. Aucune n’a le dernier mot toute seule.
Motifs et sommes de contrôle sur10 classes. Ce qu’un motif reconnaît avec certitude est substitué d’office, sans être soumis au jugement de quiconque.
Reconnaissance d’entités nommées libres : un nom de famille, une raison sociale, un lieu-dit qu’aucun motif ne décrit. Les deux langues de l’étude belge sont traitées, pas seulement l’une.
Modèles spaCy open source standards, en français et en néerlandais. L'affinage notarial est planifié, sur un corpus propriétaire constitué et annoté avec les études pilotes, hors données de production.
La couche qui relit les deux premières et tranche ce qu’elles laissent en suspens : l’ambiguïté, le contexte, le cas qu’aucune règle n’avait prévu.
La couche C3 fait l'objet d'une activation jalonnée sur le pilote (quatrième trimestre 2026 – premier trimestre 2027). En son absence, le pipeline fonctionne en mode seuils durcis : les détections déterministes sont substituées d'office et ne sont pas révocables par l'utilisateur ; les entités issues de la seule couche statistique sont soumises à confirmation de l'utilisateur avant tout envoi.
Un journal qui ne consignerait que les envois réussis ne prouverait rien du tout.
Le journal d’audit est inaltérable et consultable par l’étude elle-même. Il consigne l’appel, la décision de Veil et le motif du refus le cas échéant, sans jamais recopier la donnée qui a provoqué ce refus, ce qui reviendrait à la sortir par la porte du journal.
L’étude l’exporte comme pièce de preuve, à l’adresse de son conseil ou d’une autorité. La rétention par défaut est de douze mois glissants, paramétrable jusqu’à trente-six. Un quota d’IA par étude borne, en amont, le volume de ce qui peut être demandé.
Deux pièces, et deux seulement. Ni l’une ni l’autre ne détient de dossier.
Une application de bureau strictement limitée au matériel : lecture de la carte d’identité électronique, numérisation réseau, impression. Elle transmet ce que le matériel produit, et rien d’autre : ni cache de document, ni base, ni fichier temporaire.
Aucune donnée de dossier n'est stockée en local.
Fourni et exploité par LTC, il relie Nota aux appareils déjà en place. Tout ce qu’il transporte est chiffré vers une clé publique dont la partie privée n’existe que sur la plateforme : il est structurellement incapable de rouvrir ce qu’il transporte.
Les pièces n'y sont conservées que chiffrées : aucune donnée de dossier n'y est lisible.
Les quatre refus de conception du boîtier
Ce sont des choix d’architecture, pas des réglages. Un boîtier capable de ces choses-là demanderait à être surveillé ; celui-ci n’a pas à l’être.
Aucun de plus. Le boîtier n’en ajoute aucun, et le réseau notarial sécurisé est un conduit, pas un sous-traitant.
L’hébergement des dossiers
un hébergeur européen certifié ISO/IEC 27001, sur une instance dédiée à Nota
L’exécution de l’inférence
une plateforme d’inférence opérée depuis des régions de l’Union européenne, en inférence sans rétention
Le modèle
un modèle génératif tiers
Tous européens, nommables sur demande : les noms complets figurent au contrat.
La liste nominative des sous-traitants ultérieurs est communiquée à l'Étude, annexée au DPA, avec notification préalable de tout changement et droit d'objection de trente jours.
Transferts · articles 44 et suivants du RGPD
Aucun transfert de données hors EEE au sens des articles 44 et suivants du RGPD : tous les traitements ont lieu dans l'Union européenne. Le risque d'accès par une autorité d'un pays tiers, inhérent au recours à un fournisseur soumis à une législation extraterritoriale, est traité frontalement : pseudonymisation systématique en amont (Veil™), absence de rétention des données d'inférence, chiffrement avec clés détenues par LTC, et clauses contractuelles types (SCC 2021/914) en garantie résiduelle.
Un engagement qu’on ne peut pas vérifier n’est pas un engagement, c’est une affiche.
Une démonstration se fait sur ce terrain-là : on ouvre l’application, on pose une question au corpus, on regarde ce qui part et ce qui ne part pas, et on ouvre le journal. Le centre de confiance publie les pièces qui portent un engagement contractuel ; les autres sont communiquées sur demande écrite.