Les preuves, au même endroit.

Dans une catégorie bâtie sur la confiance, nous préférons que vous vérifiiez. Cette page rassemble ce que nous pouvons montrer aujourd'hui : comment fonctionne le CAI Score, où s'exécutent les agents, quelles données nous traitons et ne traitons pas, qui sont nos sous-traitants et comment nous joindre au sujet de la sécurité. Lorsque nous n'avons pas encore quelque chose (une attestation tierce, un témoignage client public) nous le disons, au lieu de laisser entendre le contraire.

Méthodologie du CAI Score

Le CAI Score est un cadre de certification pour agents IA : une classification des risques à cinq niveaux qui définit précisément ce qu'un agent fait seul et où un humain nommé reste responsable, puis l'étaye pour l'audit. À lire de bas en haut : plus le niveau est élevé, plus un agent peut agir, et plus le cadre intègre autour de lui de supervision humaine, de journalisation et de responsabilité.

L1 · Assiste

Informe et répond. N'entreprend aucune action et ne modifie aucun enregistrement. L'humain fait le travail ; l'agent le rend simplement plus rapide à trouver et à comprendre. Rôle de l'humain : fait tout.

L2 · Rédige

Produit un livrable (un document, une requête, un rapport, un message de prospection) pour relecture et approbation par un humain. Rien de ce que produit l'agent n'est utilisé tant qu'une personne n'a pas validé. Rôle de l'humain : relit & approuve.

L3 · Opère

Exécute des actions routinières à faible risque dans un flux délimité, classer, router, traiter, journaliser. Les exceptions et tout ce qui sort de l'ordinaire sont confiés à un humain. Chaque action est horodatée. Rôle de l'humain : gère les exceptions.

L4 · Décide (supervisé)

Soutient les décisions et les contrôles dans des processus à enjeux élevés, conformité, contrats, sécurité, double regard. Un humain nommé reste responsable de la décision ; l'agent l'assiste et l'étaye. Conçu pour le contrôle des processus à haut risque. Rôle de l'humain : reste responsable.

L5 · Autonome

Agit de façon indépendante dans des garde-fous fermes et pré-approuvés. Réservé au plus haut niveau de certification, et utilisé aujourd'hui par aucun agent de ce catalogue. Rôle de l'humain : définit les garde-fous.

Le catalogue actuel est livré aux niveaux L2-L4. Les agents L4 requièrent une validation de la direction avant la mise en service. Les classifications sont attribuées par Colleague AI dans ce cadre ; aucun évaluateur externe n'est encore engagé, et nous ne revendiquons pas d'attestations de tiers que nous ne détenons pas.

Architecture : où les agents s'exécutent et où les données restent

Les agents s'exécutent dans votre propre parc Microsoft Copilot Studio, Power Automate et Azure: votre tenant, votre modèle d'identité, votre périmètre de données. Colleague AI n'héberge que le plan de contrôle de la gouvernance : scores, politiques et métadonnées d'audit. Aucune donnée métier du client n'est traitée de notre côté. Chaque action d'agent dans votre tenant est journalisée, horodatée et traçable, conçue pour soutenir la gouvernance et la revue juridique au regard de cadres tels que l'EU AI Act, la DORA et l'ISO/IEC 42001.

Ce que ce site web traite lui-même

• Démo en direct (/demo) : les messages que vous saisissez sont envoyés à l'API d'Anthropic pour générer des réponses, avec des limites de débit par IP et globales. Ne collez pas de données confidentielles dans la démo.
• Achats: le paiement est entièrement géré par Stripe ; nous ne voyons jamais les détails de la carte. Après un achat, nous stockons votre e-mail, les slugs des agents sous licence et l'identifiant de session Stripe, afin de pouvoir vous débloquer les téléchargements.
• Téléchargements: les packages d'agents sont livrés via des URL signées et à durée limitée (expiration de 15 minutes).
• Calculateur de ROI & test de maturité: s'exécute entièrement dans votre navigateur ; rien n'est envoyé ni stocké.
• Liens partenaires: un code partenaire issu d'un lien de parrainage est conservé dans votre navigateur (30 jours) et rattaché à un achat pour l'attribution de la commission.

Sous-traitants

Pratiques de sécurité

• TLS partout avec HTTP Strict Transport Security (max-age de 2 ans, preload) et une Content-Security-Policy restreignant les origines de chargement du code et du contenu, plus des politiques nosniff, frame-ancestors, referrer et permissions.
• Les webhooks Stripe sont vérifiés par rapport à leur signature cryptographique avec application d'une fenêtre anti-rejeu, traités de manière idempotente (un événement redélivré ne peut jamais s'appliquer deux fois), et les échecs de stockage entraînent des reprises plutôt qu'une perte silencieuse.
• L'attribution des commissions est verrouillée : seuls les codes partenaires enregistrés sont crédités, et les valeurs de parrainage sont assainies avant stockage.
• Les secrets résident dans la configuration d'environnement de la plateforme d'hébergement, jamais dans le code, jamais dans le bundle client (vérifié par une analyse automatisée à chaque build).
• Divulgation responsable : voir security.txt ou écrivez à hello@colleagueai.ai. Nous répondons aux signalements de bonne foi et ne poursuivrons pas les chercheurs agissant de bonne foi.

Programme pilote

Nous intégrons des clients pilotes en ce moment. Chaque engagement commence comme le catalogue le promet : l'agent est validé sur vos propres cas avant la mise en service, son ROI est chiffré en amont et les preuves de gouvernance sont produites dès le premier jour, votre premier déploiement est donc aussi votre preuve. Si vous voulez être l'une des preuves que nous publions ici, le marché est le suivant : vous obtenez les conditions pilotes, nous obtenons l'étude de cas (anonymisée et approuvée par vous).