L'IA dans votre collectivité,
avec pseudonymisation des données administratives.

Non pour les usages administratifs courants. Oui pour les OIV (certaines régions, collectivités gérant des infrastructures critiques) et certains services sensibles. Machina est hébergée sur un datacenter souverain en France (Rouen), avec certifications infrastructure communiquées sous NDA à votre DSI / ANSSI territorial. Pour les collectivités OIV, le tier Souverain / Sur-mesure propose une instance dédiée avec chaîne de sous-traitance documentée et audit annuel.

Oui. Le plan Standard à 10 € HT / user / mois reste accessible pour les usages non régulés (communication, rédaction interne). Pour l'instruction d'urbanisme ou le traitement de courriers administrés, le tier Compliance (à partir de 29 € HT / user / mois, bientôt disponible) est dimensionné pour les communes > 5 000 habitants ou les intercommunalités. Kyoss peut être mutualisé sur plusieurs communes voisines pour partager le coût DPO.

Machina est une couche IA séparée, accessible via navigateur. Elle ne remplace ni n'interfère avec vos logiciels métier. Vos agents copient-collent un extrait ou importent un PDF ; l'IA répond ; l'agent intègre dans son outil métier. Pas de migration, pas de changement de vos processus. Les intégrations API directes avec les éditeurs secteur public sont en roadmap pour 2027 et étudiées au cas par cas.

Oui, mais c'est un cas particulier. Les élus ont un statut distinct des agents territoriaux. Les prompts peuvent contenir des données d'administrés (réclamations, pétitions). Machina propose un compte élu dédié, avec les mêmes protections Sentinel, et une charte d'usage signée par l'élu. Recommandé pour les adjoints aux finances, à l'urbanisme et aux affaires sociales. La rédaction de contenus à visée électorale (programme, tract, communication partisane) sort du périmètre de l'outil financé par la collectivité — la charte d'usage doit l'expliciter.

Vous produisez le registre RGPD Art. 30 articulé aux mesures de transparence EU AI Act Art. 50, pré-rempli par Machina : liste des usages IA déclarés, catégories de données traitées, mesures de masquage appliquées, journal horodaté des requêtes, contrats RGPD Art. 28 avec les fournisseurs IA, mesures d'information des administrés. Le DPO à la demande Kyoss fournit aussi l'analyse d'impact (AIPD) si la CNIL la demande. Vous avez tous les livrables en moins de 48 h.

Trois angles : (1) la collectivité s'expose déjà via le shadow IT de ses agents sur ChatGPT perso — coût zéro mais risque maximal ; (2) l'échéance AI Act au 2 août 2026 rend la conformité obligatoire, mieux vaut anticiper que subir ; (3) le coût est mutualisable avec les communes voisines via Kyoss. Kyoss fournit la note d'opportunité et l'étude d'impact financier pour présentation en commission.

Oui. La base légale RGPD Art. 6.1.e (mission d'intérêt public) autorise les collectivités à traiter des données personnelles, mais elle ne dispense pas des obligations de sous-traitance Art. 28, de transferts hors UE Art. 46 et de notification Art. 33. Si vos agents envoient des données d'administrés à OpenAI ou Google sans DPA valide, sans analyse de transfert (TIA post-Schrems II) et sans mention dans le registre Art. 30, la CNIL peut mettre en demeure et amender. Les collectivités ne bénéficient d'aucune immunité réglementaire spécifique à l'IA. Machina isole techniquement les données via Sentinel avant l'envoi au LLM, ce qui supprime le problème à la source : le LLM ne reçoit que des tokens anonymes, pas les données réelles. Validation Kyoss recommandée pour les nuances TIA.

La Chambre régionale des comptes audite la régularité et l'efficacité des dépenses. Elle peut observer : (1) l'absence de gouvernance IA formalisée alors que des agents utilisent des outils IA au quotidien (risque RGPD non maîtrisé = risque budgétaire et réputationnel) ; (2) des dépenses IA non justifiées ou redondantes ; (3) le défaut de convention avec les prestataires IA. Une observation CRC est publique, alimente la presse locale et peut déstabiliser un exécutif en période électorale. Une collectivité qui présente un registre AI Act, une charte d'usage signée et un DPO identifié coupe court à l'observation "risque numérique non maîtrisé".

Oui, à partir du 2 août 2026. L'Art. 50 du règlement UE 2024/1689 impose à tout déployeur de système IA générative interagissant avec des personnes physiques d'informer ces personnes qu'elles interagissent avec un système IA. Pour les collectivités : chatbot sur le site municipal, réponses automatisées aux courriers administrés, ou tout document produit partiellement par IA et signé au nom de la collectivité. L'obligation de transparence s'applique aussi aux agents publics utilisant l'IA pour instruire des dossiers. Attention à la frontière avec l'Art. 22 RGPD si la décision est automatisée (interdit en règle générale). Machina fournit le bandeau Art. 50 pré-configuré + le registre d'usage exportable pour vos DPO. Sanctions Art. 99 §4 : jusqu'à 15 M€ ou 3 % du CA mondial annuel. Validation Kyoss recommandée pour les nuances service public.

Potentiellement. Si une décision administrative (arrêté, avis, délibération) est produite en partie par IA sans traçabilité, et qu'un administré la demande en CADA, la CADA peut s'interroger sur la fiabilité et la traçabilité du document. Plus largement, si un administré demande à voir les données qui ont alimenté la décision le concernant (droit Art. 15 RGPD), la collectivité doit produire les logs. Machina conserve un journal horodaté des requêtes par agent, par service, par modèle. Ce journal est exportable pour répondre à une CADA ou à un contrôle préfectoral.

Kyoss (Rouen) propose un mandat de DPO externalisé mutualisable sur plusieurs communes d'un même EPCI ou d'un syndicat de communes. Une convention cadre est signée avec l'EPCI ; les communes adhérentes bénéficient des prestations RGPD (registre Art. 30, réponse aux droits, DPIA) et AI Act (registre usages, analyse d'impact, note Art. 50) pour une quote-part du coût mutualisée. Pour 6 communes de 2 000 à 8 000 hab., le coût peut descendre à 150-250 € par commune et par mois selon le volume de traitements. La mutualisation intercommunale est le schéma conseillé par la CNIL pour les collectivités de taille modeste.

Non sur le fond. Le statut FPT définit les droits et obligations de l'agent mais n'exonère pas la collectivité employeur de ses obligations RGPD comme responsable de traitement. Si un agent territorial utilise un outil IA dans le cadre de ses fonctions, c'est la collectivité qui est responsable du traitement, pas l'agent. La charte informatique interne doit mentionner les outils IA autorisés. Machina est conçu pour être cet outil autorisé, avec pseudonymisation par défaut. Un agent qui utilise Machina est en conformité avec la charte IA de la collectivité.

Machina est un outil d'aide à la rédaction et à l'analyse, pas un système de décision automatisée. La décision reste toujours à l'agent ou à l'élu. L'Art. 22 RGPD interdit en principe les décisions entièrement automatisées produisant des effets juridiques sur les personnes. Machina ne prend aucune décision : elle produit un brouillon, une analyse ou une synthèse que l'agent valide, modifie et signe. La traçabilité Machina (journal horodaté, modèle utilisé, prompt original pseudonymisé) démontre que la décision finale est humaine. Validation Kyoss recommandée pour les nuances Art. 22 sur dossiers sensibles (aide sociale à l'enfance, tutelles).

Partiellement. Les données cadastrales (référence parcelle, surface, adresse) sont généralement des données non personnelles au sens strict si elles ne permettent pas d'identifier une personne. Mais couplées au nom du propriétaire ou au numéro fiscal, elles deviennent des données personnelles. Sentinel détecte les identifiants fiscaux ({{TAX_ID}}), les noms de personnes physiques ({{CITIZEN}}) et les adresses ({{ADDRESS}}), et les pseudonymise avant envoi. La parcelle seule ({{CADASTRE_1}}) reste dans le contexte envoyé au modèle.

Oui. Le tier Compliance propose un compte organisation avec console d'administration centralisée. Un EPCI peut créer des espaces par commune membre, avec traçabilité séparée des usages. La facturation est consolidée au niveau de l'EPCI. Cette configuration est la plus économique pour les communautés de communes gérant 10-20 communes. Un devis consolidé est établi après audit des usages attendus par commune.

Les actes d'état civil contiennent des données très sensibles (filiation, lieu de naissance, données de tiers). Sentinel détecte et pseudonymise les noms des personnes physiques, les dates de naissance, les lieux et les numéros d'actes. Pour un usage dans la rédaction d'actes ou de certificats, l'agent conserve les données réelles dans son outil métier ; il ne passe à Machina que le contexte réglementaire et le modèle de rédaction, sans données nominatives. Formation d'une heure par le DPO recommandée pour ce service.

Oui pour la partie rédaction de la réponse (formulation juridique, délai CRPA, décision de communication ou refus). Non pour la décision de communicabilité elle-même, qui reste une décision administrative humaine. Sentinel pseudonymise les données nominatives incluses dans les documents objet de la demande. Le journal Machina peut être produit comme preuve de l'absence de traitement automatisé de la décision.

Trois angles concrets, basés sur nos hypothèses internes (à valider chez vous) : (1) coût d'un DPO externalisé seul : ordre de grandeur 3 000 à 8 000 € par an selon prestataire ; Machina Compliance + Kyoss mutualisé peut être inférieur pour une commune de 5 000 à 20 000 hab. ; (2) coût d'une observation CRC avec recommandation contraignante : audit interne + frais de mise en conformité + risque réputationnel = plusieurs dizaines de milliers d'euros ; (3) coût d'une amende CNIL (hypothèse basse : mise en demeure publique + mesures correctives) à comparer au coût d'abonnement Machina. Le ratio coût/risque est favorable. Kyoss fournit une note d'opportunité avec ces éléments, formatée pour une présentation en commission des finances.

La DGCL suit le sujet via le groupe de travail "numérique et IA" du Comité des finances locales. Les positions évoluent rapidement — vérifiez l'état au moment de votre décision. La DINUM (Direction interministérielle du numérique) a publié ses recommandations sur l'IA souveraine dans la sphère publique, qui s'alignent avec l'architecture Machina (hébergement intra-UE, pseudonymisation, traçabilité, modèles open source préférés pour données sensibles). Validation Kyoss recommandée sur l'état des circulaires DGCL au moment de votre marché.

Pas encore. Machina IA (MACHINA SASU) est une jeune entreprise. La procédure de référencement UGAP ou centrale d'achat (Approlys, Acheteurs Publics) est envisagée courant 2027 après la première vague de déploiements territoriaux. D'ici là, les collectivités peuvent passer par marché à procédure adaptée (MAPA) en dessous de 140 k€ HT sur 4 ans, ou par appel d'offres simplifié pour des volumes supérieurs. Machina fournit un mémoire technique pré-rédigé répondant aux critères types (souveraineté, RGPD, AI Act, SLA, sécurité) pour accélérer votre dossier.