Contexte et exigences de conformité

Les entreprises du secteur aérospatial et de la défense manipulent des informations classées ITAR (International Traffic in Arms Regulations) et du CUI (Controlled Unclassified Information). La législation américaine impose que tout traitement informatique de ces données repose sur une infrastructure certifiée, notamment via le cadre FedRAMP High qui comporte 410 contrôles de sécurité. Consus a obtenu une équivalence FedRAMP High, ce qui signifie que chaque composant de son service a été audité selon ces exigences strictes. Cette accréditation est indispensable avant de pouvoir exploiter des modèles d’IA sur des données sensibles, car une fuite pourrait entraîner des dommages catastrophiques.

Architecture et mécanismes de la passerelle

Consus expose un point d’accès unique compatible OpenAI. Lorsqu’une requête arrive, la clé API est d’abord validée ; le système rejette tout nom de modèle ne comportant pas de suffixe de conformité. Le suffixe indique le niveau de certification requis, par exemple :

gpt-5.6-sol:fedramp-high

ou claude-opus-5-5:itar. Cette contrainte empêche le routage vers des endpoints commerciaux non conformes. Après validation, la requête est dirigée vers le cloud gouvernemental approprié (AWS GovCloud, Azure Government ou Google GovCloud) où le modèle réside. Le choix du cloud est transparent pour le client ; Consus orchestre la connexion et applique les politiques de contrôle d’accès, de dépenses et de quotas d’utilisation via son portail dédié.

Gestion des données et sécurité opérationnelle

Le service adopte une politique de rétention nulle : les prompts et les réponses restent uniquement en mémoire pendant la durée de la transaction et ne sont jamais écrits sur disque. Cette approche élimine le risque de persistance accidentelle de données sensibles. Seules des métadonnées limitées (horodatage, identifiant de clé, modèle utilisé) sont conservées à des fins de facturation et d’audit. Le modèle de gouvernance inclut une vérification d’identité stricte ; chaque organisation doit être approuvée et signer un contrat avant la délivrance d’une clé API, conformément aux exigences ITAR qui imposent la connaissance exacte de l’utilisateur final.

Limites et perspectives d’évolution

Consus n’est pas proposé en mode libre‑service, ce qui limite l’accès rapide pour les petites équipes qui pourraient bénéficier d’une solution instantanée. Le modèle tarifaire, à partir de 40 $/mois/siège plus le coût des tokens, peut représenter un frein pour les startups. De plus, la conformité dépend toujours de la chaîne d’approvisionnement du modèle sous‑jacent ; si un fournisseur tiers modifie ses pratiques de formation, la certification de Consus devra être ré‑évaluée. Enfin, la solution ne couvre pas les agents de codage qui exécutent du code localement (ex. Claude Code, Codex) ; les clients doivent mettre en place leurs propres contrôles pour ces composants hors‑gateway. Malgré ces contraintes, la centralisation du contrôle d’accès, la normalisation des suffixes de conformité et la suppression de toute persistance de données offrent un cadre robuste pour l’adoption de l’IA dans les environnements les plus réglementés.