L'IA dans vos systèmes. Sous votre contrôle.
La page de référence pour les DSI, RSSI, architectes et partenaires techniques qui évaluent HOLCO. Comment nous relions l'IA de pointe à vos systèmes existants sans perte de contrôle : lecture seule par défaut, données hébergées en France et en Union européenne, accès nominatif par collaborateur, journal d'audit complet, et vous gardez le code. Ce que nous livrons, avec quoi nous le construisons, où ça tourne, et comment ça se branche. En clair, sans marketing.
HOLCO n'est pas un revendeur. Nous ne sommes liés ni à un modèle unique, ni à un format de connecteur, ni à un cloud. Pour chaque mission, nous évaluons, comparons et retenons la combinaison adaptée au cas : vos contraintes de souveraineté, votre stack, votre budget. HOLCO est la couche de gouvernance entre vos données et l'IA, et nous le prouvons.
Six compétences que nous maîtrisons.
En clair, ce qu'une mission HOLCO produit concrètement. Chacune de ces compétences a été livrée plusieurs fois et peut être démontrée sur demande.
Composants utilisés en production.
| Couche | Composant | Usage |
|---|---|---|
| Modèles IA | Anthropic Claude (Opus, Sonnet, Haiku) | Raisonnement long contexte, agents conversationnels, contextes sensibles |
| - | Mistral (Large, Codestral) | Souveraineté française, déploiements on-premise |
| - | Google Gemini | Multimodal, contextes très longs, recherche selon le besoin |
| - | OpenAI (GPT, gpt-image) | Outils ponctuels, génération d'images éditoriales |
| - | Hugging Face Hub | Modèles open source pour déploiements auto-hébergés |
| Orchestration | Model Context Protocol (MCP) | Ponts normalisés vers les systèmes du client |
| - | DXT (Desktop Extensions) | Distribution en un clic d'un serveur MCP empaqueté |
| - | SDK Anthropic | Streaming SSE, mise en cache de prompt, tool use |
| - | Orchestration multi-agents HOLCO | Agents spécialisés (lead, backend/QA, recherche, conformité), validation croisée |
| - | LangChain (selon le cas) | Chaînes RAG, vectorisation |
| Frontend | Next.js, React, Tailwind | Sites statiques (export), interfaces dirigeants |
| - | Framer Motion, Lucide | Animations éditoriales, iconographie |
| Backend | Node.js 22, Express, FastAPI (Python) | Proxys SSE, services métier |
| Données | Postgres 15, Supabase | Persistance, recherche vectorielle (pgvector) |
| - | Redis (selon le cas) | Cache, files de tâches |
| Sources officielles | API PISTE / DILA (Légifrance, BOFiP) | Réponses juridiques et fiscales sourcées à l'article |
| Infrastructure | Ubuntu 24.04 LTS, nginx 1.24 | Reverse proxy TLS, hébergement statique |
| - | Chiffrement au repos (LUKS) | Disques chiffrés sur serveur dédié |
| - | Let's Encrypt (Certbot) | Certificats TLS, renouvellement automatique |
| - | systemd | Gestion des services en production |
| Hébergement | Serveur dédié, Scaleway (datacenters Paris) | Souverain France par défaut. Auto-hébergement client possible |
Les choix précis sont arrêtés au cadrage, selon le cas et les contraintes de souveraineté. Rien n'est imposé.
Comment nous relions l'IA à vos systèmes.
Notre objectif technique : construire le pont entre vos systèmes et le modèle d'IA, sans imposer de format. Nous sommes agnostiques sur le mécanisme de connexion. Si votre SaaS expose un serveur MCP, nous l'utilisons. S'il fournit une extension DXT, nous la prenons. Sinon, nous nous branchons directement sur son API REST, son GraphQL ou ses webhooks. Le format importe peu : ce qui compte, c'est que l'agent puisse interroger vos données au moment où le dirigeant pose la question.
Formats de pont pris en charge
| Format | Catégorie | Description technique |
|---|---|---|
| Serveur MCP | Standard ouvert | Model Context Protocol (Anthropic, novembre 2024). Serveur tiers ou interne exposant ressources, prompts et outils à un agent IA. JSON-RPC sur stdio, HTTP+SSE ou WebSocket. |
| Extension DXT (.dxt) | Paquet Anthropic | Desktop Extensions pour Claude. Archive ZIP empaquetant un serveur MCP avec ses dépendances (Node, Python ou binaire). Distribution en un clic, sans chaîne d'outils côté client. |
| REST / OpenAPI | Universel | Description OpenAPI 3.x convertie en outils exploitables par l'agent. Authentification OAuth2, clé d'API ou JWT selon le SaaS. Utilisé pour Salesforce, HubSpot, Pennylane, Stripe, etc. |
| GraphQL | Universel | Schémas typés introspectés à l'exécution, génération automatique des outils côté agent. Shopify, Linear, GitHub, Notion v2. |
| Webhooks | Événementiel | Point d'entrée HTTPS exposé pour recevoir les événements du SaaS (signature HMAC vérifiée). Déclenche un traitement par l'agent ou un envoi d'email récurrent. |
| Connecteur natif | OAuth + SDK | Pour Google Workspace, Microsoft 365, Slack, etc. SDK officiel et jeton de rafraîchissement OAuth2 à durée courte. Périmètre minimal, jamais d'accès total. |
| Sur mesure (SSH, JDBC, fichiers) | Spécifique | Quand le SaaS n'expose pas d'API publique, nous nous branchons sur la couche de stockage : tunnel SSH vers une base, lecture S3/SFTP, agent local autorisé. |
Nos outils, en lecture seule et tracés
Au-dessus des ponts, nous construisons des outils métier gouvernés. Trois principes : la lecture seule par défaut (nous proposons, le client tranche), la traçabilité de bout en bout, et le sourcing officiel des réponses (aucun chiffre inventé).
Comment HOLCO consomme vos API.
Vous êtes Pennylane, HubSpot, Notion, Salesforce ou tout autre éditeur SaaS, et l'un de vos clients vient de signer avec HOLCO. Vous voulez comprendre comment notre agent va consommer votre API ? Voici nos pratiques par défaut. Pour un examen plus approfondi, écrivez à alan@holco.co (audit, environnement de test, DPA, accord de partenariat).
- Authentification
- OAuth 2.0 standard avec jetons de rafraîchissement à durée courte (15 min) quand c'est possible. Sinon, stockage chiffré de la clé d'API.
- Jetons de rafraîchissement
- Jamais journalisés ni exportés. Stockés chiffrés au repos (AES-256), renouvelés au minimum tous les mois.
- Limites de débit
- Strictement respectées. Repli exponentiel sur erreur 429. Pas d'interrogation agressive : les webhooks sont préférés quand ils existent.
- User-Agent
- Identifiable : User-Agent: HOLCO-Agent/<version> (+contact@holco.co). Vous permet d'auditer et de mesurer l'usage.
- Périmètre OAuth
- Minimal. Lecture seule par défaut, écriture uniquement si la fonction l'exige et avec le consentement explicite du client.
- Stockage des données
- Pas de re-stockage durable. Lecture, agrégation et restitution en mémoire. Cache court (1 h maximum) pour respecter les limites de débit.
- Journal d'audit
- Chaque appel d'API est journalisé côté HOLCO (méthode, endpoint, statut, durée en ms). Conservation 90 jours, accessible au client sur demande.
- Suppression / révocation
- Sur demande du client ou révocation OAuth : jetons purgés sous 24 h, caches vidés, journaux anonymisés conformément au DPA.
Contrôles en production.
Le modèle d'accès aux données d'abord, l'infrastructure ensuite. Par défaut, nos agents sont en lecture seule: ils lisent et raisonnent, ils n'écrivent jamais dans vos systèmes. L'accès est rattaché à un utilisateur nominatif (une clé par collaborateur), chaque appel est consigné dans un journal d'audit traçable (qui, quel fichier, quelle classe de données, lecture seule), les données restent en France et en Union européenne, les prompts ne sont jamais utilisés pour entraîner un modèle, et à la fin vous gardez le code. Le tableau ci-dessous détaille la couche opérationnelle sous-jacente.
| Domaine | Contrôle | Détail |
|---|---|---|
| Chiffrement | Au repos (LUKS) et en transit (TLS) | Disques chiffrés sur serveur dédié (LUKS). Transit en TLS 1.2/1.3, HSTS preload. La donnée est protégée au stockage comme sur le réseau. |
| Accès serveur | Clés SSH ED25519 | Pas d'authentification par mot de passe. Port personnalisé. Fail2ban actif. Audit d'authentification quotidien. |
| - | MFA console fournisseur | Compte d'administration du fournisseur protégé par TOTP et clé physique de secours. |
| TLS | Let's Encrypt + Certbot | Renouvellement automatique. HSTS activé (max-age 6 mois). TLS 1.3 préféré, 1.2 au minimum. |
| En-têtes HTTP | Durcissement nginx | En-têtes durcis : noindex sur les surfaces sensibles, Content-Security-Policy, Referrer-Policy, X-Frame-Options. |
| Pare-feu | ufw (pare-feu Ubuntu) | Règles minimales : 22 (port SSH personnalisé), 80, 443. Tout le reste bloqué par défaut. |
| Système | Mises à jour de sécurité | unattended-upgrades actif sur les paquets de sécurité Ubuntu LTS. Redémarrages planifiés hors heures ouvrées. |
| Secrets | .env hors du dépôt | Valeurs sensibles (clés d'API, jetons OAuth) dans des fichiers .env en permission 600. Jamais versionnées. Rotation manuelle ou automatisée selon le secret. |
| Journaux | journalctl + rotation | Conservation 90 jours, adresses IP partiellement anonymisées après 30 jours. Aucun contenu utilisateur journalisé. |
| Sauvegarde | Snapshots fournisseur | Snapshots disque quotidiens, rétention 7 jours. Bases applicatives sauvegardées séparément avec restauration à un instant T jusqu'à J-7. |
| Supervision | Alertes systemd | Service à l'arrêt : alerte email. Erreurs nginx 5xx surveillées. Seuils disque/mémoire à 85 % : alerte. |
| Données client | Aucun entraînement | DPA signés avec chaque fournisseur d'IA (Anthropic, Mistral, Google, OpenAI). Vos prompts et retours ne sont jamais utilisés pour entraîner un modèle. |
| - | Zéro rétention en transit | Les données qui transitent par HOLCO ne sont pas conservées durablement. Lecture, agrégation, restitution, puis purge. |
| - | Fin de mission | Code source, schémas, secrets et données remis au client. Comptes fournisseurs transférés ou supprimés selon la préférence du client. Suppression conforme en fin de mission. |
Pour un dossier de sécurité formel (audit ANSSI, environnement client ISO 27001), écrivez à alan@holco.co.
Données souveraines en France, réversibilité garantie.
- Localisation des données par défaut
- France (Scaleway, datacenters Paris)
- Souveraineté
- Hors champ du Cloud Act et des législations extra-européennes
- Certification datacenter
- ISO 27001
- Serveur
- Serveur dédié, Ubuntu 24.04 LTS
- Reverse proxy
- nginx 1.24
- Chiffrement au repos
- LUKS (disques chiffrés)
- Chiffrement en transit
- TLS 1.2/1.3, HSTS preload
- En-têtes durcis
- noindex, CSP, Referrer-Policy, X-Frame-Options
- TLS
- Let's Encrypt, renouvellement automatique
- Auto-hébergement client
- Possible (santé, finance réglementée, défense)
- Rôle RGPD
- HOLCO sous-traitant au sens de l'article 28, DPA signé avec le client
- Entraînement de modèle sur vos données
- Jamais. DPA signés avec chaque fournisseur.
- Rétention en transit
- Zéro. Aucune conservation durable des données en transit.
- Conservation
- Conforme : pièces comptables 10 ans (CGI, Code de commerce)
- Livrables de fin de mission
- Code source, schémas, secrets et données remis. Suppression en fin de mission.
- Conformité
- RGPD by design. ANSSI sur demande pour les environnements sensibles.
Cycle de 6 à 7 semaines, du cadrage à l'usage.
| № | Étape | Durée | Livrable |
|---|---|---|---|
| 01 | Cadrage | S+1 | Cartographie des systèmes et des questions récurrentes. Plan de réponse validé par un opérateur senior. |
| 02 | Connexion MCP | S+2 | Branchement à vos systèmes via Model Context Protocol (standard ouvert, Anthropic, 2024). |
| 03 | Construction | S+3 à S+6 | Conception et développement (agent, email, alerte ou application). Démos hebdomadaires, itérations courtes, validation croisée des livrables. |
| 04 | Mise en production | S+7 | Déploiement, formation, remise de la documentation. Le client garde la maîtrise du code, des clés et des données. |
| 05 | Exploitation | En continu | Suivi de l'usage réel, ajustements, ajout de cas. Engagement mensuel résiliable. |
Les questions des DSI et RSSI.
Termes utiles.
- Agent IA
- Programme qui interprète une demande, choisit les outils à interroger, agrège et formule une réponse. Plus avancé qu'un agent conversationnel simple.
- MCP
- Model Context Protocol (Anthropic, 2024). Standard ouvert pour relier un agent IA à des systèmes externes.
- DXT
- Desktop Extensions. Format Anthropic empaquetant un serveur MCP et ses dépendances pour une distribution en un clic.
- RAG
- Génération augmentée par la recherche. On fournit à l'IA les bons documents au moment de répondre. Permet des réponses précises sans réentraînement.
- Réglage fin (fine-tuning)
- Adaptation d'un modèle à un domaine. Rarement nécessaire : le RAG couvre la plupart des cas.
- Vectorisation (embedding)
- Représentation vectorielle d'un texte. Sert à comparer et rechercher des contenus sémantiquement proches.
- SSE
- Server-Sent Events. Protocole qui permet à l'IA de transmettre sa réponse au fil de sa génération.
- DPA
- Accord de traitement des données. Contrat encadrant le traitement des données entre le client et le sous-traitant (y compris les fournisseurs d'IA).
- Sous-traitant (RGPD)
- Au sens de l'article 28 du RGPD, l'entité qui traite des données pour le compte du responsable de traitement. C'est le rôle de HOLCO, encadré par un DPA.
- Cloud Act
- Loi américaine permettant aux autorités d'exiger des données détenues par un fournisseur US. L'hébergement souverain en France y échappe.
- Lecture seule
- Mode où l'agent lit et raisonne sans jamais écrire dans les systèmes du client. Le client tranche sur les corrections proposées.
- Journal d'audit
- Trace inaltérable des accès et opérations (qui, quoi, quand). Chez HOLCO, empreintes chaînées SHA-256 pour le registre de preuve.
- Modèle de pointe (frontier)
- Les modèles d'IA les plus avancés du moment : Claude Opus, Mistral Large, Gemini, GPT.
- Mise en cache de prompt
- Mise en cache d'une partie du prompt système côté fournisseur. Réduit le coût et la latence sur les longs contextes partagés.
- Tool use
- Capacité d'un agent à appeler des fonctions externes structurées (API, recherche web, code, bases de données).