Contexte de l'entreprise : dites à l'assistant qui vous êtes, une seule fois

La première clause qu'une norme sérieuse en matière de sécurité de l'information vous demande de satisfaire n'est pas un contrôle. ISO/IEC 27001:2022 (publiée en octobre 2022) consacre l'article 4 au « contexte de l'organisation », et celui-ci commence, en 4.1, par « compréhension de l'organisation et de son contexte ». Avant le périmètre, avant la Déclaration d'applicabilité, avant même une seule politique, la norme souhaite savoir qui vous êtes : ce que vous faites, qui vous servez, ce qui pourrait mal tourner pour une entreprise comme la vôtre.

Un assistant IA qui ignore cette clause produit une conformité générique. Demandez-lui une politique de contrôle d'accès, et s'il ne connaît rien de vous, il vous renverra un modèle qui pourrait appartenir à une banque de 5 000 personnes ou à une startup de trois personnes. Les mots sont corrects. Le document est fait pour une entreprise qui n'existe pas.

Jusqu'à présent, vous improvisiez. Vous répétiez qui vous êtes au début de chaque conversation, ou vous glissiez les faits essentiels de votre organisation dans des instructions personnalisées libres, ou vous laissiez l'assistant les découvrir un par un sous forme de souvenirs enregistrés. Chacun peut contenir un fait. Aucun ne constitue un espace dédié à l'identité de votre organisation. Des faits dispersés dans des centaines de fils de discussion ne forment pas un contexte : ce n'est que de la répétition.

Ce que nous avons livré

Contexte de l'entreprise est un profil structuré pour votre organisation, en un seul endroit, dans la nouvelle section Personnaliser de la barre latérale. Vous remplissez un court formulaire avec les faits qui modifient la manière dont les conseils de conformité doivent être interprétés :

• Nom de l'entreprise et secteur d'activité
• Échelle (taille, stade de développement ou tranche d'effectif)
• Pays du siège social et région d'hébergement (où vos données résident)
• Rôle en matière de protection des données : responsable de traitement, sous-traitant, ou les deux
• Types de données que vous gérez (données personnelles ou classes de données réglementées)
• Pile technologique (systèmes principaux, cloud, fournisseur d'identité)
• Notes : tout autre élément que l'assistant doit connaître, jusqu'à 2 000 caractères

Vous ne le configurez qu'une seule fois. À partir de là, votre Chat personnel et Beyond rédigent des documents en tenant compte de votre entreprise. Demandez une évaluation des risques et l'assistant raisonnera en fonction de vos types de données et de votre région d'hébergement, et non d'un exemple générique. Demandez une politique et il l'adaptera à votre échelle plutôt qu'à un organigramme générique. Le champ de rôle en matière de protection des données modifie à lui seul beaucoup de choses : l'article 4 du RGPD (le règlement s'applique depuis le 25 mai 2018) définit ce que sont un responsable de traitement et un sous-traitant, et le RGPD leur attribue des responsabilités différentes. Indiquer à l'assistant lequel vous êtes fait la différence entre des conseils qui vous concernent et ceux qui ne vous concernent pas.

Trois éléments distincts pour éviter les confusions

Les utilisateurs confondent souvent trois paramètres qui remplissent des fonctions différentes. Le contexte de l'entreprise existe pour que vous n'ayez plus à choisir le mauvais.

• Contexte de l'entreprise définit qui est votre organisation. Il s'agit de faits structurés et durables. Configurez-le et oubliez-le.
• Instructions personnalisées déterminent la manière dont vous souhaitez que l'assistant se comporte. Ton, format, style maison. Il s'agit d'une préférence, pas d'un fait.
• Souvenirs enregistrés sont des faits incrémentaux que l'assistant découvre au fur et à mesure. Utile, mais accumulés un par un plutôt que déclarés d'emblée.

Avant le contexte de l'entreprise, l'identité de votre organisation n'avait pas d'espace dédié où résider, et elle fuyait donc vers les deux autres : un paragraphe sur votre secteur glissé dans les instructions personnalisées, un effectif à moitié oublié dans un souvenir enregistré des mois plus tôt. Désormais, il existe un formulaire dédié à l'organisation, et les deux autres peuvent remplir leur propre rôle.

Vos agents connectés peuvent également le lire et le mettre à jour

Le contexte de l'entreprise n'est pas seulement un formulaire web. Si vous utilisez ISMS Copilot depuis un outil de développement via MCP (Claude Code, Cursor, ou un autre client MCP compatible, comme décrit dans Connecter ISMS Copilot à Claude Code), votre agent peut lire et mettre à jour directement votre contexte d'entreprise, avec votre autorisation.

Cela compte parce que l'endroit où vous conservez vos faits organisationnels réels n'est souvent pas un onglet de navigateur. C'est votre dépôt, votre configuration d'infrastructure, votre base de code. Le contexte de l'entreprise ne lit pas ces sources lui-même, mais un agent qui y travaille déjà le peut. Un agent connecté peut extraire votre région d'hébergement ou votre pile technologique de ce qu'il observe déjà dans votre environnement et l'écrire dans votre contexte, en utilisant des autorisations ciblées et à privilèges minimaux que vous accordez au jeton : l'accès en lecture et l'accès en écriture sont séparés, de sorte que vous pouvez autoriser un agent à lire votre contexte sans lui permettre de le modifier. Configurez votre contexte dans l'éditeur que vous utilisez déjà, et Chat et Beyond sur le web liront le même profil.

Périmètre honnête

Le contexte de l'entreprise est au niveau du compte : un seul profil pour vous, appliqué que vous ayez ou non un espace de travail sélectionné. Il décrit votre organisation.

Deux contextes ne le reçoivent délibérément pas. Une conversation temporaire ne bénéficie pas de votre profil de contexte d'entreprise. Et un fil de discussion partagé ne le transmet pas non plus, car le profil vous appartient : les faits d'un membre ne devraient pas devenir silencieusement le contexte de tous les participants à une conversation partagée. Le contexte de l'entreprise est appliqué à votre Chat et Beyond personnel, et non à ces deux cas.

Si vous êtes un consultant gérant un espace de travail par client, ce n'est pas ici que vont les faits spécifiques à chaque client. Les particularités d'un client restent dans les instructions de cet espace de travail, les documents épinglés et les souvenirs, la superposition par client qui maintient chaque engagement séparé. Le contexte de l'entreprise est la couche sous-jacente : c'est vous, le praticien ou l'équipe interne, et non le client de la semaine.

Il s'agit de la première version. Elle ne récupère pas encore automatiquement des faits depuis Google Drive, Notion ou d'autres sources connectées ; vous devez les saisir. Cette fonctionnalité automatique est prévue dans la feuille de route, mais pas encore livrée, et nous préférons le dire clairement plutôt que de laisser penser qu'elle fonctionne aujourd'hui.

À qui s'adresse-t-il ?

• Équipes internes réalisant des travaux de conformité répétitifs, fatiguées de devoir rétablir qui elles sont au début de chaque fil de discussion.
• Praticiens souhaitant des brouillons adaptés, où le secteur, l'échelle et les types de données sont intégrés plutôt que modifiés après chaque génération.
• Développeurs utilisant l'API de compte ou un agent connecté, qui préféreraient configurer les faits de l'organisation depuis leur propre environnement plutôt que d'ouvrir une page de paramètres.

Si vous ne posez que des questions ponctuelles, vous pouvez vous en passer. Le contexte de l'entreprise devient utile dès que vous remarquez que vous expliquez pour la dixième fois qui est votre entreprise.

Essayez-le

Ouvrez Personnaliser dans la barre latérale, puis Contexte de l'entreprise. Remplissez ce que vous savez, même quelques champs, et enregistrez. Lancez ensuite une nouvelle conversation et demandez quelque chose que vous auriez normalement précédé d'un paragraphe sur votre organisation, comme « rédigez une politique de contrôle d'accès pour nous ». Le brouillon devrait déjà correspondre à votre entreprise. Si ce n'est pas le cas, le champ manquant est celui à remplir ensuite.

Comprendre l'organisation et son contexte est l'article 4.1 pour une bonne raison. Un assistant ne devrait pas vous faire sauter cette étape.