Quatre piliers
De l'appel modèle au journal d'audit.
Nous composons l'infrastructure de classe mondiale existante—NVIDIA, AWS—avec notre propre plan de contrôle libre et une évaluation des facteurs vie privée qui survit à un audit.
Pilier 01 · Couche de sécurité NVIDIA NeMo Guardrails
Chaque appel LLM de notre portfolio est filtré par ot-guardrails, notre déploiement interne de NVIDIA NeMo Guardrails. 56 rails actifs (54 flows Colang + 2 auto-vérifications LLM). Fail-closed par défaut—si la couche de sécurité est inatteignable, l'appel est refusé, pas silencieusement permis.
- Détection RP (Loi 25 art. 8.1 minimisation)
- Filtrage des injections de prompt
- Rails d'auto-vérification LLM — nemotron-mini-4b-instruct via NVIDIA AI Endpoints
- Politique par profil avec journal d'audit
Feuille de route : à mesure que le volume croît, l'inférence régulée migre vers des microservices NVIDIA NIM auto-hébergés sur infrastructure GPU canadienne—même interface API, zéro réécriture.
POST http://localhost:8090/check
Pilier 02 · Infrastructure AWS ca-central-1
Les données vivent à Montréal. Toujours. La résidence des données Loi 25 est le défaut, pas l'amélioration. RDS chiffré au repos, SSL/TLS forcé en transit, IAM moindre privilège par principe.
- Région verrouillée à ca-central-1 (Montréal)
- Stockage chiffré (AES-256 minimum)
- SSL/TLS forcé sur chaque endpoint
- Transfert transfrontalier requiert consentement explicite
Pilier 03 · Conformité EFVP · Loi 25 · RGPD
Nous complétons une évaluation des facteurs relatifs à la vie privée (EFVP) avant que chaque produit atteigne son premier utilisateur. Nous nommons nos sous-traitants. Nous documentons nos périodes de rétention. Nous honorons chaque demande d'accès, rectification et oubli.
- EFVP v2.0—révisée 2026-06-09
- Loi 25 (Québec, complète)
- RGPD (juridiction applicable)
- Préparation AI Act européen · août 2026
- Notification de brèche dans les 72h
Pilier 04 · Logiciel libre OpenTac · Apache 2.0
Notre plan de contrôle est libre. OpenTac est un plan de contrôle universel pour flottes d'agents IA—outils OAuth, journal d'audit, coffre de credentials, adaptateurs multi-runtime. Auto-hébergeable. Inspectez le code. Ne faites confiance à rien à l'aveugle.
- Licence Apache 2.0
- Coffre credentials AES-256-GCM
- Journal d'audit (Loi 25 art. 14)
- Patron d'adaptateur multi-runtime