Les questions qu'on nous pose — et les limites qu'on nous assume.

Confidentialité

Vos serveurs voient-ils mes données ?

Non. Le moteur de pseudonymisation tourne à la frontière (edge) : le texte clair y est traité en mémoire, puis seul le texte tokenisé part chez le fournisseur. Le plan de contrôle ne stocke que des hash de jetons et des compteurs agrégés — jamais de contenu, jamais de compteur isolé < seuil k. En N0 (local), le clair ne quitte même pas votre poste.

Comment vérifier que vous ne lisez pas ?

Par construction et par audit :

• Journal public : journal.wonkom.ai — chaque fenêtre d'audit y est enregistrée (compteurs k-anonymes, chaîne de hachage, signatures Ed25519). La page vérifie la chaîne dans votre navigateur (WASM) : aucune confiance requise.
• Code ouvert : la passerelle et les composants vérifiables sont publiés (github.com/coucagog/cloison-*) — auditez, faites auditer, comparez.
• Rapport de conformité : en mode audit (observe-only), rapport k-anonyme signé, présentable à votre DPO/auditeur.

Que se passe-t-il si la restauration échoue (jeton tronqué, coupé) ?

Le proxy échoue bruyamment : marqueur neutre ([REDACTED]) + compteur — jamais de jeton brut, jamais de mauvaise valeur en silence. Le compteur est visible dans le rapport de conformité.

Vos modèles comprennent-ils le français d'Afrique de l'Ouest ?

Oui — c'est notre spécialité (noms sénégalais, formats de CNI, toponymie, numéros +221). Le détecteur combine un moteur déterministe (regex + gazetteers + validations Luhn) et un NER transformer entraîné sur MasakhaNER (afroxlmr), validé par un benchmark public contre une baseline Presidio forte (verdict GO : PERSON 0.94, LOC 0.84, macro 0.95).

Limites honnêtes (charte §11)

Quasi-identifiants

« Le patient de 42 ans opéré le 3 mars à Ziguinchor » ré-identifie sans nom. Nous les signalons (jauge quasi-id, opt-in en N0), nous ne prétendons pas les résoudre. C'est une limite assumée de tout proxy — pas une promesse déguisée.

Poste compromis

En N0, un malware ou un vol de la machine sort du périmètre : le coffre et les clés y vivent. La protection vaut contre le fournisseur et l'opérateur, pas contre un attaquant local sur votre poste.

PII hallucinée par le modèle

Le modèle peut inventer une PII sans jeton (problème de grounding) — non résoluble par un proxy seul (recherche ouverte documentée). Les sentinelles forgées ne sont jamais restaurées (registre d'émission + MAC, invariant I3).

Rappel PERSON/LOC en N0 sans NER

En N0, le moteur est Rust seul : sans le NER léger embarqué, la détection des noms et lieux hors gazetteers en texte libre est réduite par rapport aux paliers serveur. Le NER embarqué (installé par défaut) comble l'essentiel du fossé (PERSON 0 → 0.62, LOC +0.18, spécificité 83 %). Les emails, téléphones, CNI, cartes, IP, dates, passeports/permis/matricules et les noms/toponymes des gazetteers sont couverts dans tous les cas.

Embeddings

/v1/embeddings est bloqué (404) : un embedding de PII reste dérivé de PII (charte §7.1). Piste documentée : tokeniser avant embedding (perte de sens assumée) — non livrée.

Restauration bornée à la requête

On ne restaure que les jetons émis pour la requête en cours (registre + MAC) : un jeton d'une requête antérieure n'est jamais restauré (anti-collision, invariant I3). Après rotation du sel de session, l'ancien contenu n'est plus restaurable (marqueur neutre).

Produit & usage

Quelle interface IA puis-je brancher ?

Tout client compatible OpenAI : Open WebUI, LibreChat, bolt.diy, agents type Hermes, curl… Deux champs : Base URL + clé composite. Voir le guide API.

Quelle est la différence entre N0, N1 et N3 ?

Où tourne le moteur : chez vous (N0), sur votre serveur (N1), chez l'éditeur (N3). Plus le moteur est proche de vous, plus la promesse est absolue. Voir le produit.

Le mode audit est-il actif par défaut ?

Non. En N0, CLOISON_AUDIT_MODE=0 par défaut : aucun reçu ne sort de la machine. Le journal public n'est alimenté que par les tenants qui activent l'audit (opt-in) — toujours en compteurs k-anonymes signés, jamais de texte.

L'installation N0 est-elle vraiment sans toolchain ?

Oui : binaires par OS, checksums SHA-256 vérifiés, NER léger inclus — ni Rust, ni Python, ni torch. Installer en ≤ 10 minutes.