SOC 2 Type II pour les plateformes IA : ce que la certification prouve réellement

Lorsque les fournisseurs de dispositifs médicaux évaluent des plateformes IA de procurement, SOC 2 Type II figure généralement en tête des critères de sécurité. Pourtant, de nombreuses équipes achats ne savent pas précisément ce que cette certification couvre — et ce qu'elle ne couvre pas. Comprendre cette distinction est essentiel pour prendre des décisions fournisseurs éclairées.

Ce que SOC 2 Type II couvre réellement

Les rapports SOC 2 Type II s'appuient sur le cadre des Trust Services Criteria (TSC) de l'AICPA et portent sur cinq catégories : sécurité, disponibilité, intégrité du traitement, confidentialité et protection de la vie privée. Contrairement au Type I — qui évalue un instant T — le Type II examine l'efficacité opérationnelle des contrôles sur une période d'audit définie (généralement 6 à 12 mois), réalisée par un cabinet d'expertise comptable indépendant.

• Sécurité : Les contrôles d'accès, le chiffrement, la gestion des vulnérabilités et les processus de réponse aux incidents sont dans le périmètre.
• Disponibilité : Les engagements de disponibilité et les capacités de reprise après sinistre sont vérifiés.
• Confidentialité : La gestion des informations commerciales sensibles — y compris les données d'appels d'offres — est examinée.
• Efficacité continue : Les contrôles doivent fonctionner tout au long de la période d'audit, pas seulement le jour de l'audit.

Ce que SOC 2 Type II ne prouve pas

La certification présente des limites importantes que les fournisseurs doivent avoir à l'esprit : SOC 2 Type II n'est pas une conformité RGPD ni une preuve de conformité au RDM. Elle n'évalue pas la qualité ou la précision des modèles ou algorithmes IA utilisés. Elle ne confirme pas non plus que les données ne sont pas utilisées pour l'entraînement des modèles — ce point nécessite des clauses contractuelles distinctes ou une politique explicite de zéro entraînement. La certification ne juge pas davantage l'expertise réglementaire médicale de la plateforme ni la justesse de ses recommandations de conformité.

Comment utiliser correctement cette certification dans la due diligence

Les rapports SOC 2 Type II doivent être considérés comme un point de départ — et non d'arrivée — de la due diligence sécurité. Les bonnes pratiques incluent : demander le rapport complet (pas seulement l'attestation de certification) et examiner attentivement les exceptions et les réponses de la direction ; vérifier le périmètre exact de l'audit pour s'assurer que les services réellement utilisés sont couverts ; compléter par une évaluation contractuelle des accords de traitement des données (DPA), des clauses de localisation des données et des exclusions relatives à l'entraînement des modèles. Traiter SOC 2 Type II comme une condition nécessaire mais non suffisante est la marque d'une décision d'achat mature.