SERVICE CLIENT · Août 2026

IA chez un éditeur de logiciel : le contenu qui se périme, pas le code

Chez un éditeur de logiciel, le produit avance chaque quinzaine et le contenu qui l'explique prend du retard chaque quinzaine. Voici ce qu'un assistant traite réellement sur la documentation, les notes de version et le support de niveau 1, et pourquoi deux textes européens viennent de faire passer ces trois postes du confort à la conformité.

Stéphane Bacanin Écrit par Stéphane Bacanin
Deux personnes de dos devant un mur couvert de captures d'écran imprimées et annotées à la main, lors d'une revue de produit logiciel

L'écran change au sprint suivant. La page d'aide qui le décrit, la note de version qui l'annonce et la réponse type que le support enverra à ce sujet, elles, changent beaucoup plus tard.

La réponse courte

Chez un éditeur de logiciel, l'IA n'écrit pas votre produit : elle tient la cadence du contenu qui l'entoure et qui se périme à chaque livraison. Cinq points fixent le cadre :

  • La documentation n'est plus un supplément d'âme, c'est une pièce du dossier : Le règlement européen sur la cyberrésilience impose au fabricant d'un produit numérique de fournir des informations et des instructions d'utilisation, de documenter sa conformité et d'annoncer une période d'assistance. Une documentation à jour devient une obligation, pas une bonne intention.
  • Le 11 septembre 2026 change le statut de vos notes de version : À partir de cette date, un fabricant doit signaler toute vulnérabilité activement exploitée et tout incident grave, avec une alerte précoce sous 24 heures et une notification sous 72 heures. Votre communication de correctif entre dans un calendrier réglementaire.
  • Un robot de support doit dire qu'il est un robot : Les règles de transparence du règlement européen sur l'IA s'appliquent depuis août 2026 : une personne doit être informée qu'elle interagit avec une machine. Cela se règle par une phrase d'accueil et un bouton d'escalade, pas par un avocat.
  • Brancher un modèle sur vos tickets ajoute un sous-traitant ultérieur : Les données de vos clients transitent alors chez un tiers. Selon vos contrats, cela suppose une autorisation générale ou spécifique, une information écrite préalable de vos clients et un délai pour qu'ils s'y opposent. Cela se prépare avant, jamais après.
  • Rien de ce qui engage techniquement ne sort du modèle : Nom de paramètre, valeur par défaut, chemin d'appel, numéro de version corrigée, criticité d'une faille : ces éléments se recopient depuis le code, le ticket ou l'avis de sécurité. Un modèle en produit de parfaitement vraisemblables, et c'est un client qui les applique en production.

Quand un dirigeant cherche « IA éditeur de logiciel PME », il tombe sur des démonstrations de génération de code et sur des promesses de productivité mesurées en pourcentages. Le sujet est réel, il est traité partout, et ce n'est pas là que la petite structure souffre. Dans un éditeur de dix à cent personnes, la douleur est ailleurs : la page d'aide décrit un écran qui n'existe plus, la note de version du mois dernier n'a jamais été écrite, le support répond pour la trentième fois à une question dont la réponse existe quelque part dans un fil interne, et le questionnaire sécurité d'un client grand compte attend depuis trois semaines. Le produit avance à la cadence de l'équipe technique, le contenu avance à la cadence de la personne qui a du temps, c'est-à-dire personne. Ce guide traite ces trois postes, documentation, notes de version et support de niveau 1, avec la méthode et les garde-fous. Et il commence par une mauvaise nouvelle qui est en fait une bonne : deux textes européens viennent de transformer ce retard de contenu en risque de conformité, ce qui est enfin un argument pour y consacrer du temps.

Le produit avance plus vite que ce qui l'explique

Commençons par la santé du secteur, parce qu'elle explique la tension. Sur le marché français du numérique, les éditeurs de logiciels et les plateformes sont le segment qui tire tout le reste : 29,1 milliards d'euros de chiffre d'affaires en 2025 pour une croissance de 8,2 %, et une prévision de 31,6 milliards en 2026 pour 8,4 %, alors que l'ensemble du marché n'est attendu qu'à 4,3 % (étude Numeum et PAC publiée le 19 décembre 2025). Autrement dit : vous croissez deux fois plus vite que l'économie qui vous entoure, avec des équipes qui ne doublent pas.

Cette croissance a un effet secondaire que personne ne budgète. Chaque livraison produit du contenu périmé : un écran qui change invalide une capture, une option renommée invalide un paragraphe d'aide, un correctif non annoncé produit trois tickets, une intégration nouvelle produit une page de documentation qui n'existe pas encore. Ce n'est pas de la dette technique, c'est de la dette de contenu, et elle a la même mécanique : elle ne fait jamais mal le jour où elle se crée. Elle fait mal six mois plus tard, quand un prospect abandonne un essai gratuit faute de trouver comment brancher son outil, quand un client renouvelle en grinçant, ou quand un acheteur demande où est votre documentation de sécurité.

Quatre gisements, dans l'ordre de rentabilité

31,6 milliards €
le chiffre d'affaires prévu en 2026 pour les éditeurs de logiciels et plateformes en France, en croissance de 8,4 %, contre 4,3 % pour l'ensemble du marché numérique
11 septembre 2026
la date à partir de laquelle un fabricant de produit numérique doit signaler les vulnérabilités activement exploitées et les incidents graves
24 heures
le délai de l'alerte précoce à transmettre sur la plateforme unique de signalement, suivie d'une notification sous 72 heures

Ce qui ne figure pas dans cette liste compte autant. La génération de code n'est pas traitée ici : elle est abondamment documentée ailleurs, elle relève de vos pratiques d'ingénierie et elle ne se pilote pas comme un sujet de contenu. L'architecture, les choix de conception et la feuille de route ne se délèguent pas davantage. Et la règle générale de sélection reste celle de notre article sur l'automatisation des tâches répétitives : on n'automatise pas ce qui est long, on automatise ce qui est fréquent et sans décision. Sur les quatre gisements ci-dessus, deux sont fréquents et sans décision, un demande un arbitrage éditorial, et le dernier engage l'entreprise.

Le garde-fou : ce qui ne sort jamais de chez vous

Un éditeur de logiciel manipule des données qui ne lui appartiennent pas, et c'est sa particularité par rapport aux autres PME. Trois familles ne partent pas dans un outil grand public : les données que vos clients hébergent chez vous (un extrait de base, un export, une capture de leur interface, un fichier joint à un ticket), les secrets d'exploitation (clés d'interface de programmation, jetons, identifiants, variables d'environnement, extraits de configuration de production), et le code de vos dépôts privés tant que vous n'avez pas vérifié les conditions du fournisseur sur la conservation et la réutilisation. Le test est simple : ce document appartient-il à un client ? Si oui, il ne quitte pas votre périmètre sans base contractuelle. Le reste des règles de socle est décrit dans notre article sur la sécurité de l'IA sans DSI et dans celui sur l'IA et le RGPD.

Avant d'ouvrir le moindre abonnement d'équipe, réglez deux points d'ordre. Le premier est le cadre écrit : ce qui est permis, ce qui ne l'est pas, tenu sur une page selon le modèle de notre article sur la politique IA d'une page. Chez un éditeur, cette page se rédige en une heure et évite trois ans de discussions. Le second est l'existant : dans une équipe technique, l'usage individuel est déjà là depuis longtemps, c'est le shadow AI, et il vaut toujours mieux le cartographier que le découvrir. Commencez par passer les réglages de confidentialité des comptes déjà utilisés, puis posez par écrit à vos fournisseurs les questions à poser avant de signer et gardez les réponses au dossier : vos propres clients vous les poseront à leur tour.

La documentation : de corvée reportée à pièce du dossier

Dans presque tous les éditeurs que compte le pays, la documentation est le premier poste sacrifié. Elle n'a pas de client interne, elle n'a pas de date de livraison, elle ne bloque personne, et elle est donc toujours reportée au sprint suivant. Ce raisonnement vient de perdre sa validité, pour une raison qui n'a rien à voir avec le confort de l'utilisateur.

Le règlement européen sur la cyberrésilience, le règlement (UE) 2024/2847, s'applique aux produits comportant des éléments numériques, ce qui inclut les logiciels. Il est entré en vigueur le 10 décembre 2024, ses obligations de déclaration s'appliquent à partir du 11 septembre 2026, et ses obligations principales à partir du 11 décembre 2027 (page officielle de la Commission européenne). Parmi les obligations du fabricant figurent le fait d'expliquer sa conformité dans la documentation technique, de fournir avec le produit « des informations et des instructions d'utilisation », de définir une période d'assistance qui reflète la durée pendant laquelle le produit est censé être utilisé, et de fournir les mises à jour de sécurité pendant cette période (fiche « Cyber Resilience Act : manufacturers » de la Commission).

Traduisez pour un éditeur de trente personnes : votre documentation utilisateur, la durée pendant laquelle vous vous engagez à corriger, et la manière dont vous informez vos clients cessent d'être des choix commerciaux pour devenir des éléments opposables. La bonne nouvelle est que vous n'avez pas à tout inventer : vous avez déjà la matière, elle est éparpillée dans vos spécifications, vos tickets et vos fils de discussion. Ce qui vous manque est le temps de la mettre en forme, et c'est exactement le travail qu'un assistant fait bien.

La règle d'or : la source de vérité n'est jamais le modèle

Voici la seule chose à retenir de cette section, et elle est plus importante que n'importe quel outil. Un modèle de langue ne sait pas ce que fait votre produit. Il sait à quoi ressemble une documentation de produit, ce qui est très différent et infiniment plus dangereux. Interrogé sur le nom exact d'un paramètre, il en proposera un parfaitement crédible, souvent celui qu'aurait choisi un développeur raisonnable, et parfois exactement le bon, ce qui est le pire des cas parce que cela vous rend confiant. La méthode consiste donc à ne jamais lui demander de savoir, mais uniquement de mettre en forme ce que vous lui donnez : un diff, une spécification, un enchaînement d'écrans décrit, un ticket, un extrait d'interface de programmation.

La documentation d'une nouvelle fonctionnalité

Le même sprint, sans méthode et avec une chaîne de documentation assistée

La documentation d'une nouvelle fonctionnalité Le même sprint, sans méthode et avec une chaîne de documentation assistée Sans méthode La fonctionnalité part en production, la documentation est notée « à faire » dans un ticket qui restera ouvert. Les premiers utilisateurs découvrent l'écran seuls et ouvrent trois tickets identiques la première semaine. Le support répond dans un fil, la réponse est excellente, et elle disparaît avec le fil. Six mois plus tard, la capture d'écran de la page d'aide montre une interface qui n'existe plus. Le questionnaire sécurité d'un grand compte demande la documentation : on en écrit une, dans l'urgence, la veille. Avec une chaîne assistée La page d'aide est produite depuis la spécification pendant que la fonctionnalité est en recette, pas après. La procédure est exécutée pour de vrai par une personne qui ne l'a pas développée, avant publication. La réponse du support alimente la page d'aide le jour même : ce qui a été écrit une fois est écrit au bon endroit. La date de dernière vérification et le numéro de version figurent en bas de page, et servent au tri du mois suivant. La documentation est un livrable de la livraison, donc elle existe quand un acheteur la demande.

Source : Commission européenne, « Cyber Resilience Act : manufacturers », obligations de documentation, d'information des utilisateurs et de période d'assistance

Le basculement ne coûte pas de budget, il coûte une place dans la définition de « terminé ». Tant que la documentation n'est pas un livrable de la livraison, elle reste un ticket ouvert.
Prompt à copier : transformer une spécification en page d'aide
Tu es rédacteur technique pour un éditeur de logiciel. Je te donne la spécification interne d'une fonctionnalité et la description des écrans. Tu rédiges la page d'aide destinée à l'utilisateur final. Tu ne sais rien du produit en dehors de ce que je te donne.

Structure imposée :
1. Titre sous forme de tâche à accomplir, du point de vue de l'utilisateur.
2. En une phrase : à quoi sert cette fonctionnalité et pour qui.
3. Prérequis : droits nécessaires, réglages préalables, formule d'abonnement concernée.
4. Procédure numérotée. Une action par étape. Reprends les libellés EXACTS des boutons et des champs tels que je te les ai donnés.
5. Cas particuliers et limites.
6. Messages d'erreur possibles et ce qu'ils signifient.
7. Pour aller plus loin : liste des pages d'aide connexes que je t'indique, et rien d'autre.

Règles strictes :
- N'invente aucun nom de bouton, de champ, de paramètre, de menu, de valeur par défaut ni de raccourci. Si l'information manque, écris « [À COMPLÉTER : ... ] » avec la question précise.
- N'invente aucune limite chiffrée (quota, taille de fichier, nombre maximum, durée de conservation).
- Ne promets aucun résultat et n'emploie aucun superlatif.
- Vouvoiement, phrases courtes, présent de l'indicatif, une idée par phrase.
- Termine par la liste des points que le relecteur devra vérifier en exécutant la procédure.

Spécification et description des écrans :
[coller ici]

Le garde-fou : la procédure se fait, elle ne se relit pas

Une page de documentation ne se valide pas en la lisant. Elle se valide en l'exécutant, du premier au dernier point, sur un compte de test, par une personne qui n'a pas développé la fonctionnalité. C'est la seule barrière qui attrape le libellé de bouton légèrement faux, l'étape manquante entre le point 3 et le point 4, et le prérequis évident pour l'auteur. Comptez dix minutes par page. Écrivez la règle dans votre définition de « terminé » : aucune page publiée sans une exécution réelle et sans un nom de relecteur. La question de savoir ce que vous pouvez ensuite revendiquer sur ces contenus est traitée dans notre article sur les droits sur les contenus générés.

Deux prolongements naturels, une fois la chaîne en place. Le premier est la traduction : un éditeur qui vend hors de France double ou triple son volume de contenu, et la localisation d'une base d'aide est le cas d'usage le mieux maîtrisé de tous, sous réserve de la règle décrite dans notre article sur l'IA et la traduction, à savoir qu'une version fait foi et que les autres en dérivent. Le second est le référencement : la documentation publique d'un éditeur est souvent son meilleur actif d'acquisition, parce qu'elle répond à des questions très précises que personne d'autre ne traite, ce que détaille notre article sur l'IA et le référencement d'un site. Pour la façon d'écrire les instructions elles-mêmes, l'essentiel tient dans notre article sur l'écriture d'un bon prompt : un rôle, un plan imposé, des interdictions explicites. Et rangez ces gabarits au même endroit que le reste, dans une base de connaissances d'équipe, avec vos instructions dans une bibliothèque de prompts partagée, plutôt que dans le poste d'une seule personne.

Les notes de version : au 11 septembre 2026, elles changent de statut

La note de version est le document le plus négligé du secteur et le plus rentable à redresser. Négligé parce qu'il tombe entre deux chaises : trop technique pour le marketing, trop commercial pour l'équipe technique, et jamais assigné à personne. Rentable parce qu'il agit sur trois choses à la fois : l'adoption des nouveautés que vous venez de payer en jours de développement, le volume de tickets de la semaine suivante, et la confiance de vos clients les plus exigeants.

Une échéance vient de le faire passer dans une autre catégorie. À partir du 11 septembre 2026, soit dans moins de trois semaines, les fabricants de produits comportant des éléments numériques doivent signaler les vulnérabilités activement exploitées et les incidents graves affectant la sécurité de leurs produits. Le signalement passe par la plateforme unique de signalement gérée par l'agence européenne de cybersécurité, qui diffuse ensuite aux centres nationaux de réponse aux incidents, le CERT-FR pour la France. L'ANSSI précise les délais : « une alerte précoce dans les 24h et une notification dans les 72h suivant la prise de connaissance » (questions fréquentes sur le CRA, ANSSI). Le reste du dispositif se déploie ensuite par étapes, entre juin 2026 et décembre 2027, la surveillance du marché étant confiée en France à l'ANFR (cadre réglementaire du CRA, ANSSI).

Ne confondez pas les deux circuits, c'est l'erreur la plus coûteuse. Le signalement réglementaire va vers une autorité, dans des délais courts, avec des informations qui ne sont pas publiques. La note de version, elle, va vers vos clients, à votre rythme éditorial. Ce qui change avec cette échéance, c'est que les deux doivent désormais être cohérents et datés : le jour où vous devrez expliquer à un client, ou à une autorité, quand vous avez su, quand vous avez corrigé et quand vous avez prévenu, vos notes de version seront la trace publique de cette chronologie. Une entreprise qui publie « corrections diverses et améliorations » tous les quinze jours n'a aucune trace. Une entreprise qui publie une ligne par correctif, datée et numérotée, en a une.

Une note de version, trois lecteurs

La raison pour laquelle les notes de version sont mal écrites tient en une phrase : on essaie d'en faire un seul texte pour trois publics qui n'ont ni les mêmes questions, ni le même temps. Séparez-les, et l'exercice devient mécanique, donc délégable.

Le calendrier européen d'un éditeur de logiciel

Les échéances qui touchent la documentation, les notes de version et le support

Le calendrier européen d'un éditeur de logiciel Les échéances qui touchent la documentation, les notes de version et le support 10 décembre 2024 Entrée en vigueur du règlement (UE) 2024/2847 sur la cyberrésilience. Rien à faire ce jour-là, tout à préparer ensuite. Août 2026 Les règles de transparence du règlement européen sur l'IA s'appliquent : une personne doit être informée qu'elle interagit avec une machine. Votre robot de support est concerné. 11 septembre 2026 Début des obligations de signalement : alerte précoce sous 24 heures et notification sous 72 heures pour toute vulnérabilité activement exploitée ou incident grave. Juin à décembre 2026 Accréditation et notification des organismes d'évaluation de la conformité par l'ANSSI. Le moment de savoir dans quelle catégorie tombe votre produit. 11 décembre 2027 Les obligations principales s'appliquent : les produits mis sur le marché doivent être conformes, et la surveillance du marché commence.

Source : ANSSI, « Cadre règlementaire du CRA » et « Questions fréquentes sur le CRA », et Commission européenne, page Cyber Resilience Act

Aucune de ces échéances ne demande un outil. Elles demandent une trace : qui a su quoi, quand, et ce qui a été publié. C'est un problème d'écrit régulier, pas de technologie.

La matière première d'une note de version existe déjà et elle est excellente : le journal des commits, la liste des tickets fermés depuis la dernière livraison, les numéros de version. Le travail consiste à traduire ce langage d'ingénieur en trois textes destinés à trois lecteurs. C'est une transformation, pas une création, et c'est le meilleur usage possible d'un assistant chez un éditeur. Comptez vingt minutes au lieu de deux heures, à condition que la personne qui relit soit celle qui a livré.

Prompt à copier : du journal des commits à la note de version
Tu es rédacteur technique chez un éditeur de logiciel. Je te donne le journal des commits et la liste des tickets fermés depuis la dernière livraison. Tu produis la note de version en trois blocs séparés, destinés à trois lecteurs différents. Tu ne qualifies rien, tu reformules.

BLOC 1 · Pour les utilisateurs
Pour chaque nouveauté visible dans l'interface : un titre formulé comme une tâche, deux lignes maximum, le bénéfice concret. Pas de numéro de version, pas de vocabulaire technique. Regroupe par zone du produit.

BLOC 2 · Pour les administrateurs
Actions requises avant la mise à jour, changements de configuration, ruptures de compatibilité, évolutions d'interface de programmation avec l'ancien et le nouveau comportement, ordre des opérations, procédure de retour arrière si elle figure dans les éléments fournis.

BLOC 3 · Pour les responsables sécurité
Uniquement les correctifs de sécurité présents dans les éléments fournis : ce qui est corrigé, la version qui corrige, l'action attendue du client. Style factuel, aucun adjectif.

Règles strictes :
- N'invente aucun numéro de version, aucun identifiant de vulnérabilité, aucun niveau de gravité, aucune date. Ces éléments viennent de moi ou de personne.
- N'attribue aucun niveau de criticité de ta propre initiative. Si je ne l'ai pas donné, écris « gravité à qualifier ».
- Ne décris jamais comment une faille pouvait être exploitée.
- Si un commit est incompréhensible hors contexte, place-le dans une liste finale « à clarifier avant publication » plutôt que de deviner.

Journal des commits et tickets fermés :
[coller ici]

Le garde-fou : on ne publie pas la carte d'une faille avant le correctif

Trois interdits sur les notes de version, et ils ne se négocient pas. Premièrement, aucune description du mécanisme d'exploitation d'une vulnérabilité tant que le correctif n'est pas disponible et déployé chez vos clients : une note de version trop précise est un mode d'emploi pour qui n'a pas encore mis à jour. Deuxièmement, la qualification d'une vulnérabilité, son identifiant et son niveau de gravité ne se génèrent pas : ils viennent de votre analyse et des référentiels, pas d'un modèle qui produira un score parfaitement plausible. Troisièmement, aucun numéro de version corrigée ne sort d'un assistant : il se recopie depuis votre chaîne de livraison. La responsabilité de ce qui est publié reste entière, comme le rappelle notre article sur la responsabilité en cas d'erreur de l'IA.

DocumentCe qu'il engageRôle de l'assistantQui décide
Page de documentation utilisateurL'usage correct du produit, et une obligation d'information au titre du CRAMise en forme depuis la spécification et les écrans, jamais les libellésLe responsable produit, après exécution réelle
Note de version, bloc utilisateurL'adoption des nouveautés et le volume de ticketsReformulation du journal des commits en tâchesLa personne qui a livré
Note de version, bloc administrateurLa réussite des déploiements chez les clientsMise en forme des ruptures et des actions requisesL'équipe technique
Avis de sécuritéLa chronologie opposable de ce que vous saviez et avez publiéMise au gabarit, jamais la gravité ni l'identifiantLe responsable sécurité
Signalement d'une vulnérabilité exploitéeUne obligation réglementaire dans un délai de 24 heuresAucun, hors préparation de la trameLa direction et le responsable sécurité
Réponse de support de niveau 1La relation client et l'engagement contractuelBrouillon appuyé sur la documentation existanteL'agent qui envoie
Questionnaire sécurité d'un prospectDes déclarations opposables au contratExtraction des questions, rapprochement avec vos réponses écritesLe dirigeant, qui signe
Liste des sous-traitants ultérieursL'information due à vos clients au titre du RGPDMise en forme, jamais le contenuLe responsable de la conformité

Le support de niveau 1 : dire que c'est une machine, et savoir passer la main

Le support est le poste où la tentation est la plus forte et où les échecs sont les plus visibles. Tout le monde a en tête le robot qui répond à côté pendant trois échanges avant de proposer un lien vers une page qui n'existe plus. Ce n'est pas une fatalité, c'est la conséquence directe d'une décision : avoir branché un robot sur une documentation en retard. Un assistant de support ne peut pas être meilleur que le contenu sur lequel il s'appuie, ce qui explique pourquoi cette section vient après celle sur la documentation, et pas avant.

L'obligation de transparence est entrée en application

Commençons par le cadre, parce qu'il est récent et qu'il est simple à respecter. Les règles de transparence du règlement européen sur l'intelligence artificielle s'appliquent depuis août 2026. Le principe posé par la Commission tient en une phrase : « les humains devraient être informés qu'ils interagissent avec une machine afin de pouvoir prendre une décision en connaissance de cause » (cadre réglementaire de l'IA, Commission européenne, page mise à jour le 3 août 2026). Les obligations les plus lourdes, celles des systèmes à haut risque, ont été repoussées au 2 décembre 2027, mais la transparence, elle, n'a pas bougé : le détail des dates réellement applicables est dans notre article sur le calendrier de l'AI Act après le Digital Omnibus.

En pratique, pour un éditeur, cela se règle en une demi-journée de développement : une phrase d'accueil qui dit clairement que l'interlocuteur est un assistant automatique, un moyen visible et permanent de demander un humain, et une mention dans vos conditions et votre page de confidentialité. Ce n'est pas une contrainte commerciale, c'est même l'inverse : les utilisateurs pardonnent une réponse imparfaite d'un robot annoncé, et ne pardonnent pas d'avoir été trompés sur la nature de leur interlocuteur.

La question que presque personne ne se pose : le sous-traitant ultérieur

Voici le point qui distingue un éditeur de logiciel de toutes les autres PME, et que les articles génériques sur l'IA n'abordent jamais. Vos clients vous confient leurs données, et parfois celles de leurs propres clients. Dans le vocabulaire du RGPD, vous êtes le plus souvent leur sous-traitant. Le jour où vous branchez un modèle de langue sur vos tickets, sur vos journaux applicatifs ou sur votre base de connaissances alimentée par des échanges clients, vous ne faites pas qu'ajouter un outil : vous ajoutez un sous-traitant ultérieur dans une chaîne contractuelle qui ne vous appartient pas.

La CNIL décrit les deux régimes possibles dans ses clauses types. Avec une autorisation générale, le sous-traitant « informe préalablement et par écrit le responsable de traitement de tout changement envisagé » concernant l'ajout ou le remplacement d'autres sous-traitants, en précisant les activités concernées, l'identité du nouveau sous-traitant et les dates du contrat, le responsable de traitement disposant d'un délai minimum pour présenter ses objections. Avec une autorisation spécifique, il faut « recueillir l'autorisation écrite, préalable et spécifique du responsable de traitement » pour chaque nouveau prestataire. Dans les deux cas, le sous-traitant initial « demeure pleinement responsable devant le responsable de traitement de l'exécution par l'autre sous-traitant de ses obligations » (exemples de clauses de sous-traitance, CNIL).

Ce que cela veut dire concrètement, en trois gestes : relisez ce que vos propres contrats clients prévoient (la plupart des contrats d'éditeur contiennent une autorisation générale, vérifiez-le), tenez à jour une liste publique de vos sous-traitants ultérieurs sur votre site, et prévenez vos clients avant l'ajout, en respectant le délai d'objection prévu. Un éditeur qui branche un modèle sur les tickets pendant un week-end et le découvre au premier audit d'un grand compte perd bien plus de temps qu'il n'en a gagné.

Le brouillon assisté avant le robot autonome

Pour un éditeur de moins de cinquante personnes, l'ordre de déploiement qui marche est presque toujours le même, et il est contre-intuitif : commencez par assister vos agents, pas par remplacer la première ligne. L'assistant lit le ticket, retrouve les passages pertinents de votre documentation, propose un brouillon de réponse avec les liens, et l'agent envoie après relecture. Vous gagnez la moitié du temps de traitement, vous ne prenez aucun risque de réponse fausse envoyée seule, et surtout vous mesurez : chaque correction que fait l'agent vous dit exactement où votre documentation est trouble.

Le robot en autonomie sur le canal public vient après, quand trois conditions sont réunies : votre base d'aide est à jour, l'assistant ne répond que sur elle, et il passe la main dès qu'il ne trouve pas. Un déflecteur honnête qui répond à 30 % des demandes et transfère proprement les 70 % restantes vaut mieux qu'un bavard qui répond à tout. Mesurez deux chiffres et deux seulement : la part de conversations résolues sans intervention humaine, et la part de conversations reprises par un humain après un échange raté. Le second chiffre est celui que personne ne publie et c'est le seul qui compte. Le fonctionnement de ces briques est décrit dans notre article sur les agents IA, et la méthode générale du poste dans celui sur l'IA au service client.

Un dernier usage, discret et très rentable chez un éditeur : la synthèse hebdomadaire des tickets. Regrouper les demandes de la semaine par thème, sortir les cinq sujets les plus fréquents et les rapprocher de la feuille de route est un travail que personne n'a le temps de faire à la main, et c'est la meilleure source d'idées produit qui existe. Même mécanique que celle de notre article sur les comptes rendus automatiques, appliquée à une file de tickets. Si vos utilisateurs s'expriment aussi en public, la logique de réponse aux avis est traitée dans notre article sur les avis clients.

Le garde-fou : un ticket n'appartient pas à votre entreprise

Quatre règles pour le support, à écrire une fois et à afficher. Un ticket contient les données de votre client et souvent celles de ses propres clients : il ne se colle pas dans un compte personnel, il ne sert pas d'exemple dans une démonstration, et il n'entraîne aucun modèle sans base contractuelle. Aucune réponse générée ne contient d'engagement : délai de correction, date de livraison d'une fonctionnalité, geste commercial, remboursement, interprétation d'une clause du contrat. Aucune réponse n'invente de contournement technique : si la documentation ne décrit pas la manipulation, l'assistant passe la main. Et toute réponse envoyée à un client engage l'entreprise, quel que soit l'outil qui l'a rédigée.

Une précision de vocabulaire pour finir, parce qu'elle a des conséquences. Le règlement européen sur l'IA ne traite pas de la même façon celui qui fournit un système et celui qui l'utilise : les déployeurs assurent la surveillance humaine, les fournisseurs doivent notamment disposer d'un système de surveillance après commercialisation. Tant que vous utilisez un assistant en interne, vous êtes du côté de l'utilisateur. Le jour où vous intégrez une brique d'IA dans votre produit et où vous la vendez sous votre marque, la question de votre qualification se pose sérieusement, et elle vaut une heure avec votre conseil. Les usages qui basculent en haut risque sont listés dans notre article sur les usages à haut risque de l'annexe III : la plupart des fonctionnalités d'un logiciel de gestion n'y figurent pas, mais le tri de candidatures, la notation de personnes et l'évaluation de solvabilité y figurent, et beaucoup d'éditeurs en vendent sans le savoir.

Quatre semaines pour installer la méthode, sans ralentir les livraisons

Un éditeur n'a pas besoin d'un projet de transformation, il a besoin que la prochaine livraison sorte avec sa documentation. La seule installation qui tient est celle qui se glisse dans un rythme existant, celui des sprints, avec une mesure avant et après. Une demi-journée par semaine pendant quatre semaines suffit.

Semaine 1 : mesurer la dette de contenu. Trois chiffres, pas plus. Le nombre de pages d'aide dont la dernière vérification remonte à plus de six mois. La part des tickets du mois dernier dont la réponse existait déjà quelque part par écrit. Le délai médian de première réponse au support. Ajoutez la liste des fonctionnalités livrées cette année sans page d'aide : elle fait toujours mal, et c'est le but. Sans ces chiffres, aucun calcul de retour ne sera honnête dans six mois, comme le rappelle notre article sur le retour sur investissement de l'IA en PME.

Semaine 2 : écrire la frontière. Une page. Ce qui ne sort jamais de l'entreprise (données clients, secrets d'exploitation, dépôts privés), la règle des libellés et des valeurs jamais générés, l'interdiction d'un engagement dans une réponse de support, la règle de qualification des vulnérabilités, et la position sur les sous-traitants ultérieurs. Cette page se montre à un prospect qui remplit son questionnaire sécurité, et elle vous fait gagner un cycle de vente entier.

Semaine 3 : construire la source de vérité. C'est l'investissement qui rapporte le plus longtemps. Un gabarit de page d'aide, un gabarit de note de version à trois blocs, un gabarit d'avis de sécurité, un glossaire produit qui fixe le nom officiel de chaque objet de votre logiciel (c'est le document le plus sous-estimé d'un éditeur : sans lui, trois personnes appellent la même chose de trois façons et votre assistant héritera de la confusion), et la liste à jour de vos sous-traitants. À partir de là, un contenu se compose au lieu de s'écrire.

Semaine 4 : passer une vraie livraison à la méthode et nommer un responsable. Prenez la prochaine version, produisez sa documentation depuis la spécification, sa note de version depuis le journal des commits, et faites exécuter chaque procédure par quelqu'un qui ne l'a pas développée. Mesurez le temps, gardez les corrections : elles nourrissent vos gabarits. Puis désignez la personne qui tient la page de règles et répond aux questions. Dans un éditeur de trente personnes, c'est un rôle de deux heures par mois, décrit dans notre article sur le référent IA. Sans ce rôle, l'usage retombe en six semaines et vous aurez juste ajouté un abonnement.

Quatre semaines, une demi-journée par semaine

L'ordre d'installation chez un éditeur de logiciel, l'outil n'arrive pas en premier

Quatre semaines, une demi-journée par semaine L'ordre d'installation chez un éditeur de logiciel, l'outil n'arrive pas en premier 1. undefined undefined 2. undefined undefined 3. undefined undefined 4. undefined undefined

Source : Méthode 8 Academy, appuyée sur les obligations du règlement (UE) 2024/2847 applicables à partir du 11 septembre 2026

Le glossaire produit de la semaine 3 est le poste le plus sous-estimé. Tant que trois personnes nomment la même chose de trois façons, aucun assistant ne produira un contenu cohérent.

L'obligation de compétence, elle, est déjà là

Une obligation que beaucoup d'éditeurs découvrent tard, alors qu'elle est applicable depuis février 2025 : le règlement européen sur l'IA demande aux organisations qui déploient ces systèmes de veiller à un niveau suffisant de maîtrise de l'IA chez les personnes qui les utilisent pour leur compte. Ce n'est pas une certification à acheter, c'est une compétence à démontrer, et elle se démontre par des traces : une page de règles, une session d'une heure, une liste de présence. Le détail est dans notre article sur la formation obligatoire à l'IA. Pour un éditeur, cette exigence a un effet secondaire utile : elle vous force à écrire ce que vous faites, ce qui est précisément ce que vos clients grands comptes vous demanderont au prochain audit.

Ce que vous obtenez au bout de quatre semaines n'est ni une documentation parfaite ni un support entièrement automatisé. C'est plus modeste et plus solide : chaque livraison sort avec sa page d'aide et sa note de version à trois blocs, les procédures publiées ont été exécutées par quelqu'un, les tickets répétitifs reçoivent une réponse appuyée sur un contenu à jour, le questionnaire sécurité du prochain grand compte se remplit en deux heures au lieu de trois semaines, et vous avez une trace datée de ce que vous avez publié et quand. La logique d'ensemble du poste est reprise dans notre parcours service client, la question de la rédaction elle-même dans notre article sur l'IA et la rédaction. Le reste est une affaire de régularité : chez un éditeur, ce qui n'entre pas dans la définition de « terminé » n'est jamais fait.

À retenir

Chez un éditeur de logiciel, l'IA ne remplace ni votre produit ni votre première ligne de support : elle tient la cadence du contenu qui se périme à chaque livraison, la documentation, les notes de version et les brouillons de réponse, à partir d'une source de vérité qui reste la vôtre. Aucun libellé, aucune valeur, aucun numéro de version et aucune qualification de vulnérabilité ne sort d'un modèle. Deux échéances à connaître : le signalement des vulnérabilités activement exploitées sous 24 heures à partir du 11 septembre 2026, et l'obligation de dire à un utilisateur qu'il parle à une machine, applicable depuis août 2026.

Questions fréquentes

Peut-on rédiger la documentation d'un logiciel avec l'IA ?+
Oui, à une condition de méthode : le modèle ne doit jamais être la source de l'information, seulement sa mise en forme. Vous lui fournissez la spécification interne, la description des écrans et les libellés exacts des boutons et des champs ; il produit la page structurée, la procédure numérotée et les cas particuliers. Il ne doit inventer aucun nom de paramètre, aucune valeur par défaut, aucune limite chiffrée : demandez-lui d'écrire « à compléter » avec la question précise plutôt que de deviner. Et la page ne se valide pas en la lisant : elle se valide en exécutant la procédure sur un compte de test, par une personne qui n'a pas développé la fonctionnalité.
Qu'est-ce qui change le 11 septembre 2026 pour un éditeur de logiciel ?+
C'est la date à laquelle s'appliquent les obligations de déclaration du règlement européen sur la cyberrésilience, le règlement (UE) 2024/2847. Les fabricants de produits comportant des éléments numériques doivent signaler les vulnérabilités activement exploitées et les incidents graves affectant la sécurité de leurs produits, avec une alerte précoce dans les 24 heures et une notification dans les 72 heures suivant la prise de connaissance, via la plateforme unique de signalement de l'agence européenne de cybersécurité, qui diffuse aux centres nationaux de réponse aux incidents, le CERT-FR en France. Les obligations principales du texte, elles, s'appliquent à partir du 11 décembre 2027.
Comment automatiser les notes de version sans raconter n'importe quoi ?+
Séparez les trois lecteurs, c'est ce qui rend l'exercice mécanique. L'utilisateur veut savoir ce qui change dans son écran, en deux lignes formulées comme une tâche. L'administrateur veut savoir ce qui casse : actions requises avant mise à jour, ruptures de compatibilité, ordre des opérations, retour arrière. Le responsable sécurité veut une liste factuelle des correctifs, la version qui corrige et la conduite à tenir. La matière première est votre journal des commits et vos tickets fermés : c'est une transformation, pas une création. Interdiction absolue en revanche de laisser un modèle produire un numéro de version, un identifiant de vulnérabilité ou un niveau de gravité.
Un robot de support doit-il annoncer qu'il n'est pas humain ?+
Oui. Les règles de transparence du règlement européen sur l'IA s'appliquent depuis août 2026, et le principe posé par la Commission européenne est qu'une personne doit être informée qu'elle interagit avec une machine afin de pouvoir décider en connaissance de cause. En pratique, cela se traite en une demi-journée : une phrase d'accueil sans ambiguïté, un moyen visible et permanent de demander un humain, et une mention dans vos conditions et votre politique de confidentialité. Ce n'est pas un handicap commercial : les utilisateurs pardonnent une réponse imparfaite d'un robot annoncé, et ne pardonnent pas de s'être crus face à une personne.
Brancher une IA sur les tickets de support pose-t-il un problème RGPD ?+
Cela ajoute un sous-traitant ultérieur dans une chaîne qui ne vous appartient pas, puisque les tickets contiennent des données de vos clients et souvent de leurs propres clients. Selon vos contrats, deux régimes existent : avec une autorisation générale, vous devez informer préalablement et par écrit chaque client du changement, en précisant les activités concernées, l'identité du nouveau prestataire et les dates du contrat, et lui laisser un délai pour s'y opposer ; avec une autorisation spécifique, il faut son accord écrit préalable pour chaque nouveau prestataire. Dans les deux cas, vous restez pleinement responsable devant votre client de ce que fait ce prestataire. Relisez donc vos contrats avant de brancher quoi que ce soit, tenez une liste publique de vos sous-traitants et prévenez avant, pas après.
Faut-il commencer par un robot de support ou par assister les agents ?+
Par assister les agents, dans presque tous les cas en dessous de cinquante personnes. L'assistant lit le ticket, retrouve les passages pertinents de la documentation et propose un brouillon avec les liens ; l'agent relit et envoie. Vous gagnez la moitié du temps de traitement, vous ne risquez aucune réponse fausse envoyée seule, et chaque correction faite par l'agent vous indique où votre documentation est trouble. Le robot autonome vient ensuite, quand votre base d'aide est à jour, qu'il ne répond que sur elle et qu'il passe la main dès qu'il ne trouve pas. Mesurez alors deux chiffres : la part de conversations résolues sans humain, et la part reprises par un humain après un échange raté.
Un éditeur qui met de l'IA dans son produit devient-il fournisseur au sens de l'AI Act ?+
La question mérite une heure avec votre conseil, car le règlement n'impose pas les mêmes obligations à celui qui fournit un système et à celui qui l'utilise : le déployeur assure la surveillance humaine, le fournisseur doit notamment disposer d'un système de surveillance après commercialisation. Tant que vous utilisez un assistant en interne, vous êtes du côté de l'utilisateur. Le jour où vous intégrez une brique d'IA dans votre produit et où vous la vendez sous votre marque, votre qualification change de nature. Vérifiez aussi si la fonctionnalité tombe dans les usages à haut risque : le tri de candidatures, la notation de personnes ou l'évaluation de solvabilité en font partie, et beaucoup de logiciels de gestion en proposent sans que l'éditeur y ait pensé.
Combien de temps faut-il pour installer tout cela dans un éditeur de trente personnes ?+
Une demi-journée par semaine pendant quatre semaines, sans ralentir les livraisons. Semaine 1, mesurer la dette de contenu : pages d'aide non vérifiées depuis plus de six mois, part des tickets dont la réponse existait déjà par écrit, délai médian de première réponse. Semaine 2, écrire la frontière sur une page. Semaine 3, construire la source de vérité : gabarits de page d'aide, de note de version et d'avis de sécurité, glossaire produit et liste des sous-traitants. Semaine 4, passer une vraie livraison à la méthode et nommer le référent qui tient les règles. Le point de bascule n'est pas l'outil, c'est le jour où la documentation entre dans votre définition de « terminé ».