Confidentialité des données de Superhuman AI, traitement par des LLM tiers et conformité de sécurité pour les entreprises

Pour les équipes de direction, les directeurs de la sécurité des systèmes d'information (RSSI / CISO) et les responsables de la conformité, l'adoption d'un client de messagerie intégrant l'intelligence artificielle générative constitue une décision stratégique. La messagerie électronique demeure le système nerveux de la communication d'entreprise, centralisant contrats confidentiels, prévisions financières, données de paie et correspondances stratégiques. Commercialisé au tarif de 30 dollars par utilisateur et par mois (avec des forfaits sur mesure pour les entreprises), Superhuman se positionne comme une suite de productivité d'élite. Néanmoins, l'introduction de grands modèles de langage (LLM) tiers au cœur des échanges d'entreprise soulève des questions de conformité immédiates.

Superhuman y répond en articulant une architecture de cache local (Local-First), un accord d'entreprise de rétention zéro des données (Zero Data Retention, ZDR) avec OpenAI, une interdiction stricte de l'entraînement des modèles sur les données des clients, ainsi que des audits indépendants incluant SOC 2 Type II, ISO 27001 et les évaluations Google CASA.

1. Architecture fondamentale : Cache local-first contre hébergement centralisé

Une préoccupation fréquente chez les auditeurs informatiques consiste à craindre que Superhuman ne duplique et ne stocke en permanence l'intégralité de l'historique de messagerie d'une organisation sur ses propres serveurs centraux. En réalité, l'architecture logicielle de Superhuman fonctionne comme une surcouche client hautement optimisée au-dessus des messageries existantes (Google Workspace et Microsoft 365).

• Intégration directe via OAuth 2.0 : L'authentification des utilisateurs s'effectue directement auprès de Google ou de Microsoft via des jetons OAuth 2.0 standard. Superhuman ne sollicite que les périmètres d'accès indispensables à la boîte de réception et ne stocke jamais de mots de passe maîtres d'entreprise.
• Moteur de stockage sur le terminal client : Superhuman met en cache les e-mails récents, les index de recherche et les éléments d'interface localement dans le navigateur de l'utilisateur grâce aux technologies de stockage web (IndexedDB, WebSQL et CacheStorage). Le tri, l'archivage, la pose d'étiquettes et la rédaction de brouillons sont d'abord traités dans des files de modification locales (Modifier Queues), puis synchronisés de manière asynchrone avec les API de Google ou de Microsoft.
• Absence de miroir permanent dans le cloud : Contrairement aux services traditionnels de webmail hébergé qui conservent plusieurs années d'archives complètes sur leurs serveurs, le backend de Superhuman relaie les états de synchronisation et les métadonnées sans maintenir de copie perpétuelle de l'ensemble de la boîte aux lettres.

2. Traitement par des LLM tiers : Le mécanisme de rétention zéro des données (ZDR) avec OpenAI

Lorsque les utilisateurs sollicitent les fonctionnalités de Superhuman AI — telles que la rédaction de brouillons avec « Write with AI », la synthèse de fils de discussion avec « Auto Summarize », les propositions de réponses rapides via « Instant Reply » ou les requêtes dans la boîte aux lettres avec « Ask AI » —, les fragments de texte nécessaires sont transmis à des points de terminaison d'inférence externes, principalement opérés par OpenAI.

Le flux d'interaction est encadré par des garanties techniques et contractuelles strictes :

[Client de l'utilisateur / Terminal local]
       │
       ▼ (Chiffrement en transit via TLS 1.3)
[API du backend Superhuman]
       │
       ▼ (Chiffrement TLS 1.3 ; contrat ZDR actif)
[API d'inférence d'entreprise OpenAI]
       │
       └── Traitement du contexte uniquement en mémoire vive (RAM)
       └── Génération de la réponse
       └── Destruction immédiate du prompt et du résultat (ZDR)
       │
       ▼ (Renvoi du texte généré)
[Backend et client Superhuman]

L'engagement de rétention zéro des données (Zero Data Retention)

Dans le cadre de son contrat commercial pour grands comptes avec OpenAI, Superhuman applique une politique de rétention zéro sur les flux d'inférence applicables :

1. Aucun enregistrement sur disque chez OpenAI : Les extraits d'e-mails et les prompts ne résident que dans la mémoire vive volatile (RAM) durant la phase de calcul. Une fois la réponse transmise à Superhuman, OpenAI libère immédiatement la mémoire. Aucun prompt ni contenu généré n'est conservé sur les disques durs d'OpenAI.
2. Interdiction formelle d'entraînement : Les accords contractuels interdisent formellement à OpenAI comme à Superhuman d'exploiter les e-mails, brouillons ou requêtes des clients pour entraîner, affiner ou améliorer des modèles de fondation publics ou des poids d'apprentissage partagés.
3. Chiffrement continu des communications : L'ensemble des transferts vers les infrastructures d'inférence est protégé par le protocole TLS 1.3.

Politiques de conservation sur l'infrastructure de Superhuman selon les fonctionnalités

Bien qu'OpenAI ne conserve aucune donnée dans le cadre du ZDR, l'infrastructure cloud de Superhuman applique des règles de rétention adaptées pour garantir la fluidité d'utilisation :

3. Conformité de sécurité d'entreprise et certifications indépendantes

Pour les comités d'audit et de cybersécurité, les affirmations d'un éditeur doivent être validées par des organismes de contrôle indépendants. Superhuman dispose des attestations de sécurité reconnues sur le marché :

Certifications SOC 2 Type II et ISO 27001

Superhuman fait l'objet d'audits annuels réalisés par des cabinets d'expertise comptable indépendants pour renouveler son attestation SOC 2 Type II, qui certifie l'efficacité des contrôles relatifs à la sécurité (Security), la disponibilité (Availability) et la confidentialité (Confidentiality) sur des périodes d'observation prolongées. L'entreprise est également titulaire de la certification ISO 27001 pour la gestion de la sécurité de l'information.

Évaluation Google CASA (Cloud Application Security Assessment) Tier 2

Dans la mesure où Superhuman nécessite l'accès à des autorisations sensibles de l'API Gmail (Restricted Scopes), Google impose la réussite d'un audit de sécurité annuel mené par un laboratoire tiers agréé. Superhuman a validé l'évaluation Google CASA Tier 2, basée sur la norme OWASP ASVS (Application Security Verification Standard), portant sur :

• Le chiffrement rigoureux et le stockage sécurisé des données sur les postes clients et les serveurs relais.
• Les tests d'intrusion automatisés et manuels prévenant tout accès non autorisé ou escalade de privilèges.
• Les mécanismes vérifiés d'effacement sécurisé des données et la gestion des jetons selon le principe du moindre privilège.

Gouvernance des identités et contrôles pour les administrateurs informatiques

Les forfaits Superhuman Enterprise offrent un ensemble d'outils de gestion adaptés aux exigences de la DSI :

• SAML 2.0 Single Sign-On (SSO) et SCIM : Intégration transparente avec Okta, Microsoft Entra ID (Azure AD), Google Workspace et Ping Identity pour automatiser le provisionnement des comptes, la révocation immédiate lors des départs et l'application de l'authentification multifacteur (MFA).
• Chiffrement avec clé dédiée (BYOK) : Proposé dans certains accords grands comptes pour permettre aux équipes de sécurité de garder la maîtrise cryptographique de leurs données au repos.
• Accord de traitement des données (DPA) avec clauses contractuelles types (CCT / SCCs) : Conformité stricte avec le RGPD européen, définissant les responsabilités juridiques de Superhuman en tant que sous-traitant de données.
• Blocage de l'IA au niveau du réseau d'entreprise : Les administrateurs réseau peuvent interdire l'usage de Superhuman Go / IA en configurant leur DNS interne pour rediriger capi.grammarly.com vers capi-restricted.grammarly.com.
• Désactivation individuelle par l'utilisateur : Chaque collaborateur peut couper les fonctions d'IA générative depuis le menu de commandes (Cmd+K sous macOS ou Ctrl+K sous Windows) en sélectionnant « Deactivate Superhuman AI ».

4. Comparatif de Superhuman AI avec les alternatives de messagerie

Lors des phases d'évaluation technique, les directions informatiques comparent généralement Superhuman AI aux assistants intégrés aux suites bureautiques (Google Gemini pour Workspace, Microsoft 365 Copilot) et aux usages non encadrés d'outils grand public comme ChatGPT ou Claude :

5. Liste de contrôle de sécurité pour l'adoption en entreprise

Avant de valider le déploiement de Superhuman AI auprès des comités de direction ou des équipes commerciales, les CISO et administrateurs informatiques doivent suivre quatre recommandations majeures :

1. Vérifier les clauses de rétention zéro (ZDR) au contrat : Assurez-vous que le contrat d'entreprise mentionne explicitement l'engagement de sous-traitance ZDR avec OpenAI et l'interdiction de tout entraînement sur vos données.
2. Confronter la mise en cache de 90 jours aux politiques internes : Vérifiez que la conservation temporaire chiffrée pendant 90 jours des résumés d'e-mails est conforme à vos règles internes d'archivage et de communication de pièces (e-discovery).
3. Distinguer outil de productivité et archivage réglementaire : Superhuman est un client de messagerie axé sur la vitesse d'exécution, et non un coffre-fort d'archivage légal à valeur probante. Les institutions assujetties à des réglementations financières strictes (telles que FINRA ou SEC Rule 17a-4) doivent maintenir leurs solutions de journalisation et d'archivage (comme Smarsh, Global Relay ou Mimecast) directement au niveau de leur tenant Google Workspace ou Microsoft 365.
4. Imposer le SSO SAML 2.0 couplé à SCIM : Déployez systématiquement l'application via le fournisseur d'identité d'entreprise pour que tout départ de collaborateur révoque immédiatement ses accès et invalide son cache local.

En observant ces bonnes pratiques de gouvernance, les entreprises peuvent mettre la puissance de l'IA générative au service de la productivité de leurs équipes clés, tout en maintenant un niveau irréprochable de sécurité et de conformité des données.

Références

• Superhuman Privacy Policy
• Superhuman Pricing & Plans
• OpenAI Customer Stories: Superhuman