Réserver 30 minutes

Accueil / Pour qui / Fondateur ou CTO de startup ou de scale-up IA

Construire votre produit IA en tenant compte du RGPD, de l'AI Act, de NIS2 et du CRA

Données et IASécurité du produitSouverainetéSobriété

Ces obligations peuvent arriver en même temps, au moment d'une levée ou d'un premier gros client. Je vous aide à prendre tôt les bonnes décisions d'architecture, 2 à 4 jours par mois.

Réserver 30 minutes →Faire l'Estime de mon produit
Ce que vous vivez

Les tensions, et ce que j'apporte.

La conformité semble pouvoir attendre

Puis tout arrive au même moment : levée de fonds, gros client, échéance du CRA en 2027.

Ce que j'apporteOn prend tôt les quelques décisions qui coûteraient une refonte plus tard.
Plus on attend, plus la correction coûte

Une fois les données réparties dans plusieurs services, changer d'hébergement ou de fournisseur de modèle oblige à reprendre l'architecture.

Un produit codé vite, avec l'IA, qui doit maintenant tenir en production : le MVP santé à industrialiser. Avant de choisir un hébergement : ce que le CLOUD Act change pour des données de santé.

Ce que j'apporteOn regarde maintenant, avec votre équipe, les choix difficiles à défaire : hébergement, stockage des données, fournisseur de modèle.
La facture d'IA augmente

Chaque requête d'IA a un coût, et la facture grossit avec les utilisateurs.

Ce qui fait grimper cette facture, et comment j'en trouve la cause : la facture d'IA qui dérive. Si c'est la qualité des réponses qui pose problème : le RAG lent ou qui répond à côté.

Ce que j'apporteJe vous aide à choisir le modèle, l'hébergement et la mise en cache qui gardent cette facture sous contrôle.
Les investisseurs posent des questions

Due diligence, questionnaires de sécurité : il faut des réponses documentées.

Ce que j'apporteJe vous aide à documenter la gouvernance technique : registre des traitements, politique IA, sécurité.
Référence · laboratoire Serenaid · système IA en production · depuis 2026

Un système IA en production, dont je pilote seul la partie technique.

Serenaid est un système IA pour les parents d'enfants neuroatypiques. J'en suis co-fondateur et j'en pilote seul la partie technique. Les choix d'architecture que je vous propose, je les ai faits ici.

  • Architecture : En production : un orchestrateur et un RAG hybride vecteur/graphe. Dans la chaîne de développement : 41 agents et 797 exigences outillées.
  • Graphe de connaissance : structuré par une ontologie, qui relie les informations entre elles
  • Souveraineté : Hébergement Scaleway, inférence embarquée, aucun service américain dans la chaîne : une chaîne française de bout en bout.
  • Conformité suivie en continu : 9 agents d'audit et 797 exigences et critères suivis en continu, dont RGESN, HDS, RGPD et éthique IA ANS.
Voir le laboratoire →Toutes les références →
SouverainetéDonnées et inférence en France, hébergement Scaleway, aucun service américain.
SobriétéInférence embarquée, calcul dimensionné au besoin.
Sport, bien-être, objets connectés

Où commence la santé, pour une app qui n'en fait pas ?

Une app de sport ou de bien-être entre dans les textes de santé par une fonctionnalité : l'import d'une montre, un score de récupération, un conseil personnalisé, une allégation dans une publicité. Chaque texte a sa propre frontière, et une fonctionnalité peut en croiser plusieurs. Je les passe en revue avec vous, fonctionnalité par fonctionnalité, avant le lancement.

RGPD, art. 9
Le nombre de pas seul n'est pas une donnée de santé. Croisé avec le poids ou les apports caloriques, il le devient (CNIL).
HDS
En principe non. La question se pose dès qu'un programme de prévention ou un professionnel de santé entre dans le produit. Ce que HDS demande au logiciel.
Dispositif médical
La finalité revendiquée décide. Une allégation comme « détecte une arythmie » suffit.
Data Act
Recevoir les données d'une montre à la demande de l'utilisateur fait de votre app un destinataire de données, avec ses propres obligations.
EHDS, art. 47
Revendiquer l'interopérabilité avec un dossier médical impose un étiquetage.

Limite : quand la qualification engage le produit (allégation médicale, statut de dispositif médical), elle se confirme avec un juriste ou l'organisme notifié. Je prépare le dossier technique, je ne remplace pas cette validation.

Faire l'Estime de mon app →Réserver 30 minutes
Offres adaptées

Par où commencer.

Audit et diagnostic · 15 à 30 jours

Sonar

Avant une certification, une levée de fonds ou une refonte : l'état réel de votre produit, en architecture, performance, consommation et conformité. Je lis le code et la documentation, avec des mesures quand le cas le demande, puis on construit avec votre équipe un plan d'action qu'elle reconnaît comme le sien.

  • Rapport d'audit
  • cartographie technique
  • mesures et profilage quand le cas le demande
  • préconisations actionnables priorisées
Voir Sonar →Format d'entrée · 5 joursSonar Express →Prix fixe, affiché : quelles règles s'appliquent à votre produit, et où vous en êtes.
CTO partagé ou adjoint · 2 à 4 jours par mois

Cap

Votre CTO est seul, ou des choix techniques attendent d'être tranchés. Un CTO expérimenté vient à ses côtés 2 à 4 jours par mois, sans recrutement. Il aide à trancher les choix d'architecture, de performance et de coût, prépare la partie technique de vos certifications en complément de votre auditeur, et monte vos dossiers R&D et CII/CIR.

  • Arbitrages d'architecture
  • part produit des certifications
  • accompagnement des équipes
  • dossiers R&D et CII/CIR
Voir Cap →
Expertise ponctuelle · 5 à 10 jours

Écoute

Cinq à dix jours sur un problème précis : une application lente que personne ne reproduit, une batterie qui se vide, une facture d'hébergement ou d'IA qui dérape, une architecture IA à trancher, une certification bloquée. J'audite le code, l'architecture et l'infrastructure avec votre équipe, je pars de l'état réel de vos parcours, mesuré avec elle, je trouve la cause et j'aide l'équipe à la corriger.

  • Cause identifiée et démontrée
  • correctif avec l'équipe ou note technique de décision
  • transfert de méthode et de contexte
Voir Écoute →
Missions

Des situations proches, déjà traitées.

Avant Tropis, ces missions ont été menées chez Greenspector. Serenaid est mon laboratoire.

Chez GreenspectorBanque en ligne française, grand groupe bancaire

Performance de l'application mobile

Refonted'hybride vers natif, risques mesurés et arbitrés au Comex

Ce que j'ai faitMesure et profilage, entretiens avec les équipes, plan d'action, support pour le Comex

Chez GreenspectorDGA · Atos · Auxylium

Communications sécurisées en situation critique

11 hd'autonomie du terminal après correction des points chauds, en environnement opérationnel contraint

Ce que j'ai faitMesure des consommations, audit des requêtes réseau, préconisations actionnables

LaboratoireSerenaid · laboratoire

Système IA en contexte santé, chaîne française

9 agents d'audit et 797 exigences et critères suivis en continu, dont RGESN, HDS, RGPD et éthique IA ANS.

Ce que j'ai faitCo-fondateur Serenaid, je pilote seul la partie technique, de l'architecture aux contrôles automatiques à chaque version.

Chez GreenspectorINRIA · PowerAPI

Mesure logicielle de l'énergie, serveur et PC

Passage de la mesure matérielle à la mesure logicielle

Ce que j'ai faitMise en place de PowerAPI, connexion à un framework de test Selenium, validation du concept

Chez GreenspectorFédération Française des Télécoms

Consommation des services numériques vidéo

−50 %de données réseau à l'échelle nationale · étude FFT x I Care présentée devant l'ARCEP et l'ADEME, mars 2026

Ce que j'ai faitAnalyse des moyens de mesure et des écarts entre éditeurs vidéo, rapport destiné à la presse

Ce que cette offre ne couvre pas

Cap est un CTO partagé de 2 à 4 jours par mois. Il ne remplace pas un CTO à plein temps, et je ne prends pas de régie longue.

Questions fréquentes
Notre app de sport ou de bien-être relève-t-elle de la santé ?

Pas par défaut. Elle y entre par ses fonctionnalités : des données croisées (poids, cardio, sommeil), une finalité revendiquée, l'import d'un objet connecté. La section « Sport, bien-être, objets connectés » détaille la frontière texte par texte.

L'accessibilité nous concerne-t-elle ?

Oui si votre système d'IA est à haut risque : l'article 16 de l'AI Act renvoie aux exigences européennes d'accessibilité. Et si vous vendez en ligne au grand public, l'European Accessibility Act s'applique depuis juin 2025, hors microentreprises.

La conformité n'est pas notre priorité avant le product-market fit.

Le cadrage ne demande pas de tout instruire. Il fixe les quelques décisions d'architecture qui coûteraient une refonte si elles étaient prises plus tard.

Signez-vous un accord de confidentialité ?

Oui, je le propose dès le premier échange. Mon poste de travail et mon serveur sont évalués selon EBIOS Risk Manager et le guide d'hygiène de l'ANSSI, écarts suivis dans un plan de traitement, et vos documents restent chez un éditeur français, hébergés en France. Détail sur la page Confidentialité.

Rendez-vous · 30 minutes · visio

On en parle ?

Un premier appel de 30 minutes, en visio. Vous me présentez votre produit et votre problème. Je vous dis si je peux vous aider, et comment.

TÉLÉPHONE+33 6 63 09 06 90MAILolivier.philippot@tropis.frCONFIDENTIALITÉNDA dès le premier échange, outillage européen →
inLinkedInMProfil Malt