Documentation

Auditer un workflow n8n — la conformité de vos automatisations IA

Vos workflows n8n appellent des LLM, des SaaS et des API sans que personne n'ait cartographié ce qui y circule. Exportez le workflow, obtenez un aperçu gratuit, puis approfondissez brique par brique. n8n uniquement, et nous disons pourquoi.

Dernière mise à jour :

Le problème que personne ne regarde

Un workflow d'automatisation, c'est la partie de votre système IA que vous avez construite sans écrire de code. Un déclencheur, un appel à un modèle, un enrichissement via une API tierce, une écriture dans un outil métier. Chaque brique avait sa raison le jour où vous l'avez ajoutée.

Personne ne l'audite. Les scanners de sécurité lisent du code source — un workflow n'en a pas. Les plateformes de conformité vous font remplir des questionnaires — elles ne savent pas ce que votre workflow appelle réellement. Et pourtant c'est souvent que les données sortent de l'Union, que des données personnelles atterrissent chez un modèle, ou qu'un contenu part sans être marqué.

Ce que fait l'Auditeur de Workflows

Vous exportez votre workflow depuis n8n (un fichier JSON), vous le déposez, et il devient un nœud de votre carte du système IA — comme un SaaS ou un agent.

L'analyse se fait en deux niveaux, et vous décidez entre les deux.

Niveau 1 — l'aperçu, gratuit

Déterministe : aucun modèle de langage n'intervient. Il lit la structure de votre workflow et vous rend, sans rien vous facturer :

  • la liste des services que votre workflow appelle réellement ;
  • ceux qui sont hors Union européenne ;
  • les briques qui traitent visiblement des données personnelles ;
  • un premier score, et ce qui le compose.

Cet aperçu suffit souvent à découvrir ce qu'on ne savait pas. Il ne demande pas de compte payant.

Niveau 2 — l'approfondissement, brique par brique

Vous choisissez d'aller plus loin. Chaque brique est alors auditée pour elle-même : politique de confidentialité du service appelé, localisation effective des traitements, sous-traitants, engagements contractuels, et ce que la brique fait de vos données.

Vous ne payez que les briques neuves. Le détail du prix et de ce qui est compté est sur la page des tarifs — nous ne le recopions pas ici pour qu'il n'existe qu'à un seul endroit, et qu'il ne puisse pas se périmer dans un coin de la documentation.

Trois règles qui gouvernent ce que vous payez :

  • une brique déjà auditée n'est jamais refacturée. Elle vient de votre bibliothèque privée : si deux de vos workflows appellent le même service, le second le reprend gratuitement ;
  • une brique qui échoue n'est pas facturée. Si un service bloque notre collecte ou ne répond pas, vous ne payez pas pour un résultat qu'on n'a pas produit ;
  • cet approfondissement ne consomme pas le quota de votre abonnement. C'est une dépense à part, décidée au coup par coup — y compris sans abonnement.

Et si une brique échoue alors que d'autres ont abouti, l'analyse se conclut quand même : vous payez ce qui a réussi, vous obtenez le score de ce qui a réussi, et vous n'êtes pas coincé avec une analyse ni payable ni clôturable.

🔴 n8n uniquement — et pourquoi nous le disons ainsi

Nous ne prenons en charge que les exports n8n. Pas Make, pas Zapier, pas Power Automate.

Si vous déposez l'export d'une autre plateforme, il est refusé immédiatement, avec un message qui dit pourquoi. Aucune analyse n'est lancée, rien ne vous est facturé.

Nous préférons ce refus net à une analyse approximative. Chaque plateforme décrit ses connexions dans un format différent : deviner produirait une carte plausible et fausse — sur un livrable daté et scellé, ce serait le pire des services à vous rendre.

Les autres plateformes ne sont pas annoncées comme « bientôt » : elles ne le sont pas.

Ce qui sort

  • votre carte enrichie : le workflow et chacune de ses briques, avec leur score et leur juridiction ;
  • un rapport scellé — empreinte SHA-256 chaînée, signature Ed25519, horodatage par un tiers indépendant (RFC 3161) ;
  • les dossiers de votre choix, générés depuis cette carte : registre Art. 30, AIPD, fiche Art. 50, dossier assureur… selon votre plan.

Ce que ça ne fait pas

  • Aucune modification de votre workflow. Nous lisons son export, nous ne nous connectons pas à votre instance n8n et nous ne touchons à rien.
  • Aucune certification. Nous documentons ce que nous avons constaté ; la lecture et la signature restent à vous, à votre DPO ou à votre avocat.
  • Aucun jugement de légalité. Le score vous donne de quoi décider en conscience — il ne dit pas que vous avez le droit.

Et ensuite