TL;DR : Buildwise pousse l'IA dans la construction belge depuis son édition thématique de mai 2026 et propose son propre assistant, Tooli, en insistant sur un point simple : tous les outils ne traitent pas de la même façon les informations qu'on leur soumet. Traduit côté bureau d'études, cela donne trois constats. Les données de coordination contiennent presque toujours des données personnelles, donc du RGPD. Les marchés publics belges et luxembourgeois imposent des clauses de confidentialité que personne ne relit avant de coller un extrait de maquette dans un chatbot. Et la seule réponse solide reste un serveur intermédiaire qui cloisonne les appels, pas une promesse commerciale sur une page produit.
Que dit réellement Buildwise sur l'IA et la sécurité des données ?
Buildwise, l'ex-CSTC fondé en 1959, a consacré à l'intelligence artificielle une édition thématique complète de son magazine en mai 2026, sous le titre La construction se met à l'IA. Le centre y documente des cas d'usage déjà testés dans le secteur : reconnaissance automatique de défauts, suivi d'avancement de chantier, détection de situations dangereuses. La ligne éditoriale est nettement favorable à l'adoption, ce qui est cohérent avec sa mission d'innovation.
Sur la question des données, Buildwise ne publie pas de guide de sécurité informatique, mais son positionnement est lisible. Le centre a développé Tooli, un assistant IA dédié au secteur dans lequel les informations soumises sont annoncées comme sécurisées, accessible en essai gratuit aux membres. Et le message transversal qui accompagne ces publications tient en une phrase : vérifiez la sécurité des données, parce que tous les outils ne traitent pas les informations saisies de la même manière.
C'est un signal, pas un mode d'emploi. Buildwise dit qu'il faut vérifier, il ne dit pas comment câbler une architecture propre dans un bureau d'études de quinze personnes. La suite de cet article est mon analyse terrain de coordinateur BIM, pas une position du centre.
Quel est le risque concret quand on envoie des données de projet dans un LLM public ?
Il y a trois familles de risques, et elles sont régulièrement sous-estimées par les équipes AEC parce qu'aucune des trois ne produit d'alerte visible au moment de la faute.
Le premier risque est réglementaire. Le règlement 2016/679 s'applique dès que les données traitées incluent des informations sur des personnes physiques, ce qui est le cas courant en coordination : coordonnées des intervenants, noms dans les commentaires BCF, données de chantier géolocalisées. Transmettre ces données à un service cloud public sans accord de traitement conforme est une violation potentielle, avec une notification à l'autorité de contrôle sous 72 heures prévue à l'article 33 et un plafond de sanction fixé à 20 millions d'euros ou 4 % du chiffre d'affaires mondial par l'article 83.
Le deuxième risque est contractuel. Sur les marchés publics luxembourgeois et belges, les contrats de coordination BIM comportent presque systématiquement des clauses de confidentialité sur les données de projet. Injecter un plan de structure, un extrait de maquette ou un tableau de données GID dans une instance publique peut violer ces clauses sans que personne dans l'équipe ne s'en rende compte, et sans qu'aucun outil ne le signale.
Le troisième risque touche la valeur industrielle des données. Les modèles détaillés de structure et de réseaux techniques, avec leurs coordonnées précises et leurs métrés, ont une valeur commerciale réelle pour un concurrent. Les instances grand public non cloisonnées ne garantissent pas que ces contenus resteront hors des jeux d'entraînement de modèles futurs accessibles à des tiers.
Quelles architectures permettent de cloisonner les appels LLM ?
Deux niveaux de réponse existent, et le bon choix dépend surtout de la maturité informatique de la structure.
L'approche minimale consiste à passer par les API payantes plutôt que par les interfaces web grand public, après avoir lu les conditions du fournisseur sur la conservation des données et l'exclusion de l'entraînement. Les principaux acteurs documentent une politique de non-entraînement sur leurs offres API, mais cette politique se vérifie dans leurs conditions contractuelles, jamais dans un article de blog ni dans un argumentaire commercial. Cette approche coûte peu et se met en place en une journée.
L'approche robuste ajoute un serveur intermédiaire, un proxy, entre vos postes et le fournisseur d'inférence. Les données de projet transitent par une infrastructure que vous contrôlez, où vous décidez ce qui sort, ce qui est filtré, qui est authentifié et ce qui est journalisé. C'est plus lourd à mettre en place, et c'est la seule configuration qui vous laisse une réponse technique à donner le jour où un maître d'ouvrage vous demande où sont parties ses données.
Comment BIMsmarter a implémenté cette approche ?
C'est l'architecture retenue pour l'ensemble des applications BIMsmarter. Un proxy PHP hébergé sur une infrastructure indépendante gère tous les appels au modèle : il authentifie l'utilisateur, applique les quotas, filtre les requêtes et porte le prompt système côté serveur, jamais côté navigateur. Aucune clé d'API ne circule dans le code exécuté par le poste client.
L'inférence est confiée à TensorX, un fournisseur européen dont les centres de données sont situés à Dublin, Helsinki et Paris, avec une politique de rétention nulle à chaque requête. Les données saisies dans les applications ne servent donc pas à entraîner un modèle tiers, et elles ne quittent pas l'espace européen. Le compte gratuit donne accès aux quatre outils avec 20 requêtes IA par jour et 250 par mois, ce qui suffit largement à tester la chaîne sur un cas réel avant d'engager quoi que ce soit.
Concrètement, si vous utilisez le GID Assistant, le Workflow Generator ou l'IFC Viewer & Audit, vos requêtes passent toutes par ce proxy. Ce n'est pas une certification de sécurité, et je me garde bien de la présenter comme telle. C'est une architecture cohérente avec ce que le secteur commence à exiger, documentée et vérifiable, ce qui est déjà plus que ce que proposent la plupart des outils IA vendus au secteur.
Quelles questions poser à votre outil IA BIM avant de l'utiliser sur un projet ?
Avant de soumettre la moindre donnée de projet réelle à un outil, trois questions suffisent à trier le sérieux du marketing :
- Où mes données sont-elles traitées géographiquement, et combien de temps sont-elles conservées ?
- L'éditeur exclut-il explicitement mes données de l'entraînement de ses modèles, et où est-ce écrit contractuellement ?
- En cas de fuite, qui est responsable, et selon quelle clause ?
Un fournisseur qui répond clairement aux trois mérite votre confiance. Un fournisseur qui esquive, qui renvoie vers une page marketing ou qui répond « nos serveurs sont sécurisés » sans plus de précision vous dit en réalité qu'il n'a pas traité la question.
La prudence sur ce sujet ne doit surtout pas devenir un prétexte à ne pas utiliser l'IA dans les workflows BIM. Les gains de temps sur la production documentaire et le contrôle de maquette sont trop importants pour s'en priver. Elle doit devenir un critère de sélection : entre deux outils aux fonctionnalités comparables, choisissez celui dont vous comprenez l'architecture. Et si l'éditeur n'arrive pas à vous l'expliquer en trois phrases, c'est qu'il n'y en a pas.
À propos de l'auteur.
Renaud Climent est BIM Coordinator MEP, plus de 10 ans de terrain au Luxembourg et en Belgique. Cursus complet CRTI-B (Bases, Référent, Modeleur, Coordinateur), formé Solibri, BIMcollab et Revit MEP, certifié en IA. Fondateur de BIMsmarter.eu, il code ses propres outils pour automatiser les tâches BIM chronophages. Contact : contact@bimsmarter.eu