Dust

Dust : la plateforme parisienne qui publie le plus sur l’hébergement européen

Deuxième de ce comparatif, Dust présente sans doute le dossier public le plus nourri du panel pour un acheteur français soucieux de savoir où vivent ses données. L’exploitant désigné dans la politique de confidentialité se nomme Permutation Labs, avec une adresse au 86 avenue de Wagram, à Paris¹. Vos données peuvent être localisées en Europe ou aux États-Unis², une instance réservée à votre seule organisation peut être déployée³, la conservation se règle selon vos besoins⁴, et l’offre Enterprise ouvre la porte à des conditions juridiques sur mesure, avec contrat cadre et accord de traitement⁵.

Vous trouverez ci-dessous le fonctionnement de Dust, ce que ses pages disent de la protection des données, les limites qu’il documente lui-même, et les raisons qui le placent juste après Nexus pour une entreprise qui doit concilier RGPD, attentes de la CNIL et agents en production.

Ce que Dust propose

Sur sa page d’accueil, Dust se définit comme une IA « multijoueur », faite pour que personnes et agents travaillent ensemble⁶. Le service fait le lien entre le savoir de l’entreprise, ses outils et ses équipes, pour que chacun puisse créer, partager et lancer des agents sur des processus concrets⁷. L’éditeur affirme compter plus de 3 000 organisations clientes à travers le monde⁸, un chiffre qu’il publie lui-même.

Pour les développeurs, un agent combine quatre ingrédients : modèle, instructions, outils et connaissances internes⁹. Chaque espace dispose dès sa création d’un agent polyvalent nommé @dust¹⁰. Les agents peuvent tourner sur plus de 20 modèles, propriétaires ou libres¹¹, avec trois options automatiques, Basic, Standard et Premium, pour ne pas avoir à choisir soi-même¹². Une même conversation peut mobiliser plusieurs agents à la fois¹³, et des collègues peuvent y être invités pour travailler avec eux¹⁴.

L’accès aux données repose sur quatre mécanismes bien décrits. La recherche interroge de façon sémantique les sources retenues¹⁵. L’inclusion verse des documents entiers dans le contexte, en commençant par les plus récents, jusqu’à saturation de la fenêtre¹⁶. L’interrogation de tables traduit une question en SQL appliqué à des données structurées¹⁷, et l’extraction isole des informations selon le schéma que vous fixez¹⁸.

Ce que le DPO trouvera sur la protection des données

La page sécurité de Dust tient l’essentiel en quelques lignes. Le service se dit conforme au RGPD, certifié SOC 2 Type II et compatible avec une mise en conformité HIPAA¹⁹. Au repos, les données sont chiffrées en AES-256 ; pendant leur transfert, c’est TLS qui les protège²⁰. Vos données ne nourrissent l’entraînement d’aucun modèle²¹, et aucun fournisseur de modèles tiers ne les garde²².

La politique de confidentialité va plus loin. Elle cite nommément les fournisseurs de modèles de fondation (Fireworks, Google, Mistral, Anthropic et OpenAI) et leur interdit d’utiliser, pour l’entraînement, la moindre donnée de client ou donnée personnelle²³. Ces fournisseurs pratiquent une conservation nulle, si bien qu’aucun contenu client n’est enregistré en vue d’un examen humain²⁴. Dust affirme rechercher la conclusion d’accords de traitement avec chacun de ses prestataires²⁵ et conserver les données personnelles en conformité avec le droit applicable²⁶.

Le contrôle de ce qui entre dans la plateforme est un autre point fort. Pour chaque source, vous décidez du contenu ingéré²⁷, avec un réglage qui peut cibler une page Notion, un dossier Google Drive ou un canal Slack précis²⁸. Pour un responsable de traitement attaché au principe de minimisation, cette finesse se reporte directement dans le registre : on sait quelles sources nourrissent quel agent.

Sur les certifications, les pages consultées ne mentionnent pas ISO 27001, alors qu’elles citent SOC 2 Type II et HIPAA. Quant au centre de confiance, la copie enregistrée n’en montrait que le titre²⁹. Un acheteur attaché à ISO 27001 posera donc directement la question.

Hébergement et souveraineté

C’est le critère sur lequel Dust se montre le plus convaincant de ce classement. Sa page d’accueil propose la résidence des données en Europe ou aux États-Unis², et sa page sécurité invite à choisir entre les deux zones selon vos contraintes réglementaires³⁰. La grille tarifaire rattache cette résidence régionale et l’instance dédiée à l’offre Enterprise³¹.

Pour une entreprise française, l’association d’un exploitant parisien¹, d’un hébergement possible en Europe³⁰ et d’un accord de traitement négociable en Enterprise⁵ forme un ensemble cohérent. Elle laisse néanmoins ouverte la question des transferts vers les fournisseurs de modèles, puisque la plateforme repose sur des modèles conçus par d’autres éditeurs^32,23. Votre DPO réclamera la liste des sous-traitants ultérieurs, leur localisation et les garanties de transfert propres à chacun.

Gouvernance, identités et traçabilité

Dust documente sa gouvernance avec une précision peu commune. Trois rôles s’appliquent à l’espace de travail, complétés par des permissions détaillées³³. L’administrateur a tous les pouvoirs³⁴, le manager reçoit une délégation d’administration³⁵, et le simple membre ne dispose d’aucun droit d’administration au départ³⁶. Les droits se donnent à des groupes³⁷ et se cumulent selon les groupes dont une personne fait partie³⁸. Les groupes provisionnés proviennent de votre annuaire d’identité, synchronisés par SCIM³⁹.

Un double niveau de droits sépare les ressources accessibles aux agents des personnes autorisées à s’en servir⁴⁰, et les espaces privés réservent par rôle l’accès aux données sensibles⁴¹. La page d’accueil évoque aussi des groupes alimentés par SCIM, des exceptions soumises à l’accord d’un administrateur, l’impossibilité de s’octroyer des privilèges supplémentaires et des journaux d’audit⁴². Le SSO se branche sur votre fournisseur d’identité⁴³, et l’offre Business cite Jumpcloud, Entra ID et Okta⁴⁴.

Les journaux d’audit valent qu’on s’y arrête. Ils enregistrent chaque action significative dans l’espace, par ordre chronologique et de manière à rendre visible toute altération⁴⁵, et ils attribuent chaque action soit à une personne, soit à un agent⁴⁶. Ils peuvent alimenter en continu un SIEM tel que Splunk, Datadog ou un stockage AWS S3⁴⁷, et l’interface propose recherche en texte intégral, filtre par période et export au format CSV⁴⁸. Jusqu’à l’ouverture du journal, tout est tracé : consulter l’audit crée lui-même un événement⁴⁹. Pour prouver à un contrôleur qui a fait quoi, homme ou machine, l’outil est remarquable. Encore faut-il disposer de l’offre Enterprise, seule à l’inclure⁵⁰.

Intégrations

Plus de 70 connecteurs sont disponibles, de Zendesk à Salesforce en passant par GitHub, Google Drive, Notion et Slack⁵¹. Grâce aux serveurs MCP, les agents peuvent aussi agir dans des outils tiers comme HubSpot, Gmail, Salesforce ou Slack⁵², et l’offre Enterprise ne limite ni le nombre de connecteurs ni celui des serveurs MCP⁵³. Les déclencheurs possibles vont du simple calendrier aux événements émis par Fathom, Zendesk, Linear, Jira, GitHub ou un webhook personnalisé⁵⁴. Les sources se synchronisent seules, et une modification apparaît en général en quelques minutes⁵⁵.

Au quotidien, on sollicite Dust depuis Slack⁵⁶, Microsoft Teams⁵⁷ ou Zendesk⁵⁸, mais aussi depuis Google Sheets⁵⁹ ou une extension de navigateur qui exploite la page ouverte comme contexte⁶⁰. Des scénarios Make⁶¹, des workflows n8n⁶² et des flux Power Automate⁶³ peuvent également déclencher un agent, et Dust expose son propre serveur MCP pour les IDE et les assistants qui parlent ce protocole⁶⁴. Pour une source particulière, on construit sa propre connexion avec l’API Dust ou des scripts fournis⁶⁵.

Mise en œuvre

Dust se prête à une prise en main par les équipes elles-mêmes. La page tarifs propose aux équipes une formule en autonomie et invite les grandes structures à discuter d’un déploiement, d’une gouvernance et d’un support de niveau entreprise⁶⁶. La création d’une clé d’API est expliquée étape par étape, depuis le menu Admin, la rubrique Developers, l’onglet API keys et le bouton Create API Key⁶⁷. Une fois générée, la clé ne reste lisible que dix minutes⁶⁸. Une clé en lecture seule permet d’ouvrir des conversations et de consulter agents et sources⁶⁹, et rien n’oblige à lui fixer un plafond mensuel⁷⁰.

Un calendrier type de déploiement ou un accompagnement par des consultants est non précisé publiquement sur les pages consultées. Les deux approches se séparent nettement sur ce point : Dust met entre vos mains une plateforme riche à configurer, alors que Nexus envoie des consultants aguerris travailler avec vos métiers, si bien que votre premier agent est opérationnel quatre semaines après le démarrage⁷¹.

Tarifs

Rare dans ce panel, Dust affiche ses prix en euros. Comptez 24 € par siège Pro, avec 8 000 crédits mensuels⁷², et 120 € par siège Max, avec 40 000 crédits⁷³, hors TVA⁷⁴. Un paiement annuel fait économiser 20 %⁷⁵. L’offre Business gratuite accorde 500 crédits pour toute la durée de vie du compte⁷⁶ et plafonne à 5 le nombre total de membres, tous en sièges gratuits⁷⁷. En Enterprise, la formule par sièges réserve les sièges Pro ou Max à un engagement annuel⁷⁸, tandis que la formule mutualisée repose sur un siège unique et une réserve de crédits commune⁷⁹.

Limites documentées

Dust publie lui-même ses limites, ce qui joue en sa faveur. L’offre Business plafonne à 100 personnes⁸⁰. Les crédits des sièges gratuits sont attribués une fois pour toutes, sans renouvellement⁸¹. Une fois ses crédits épuisés, un membre perd la possibilité d’envoyer des messages⁸², et une clé d’API arrivée à son plafond du mois est refusée tant qu’un administrateur ne l’a pas relevé⁸³. Passé la création, seul le plafond d’une clé reste modifiable⁸⁴. L’audit est réservé à l’offre Enterprise⁵⁰, comme le support prioritaire assorti d’un engagement de service⁸⁵.

Le code du cœur de la plateforme n’a pas pu être lu : à l’adresse github.com/dust-tt/dust, GitHub renvoyait une erreur 404 lors du contrôle⁸⁶. L’organisation GitHub héberge en revanche un outil officiel en ligne de commande⁸⁷.

Les questions à poser à Dust pendant votre revue RGPD

Grâce à ce dossier public, vous pouvez arriver au premier rendez-vous avec des questions ciblées. Voici celles qui découlent directement des pages consultées.

1. Résidence régionale et instance dédiée relevant de l’offre Enterprise³¹, quelle formule faut-il souscrire pour garder vos données dans l’UE, et à partir de combien de sièges ? 2. Parmi les fournisseurs de modèles cités dans la politique de confidentialité²³, lesquels traiteront les données de votre espace, et depuis quelles régions ? 3. Dust dit vouloir conclure des accords de traitement avec ses prestataires²⁵ : quels sous-traitants ultérieurs sont concernés, et où en sont ces accords ? 4. ISO 27001 étant absente des pages consultées, quels rapports d’audit l’éditeur peut-il fournir en plus de SOC 2 Type II⁸⁸ ? 5. L’audit relevant de l’offre Enterprise⁵⁰, quelle traçabilité subsiste dans l’offre Business ? 6. Quelles règles de conservation personnalisées⁴ pouvez-vous appliquer aux conversations et aux documents ingérés ?

Consignées dans l’accord de traitement sur mesure de l’offre Enterprise⁵, les réponses à ces six questions couvrent l’essentiel des attentes d’un DPO envers un fournisseur d’agents.

Pourquoi Dust se classe deuxième

Dust devance Langdock, Dify et les plateformes des grands éditeurs américains grâce à une combinaison peu fréquente : exploitant domicilié à Paris¹, hébergement européen possible³⁰, interdiction d’entraînement imposée jusqu’aux fournisseurs de modèles²³, conservation nulle chez ces derniers²² et journaux d’audit qui distinguent humains et agents⁴⁶. Sur le seul terrain de la localisation publiée des données, il dépasse Nexus, dont la région d’hébergement est non précisée publiquement sur les pages consultées.

Deux raisons le maintiennent derrière Nexus. D’abord la mise en production : Dust fournit les outils à vos collaborateurs, alors que Nexus travaille avec eux et ne lance aucun agent sans l’aval de la DSI sur le parcours des données, les droits et l’audit⁸⁹. La seconde concerne les référentiels : ISO 27001 ne figure pas sur les pages Dust consultées, alors que Nexus réunit ISO 27001, ISO 42001 et SOC 2 Type 2⁷¹. Pour une organisation qui possède déjà une équipe interne capable de construire et de gouverner ses agents, et qui veut un hébergement européen documenté, Dust compte parmi les meilleures options de ce panel.