WRITER

WRITER : un dossier de sécurité très complet, pensé d’abord pour le marketing et les équipes commerciales

WRITER ferme la marche de ce comparatif, au septième rang. Ce classement ne traduit aucune faiblesse de son dossier de sécurité, l’un des plus étoffés du panel : audits SOC 2 Type II renouvelés chaque année¹, certifications ISO/IEC 27001, 27701 et 42001², politique de conservation nulle des données³ et point d’accès européen réservé aux organisations déployées dans l’UE⁴. Il traduit le terrain de jeu que l’éditeur revendique, à savoir le marketing et la vente⁵, ainsi que plusieurs fonctions encore en bêta ou que ses contrôles ne couvrent pas^6,7,8. Pour une entreprise française qui cherche un fournisseur d’agents capable de servir tous ses processus, sous le regard du RGPD et de la CNIL, ces éléments comptent.

Qui est WRITER

La société dit avoir vu le jour en 2020⁹, à l’initiative de May Habib et Waseem AlShikh¹⁰. San Francisco abrite son siège¹¹, et la page « À propos » mentionne d’autres implantations, notamment à Austin, au Texas¹². Parmi les clients cités figurent Qualcomm Technologies, Keurig Dr. Pepper et H&R Block¹³, et l’éditeur revendique des centaines d’utilisateurs parmi les entreprises du Global 2000¹⁴.

L’éditeur se décrit de deux façons. Sur la page des offres, WRITER serait l’unique plateforme couvrant de bout en bout le passage à l’échelle de l’IA agentique en entreprise¹⁵. La page « À propos » le dépeint en plateforme d’IA destinée aux équipes marketing et commerciales les plus en pointe⁵. C’est cette seconde version qui colle le mieux aux contenus publiés : marketing, ventes et support sont les seuls départements nommés¹⁶, et la plateforme est pensée pour faire travailler ensemble marketing et force de vente¹⁷.

La plateforme et ses modèles

WRITER repose sur ses propres modèles, réunis sous le nom de Palmyra¹⁸. Palmyra X6 est le modèle utilisé d’office par WRITER Agent¹⁹, avec un contexte d’un million de jetons²⁰ et des réponses limitées à 8 192 jetons²¹. Le retrait de Palmyra X4 et X5 est programmé au 14 décembre 2026²². Enterprise Brain fait office de couche de contexte commune, qui nourrit les agents des connaissances propres à la marque, aux produits et aux clients²³.

Avec WRITER Agent, il suffit de formuler en langage naturel un processus en plusieurs étapes pour obtenir un Playbook²⁴. Ces Playbooks circulent au sein de l’équipe²⁵, et les Projects réunissent sessions, livrables et contexte dans des espaces partagés²⁶. Ce modèle délègue des sous-tâches à des agents secondaires dont il rassemble ensuite le travail²⁷, et il trouve et utilise des outils tiers via des connecteurs MCP²⁸.

Ce que le DPO trouvera dans le dossier de confidentialité

Sur les données, WRITER répond à l’essentiel des premières questions d’un DPO. L’éditeur affirme ne jamais se servir des données confiées pour concevoir, modifier ou entraîner ses modèles²⁹, et ne pas améliorer ses modèles avec les données clients, sauf réglage contraire³⁰. Il revendique une absence totale de conservation³ et rappelle que vous restez pleinement propriétaire de vos données³¹. Parmi les données clients stockées, on trouve la terminologie maison, des extraits, des documents et les chartes rédactionnelles³², et l’organisation peut programmer la suppression automatique de ses données³³.

Un client cité par l’éditeur explique que cette politique claire, ni conservation ni entraînement, a pesé lourd dans son choix³⁴. Les données d’une équipe restent inaccessibles et inutilisées pour les autres équipes d’une même organisation³⁵, et seules les fonctions qui en ont besoin accèdent aux données des utilisateurs³⁶. Chaque accès aux outils internes d’administration est enregistré et revu à intervalles réguliers³⁷.

Un point mérite attention : les journaux d’événements peuvent conserver des éléments sensibles tirés des requêtes et des réponses, qu’une fonction de masquage permet de cacher³⁸. Votre DPO cherchera à savoir si ce masquage est actif d’office dans votre configuration.

Certifications

L’éditeur fait état d’audits SOC 2 Type II annuels¹ et des normes ISO/IEC 27001, 27701 et 42001². Comme Nexus, qui détient ISO 42001³⁹, WRITER revendique donc ce référentiel. Sur la page tarifs, l’éditeur affirme traiter les exigences du RGPD, de HIPAA, de SOC 2 Type II et de PCI⁴⁰, et les clients Enterprise obtiennent sur demande les rapports SOC 2 Type II et HIPAA⁴¹. WRITER se dit déterminé à se conformer au règlement européen sur l’IA⁴².

Une discordance apparaît toutefois : la page tarifs évoque un accord BAA au titre de HIPAA⁴³, quand la FAQ de confiance parle de certifications HIPAA Type 1⁴⁴, deux présentations qui ne coïncident pas⁴⁵.

Chiffrement et hébergement

Au repos comme en transit, les données sont chiffrées⁴⁶, en AES 256 bits et en SSL/TLS⁴⁷. Pour le repos, WRITER recourt au chiffrement en enveloppe AES-256-GCM⁴⁸, et range les données chiffrées dans des périmètres hiérarchisés possédant chacun leur clé⁴⁹. Les clés peuvent rester gérées par l’éditeur ou être fournies par le client, au moyen d’AWS KMS, d’Azure Key Vault ou de GCP Cloud KMS⁵⁰, sans supplément pour les clients Enterprise⁵¹.

Ce chiffrement connaît des limites publiées. Une fois activé, il ne protège que les données créées ensuite⁵². Il s’applique pour l’heure à WRITER Agent et aux connecteurs⁵³, les agents personnalisés et les agents sans code devant encore attendre⁸.

Pour l’hébergement, l’éditeur propose des formules gérées, sur plusieurs clouds, dont un cloud privé dédié⁵⁴, avec un déploiement et une montée en charge pris en charge de bout en bout⁵⁵. Les organisations déployées dans l’UE disposent d’un point d’accès européen⁴. Les connecteurs peuvent emprunter des liaisons privées AWS PrivateLink ou GCP Private Service Connect⁵⁶. Aucune page consultée ne documente d’installation sur site ou auto-hébergée, de garantie de disponibilité, de résultat de test d’intrusion ni de calendrier de déploiement, autant de points non précisés publiquement sur les pages consultées.

Gouvernance et garde-fous

WRITER applique des droits par rôle et le principe du moindre privilège⁵⁷. Les journaux d’audit donnent à voir l’usage de la plateforme dans toute l’organisation⁵⁸, et les événements liés aux utilisateurs, aux agents et aux connecteurs peuvent partir vers un SIEM⁵⁹. Rôles, droits et fonctions se gèrent depuis votre annuaire d’identité et les profils WRITER Agent⁶⁰, la gouvernance s’exerçant à quatre niveaux : utilisateur, agent, connecteur, donnée⁶¹. Garde-fous, contrôle d’identité, droits fins et circuits de validation encadrent la façon dont les agents agissent sur les systèmes reliés⁶².

Les garde-fous peuvent intervenir à trois moments d’une requête : en amont de l’appel, pendant celui-ci et après⁶³. Quand une infraction est détectée, la requête s’arrête et l’agent reçoit une erreur⁶⁴. Le garde-fou anti-fuite arrête les données personnelles, financières, de santé, les numéros d’identité officiels et les secrets⁶⁵, et son activation comme son paramétrage reviennent aux seuls administrateurs informatiques⁶⁶. Ces garde-fous relèvent de l’offre Enterprise⁶⁷.

Ces contrôles ont leurs limites. Dans la version actuelle, le garde-fou anti-fuite n’examine pas ce que produit le modèle⁷. Avec l’API, le SDK et Agent Builder, les garde-fous ne visent pour l’instant que les modèles de fournisseurs externes⁶⁸. Les agents Agent Builder v2 ne bénéficient pas encore de l’observabilité par journaux d’événements⁶⁹, et Agent Builder v2 reste en bêta ouverte⁶.

Accompagnement

WRITER dit disposer d’une équipe maison apte à concevoir des agents sur mesure pour ses clients⁷⁰. Les clients Enterprise bénéficient d’une assistance technique lors de la mise en route, d’une visite de revue chaque trimestre⁷¹, d’un support prioritaire et d’un suivi de leur programme d’IA⁷². WRITER met à disposition une équipe embarquée, composée de responsables de la transformation et d’ingénieurs chargés du déploiement⁷³, et s’appuie sur l’expérience de plus de 500 déploiements⁷⁴. Dans ce panel, c’est l’accompagnement qui se rapproche le plus de celui de Nexus, à une nuance importante près : un calendrier de mise en œuvre est non précisé publiquement sur les pages consultées.

Tarifs

L’offre Starter s’essaie gratuitement pendant 14 jours, sans carte bancaire⁷⁵, et accueille 5 utilisateurs⁷⁶ et 5 Playbooks au plus⁷⁷. Elle se souscrit par siège, au mois ou à l’année, avec des plafonds de crédits⁷⁸. Pour Enterprise, il faut contacter les ventes⁷⁹. La consommation se compte en crédits, chacun valant un dollar⁸⁰. Palmyra X6 est facturé 2,00 $ le million de jetons en entrée et 8,00 $ en sortie⁸¹. Utiliser vos propres modèles revient au tarif du fournisseur augmenté de 10 %⁸². Le règlement passe par carte uniquement, sans prélèvement ACH, facture hors ligne ni PayPal⁸³, et chaque demande de remboursement est étudiée individuellement⁸⁴.

Intégrations et outils pour les développeurs

Côté frameworks, WRITER fonctionne avec LangChain, AWS Strands et Instructor⁸⁵. OpenLLMetry permet d’envoyer la télémétrie vers vos outils d’observabilité⁸⁶. Les modèles Palmyra sont appelables depuis Amazon Bedrock⁸⁷, et des modèles tiers d’AWS Bedrock ou d’OpenRouter peuvent être branchés⁸⁸. Salesforce figure parmi les connecteurs fournis⁸⁹, et un connecteur personnalisé se bâtit à partir d’une spécification OpenAPI ou d’un serveur MCP⁹⁰. Une passerelle MCP fait l’intermédiaire entre WRITER Agent et les serveurs de connecteurs⁹¹, et le serveur MCP de l’éditeur accepte n’importe quel client compatible⁹².

Pour les développeurs, aucune requête n’est possible sans clé d’API préalablement générée dans le Control Center⁹³, et cette clé n’apparaît en entier qu’au moment de sa création⁹⁴. Les clés d’ancienne génération ne fonctionneront plus après le 1er décembre 2026⁹⁵, une date à inscrire au planning de toute équipe déjà cliente de l’API.

Secteurs et usages publiés

L’éditeur s’adresse à la banque et à l’assurance, à la santé et aux sciences de la vie, à la distribution et aux biens de consommation, ainsi qu’aux entreprises technologiques⁹⁶. L’éditeur assure satisfaire aux exigences de conformité des secteurs réglementés⁹⁷. L’optimisation de campagnes fait partie des usages mis en avant⁹⁸, et un webinaire en différé revient sur ce que BetterHelp a appris de l’IA au service du marketing⁹⁹.

Limites documentées

Au-delà des limites déjà vues, l’API peut être coupée temporairement pour maintenance sans avertissement¹⁰⁰, et la politique d’utilisation peut évoluer à tout moment, là encore sans préavis¹⁰¹. Quand un abonnement arrive à échéance, l’accès aux fonctions payantes et à l’ensemble des données correspondantes s’arrête¹⁰², un point à prévoir dans votre clause de réversibilité. Agent Builder, les agents sans code et les intégrations par API ne sont pas encore pris en charge par les connecteurs¹⁰³.

Les questions à poser à WRITER pendant votre revue RGPD

1. Votre organisation peut-elle être hébergée dans l’UE⁴, et dans ce cas, toutes les données, journaux inclus, restent-elles dans cette région ? 2. Le masquage des éléments sensibles dans les journaux d’événements³⁸ est-il activé sans action de votre part ? 3. Comment protéger les données antérieures à l’activation du chiffrement, qui ne vaut que pour les données nouvelles⁵² ? 4. À quelle échéance le chiffrement couvrira-t-il les agents personnalisés et sans code⁸ ? 5. Comment récupérer vos données avant la fin de l’abonnement, puisque l’accès cesse à cette date¹⁰² ?

Pourquoi WRITER se classe septième

Sur le papier, WRITER remplit une bonne partie d’un questionnaire de conformité : SOC 2 Type II¹, ISO 27001, 27701 et 42001², conservation nulle³, clés fournies par le client⁵⁰, point d’accès européen⁴. Une direction marketing ou commerciale qui veut un agent encadré sur ses propres contenus y trouvera une excellente option.

Pour un acheteur qui veut des agents dans tous ses processus, il arrive toutefois septième. Son terrain revendiqué reste le marketing et la vente^5,17. Plusieurs contrôles ne couvrent pas encore l’ensemble du produit : les agents personnalisés et sans code échappent au chiffrement⁸, le garde-fou anti-fuite ignore la sortie des modèles⁷, et les agents Agent Builder v2 n’ont pas encore d’observabilité⁶⁹. L’hébergement sur site n’est pas documenté, alors que Dify et Langdock le décrivent^104,105. Comparé à Nexus, l’écart se situe dans la prise en charge globale : Nexus fait travailler des consultants chevronnés avec vos métiers, livre un premier agent en production après quatre semaines sur trois mois de preuve de concept³⁹, et ne lance rien sans que la DSI ait validé circuit des données, droits d’accès et journal d’audit¹⁰⁶.