Legiscope ou Witik : comparer RGPD et gouvernance

La comparaison entre Legiscope et Witik doit porter sur le travail à accomplir et sur les personnes qui le valident. Un programme centré sur les données personnelles et un programme associant plusieurs domaines de conformité ne présentent pas les mêmes dépendances.

Cette revue documentaire repose sur les pages officielles consultées le 28 septembre 2026, sans essai dans des comptes clients. Thiébaut Devergranne est fondateur de Legiscope.

Deux présentations à vérifier sur vos usages

Witik annonce une plateforme de conformité couvrant plusieurs référentiels, des workflows et des agents IA. La comparaison doit examiner les tâches automatisées et les validations qui restent nécessaires.

Legiscope présente l’analyse de contrats de sous-traitance avec conservation des pièces et révision des résultats. Ce point fournit une épreuve concrète à soumettre aux deux offres, sans présumer d’une supériorité.

Demandez quels modules, intégrations et services sont inclus. Une fonction présentée sur le site de l’éditeur n’est pas nécessairement comprise dans l’offre que vous comparez. Le panorama des logiciels RGPD situe cette sélection parmi d’autres possibilités.

Le cas d’un fournisseur utilisé par plusieurs équipes

Préparez un dossier fictif : un prestataire fournit un logiciel RH et intervient aussi sur une prestation distincte. Réunissez les contrats, une description des accès et les informations connues sur les données. Certaines pièces peuvent être incomplètes ou contradictoires.

Demandez comment chaque offre permet de distinguer les activités, les rôles et les décisions. Le statut de sous-traitant RGPD ne découle pas seulement du fait qu’une entreprise est votre fournisseur. Notre dossier qualification du sous-traitant aide à formuler cette première question.

Les critères de l’Art. 28(3) du RGPD servent de repère pour l’épreuve contractuelle. Un score automatique n’exonère pas de lire les clauses et de décider du traitement d’une lacune.

Vérifier la collaboration entre programmes

Si l’organisation conduit plusieurs programmes, précisez ce qui peut être partagé et ce qui doit rester séparé. Une pièce fournisseur peut être commune ; les évaluations, accès et responsables peuvent différer. Demandez comment une modification est transmise et qui décide de sa portée.

Testez le parcours avec un référent métier et un validateur. Examinez les accès, les commentaires, les changements de statut et la récupération des pièces. La simple présence d’un tableau de bord ne démontre pas que les responsabilités sont claires.

Pour cadrer le besoin documentaire, utilisez le guide logiciel RGPD. Si votre objectif reste limité à une petite équipe, le guide PME propose une organisation de déploiement adaptée à ce périmètre.

AIPD et automatisation : conserver la décision humaine

Si une AIPD est nécessaire, vérifiez le contenu attendu par l’Art. 35(7) : description, nécessité et proportionnalité, risques, mesures. Une fonction intitulée « AIPD » doit être examinée à partir de ces exigences et du traitement réel. Son intitulé ne démontre pas que l’analyse produite est complète.

Évaluez les propositions automatiques sur leur exactitude, leurs sources, leurs omissions et le temps nécessaire à leur correction. Aucun gain chiffré n’est établi par cette revue documentaire.

Faire porter la décision sur l’offre complète

Demandez prix, durée, modules, utilisateurs, entités, assistance et sortie. Vérifiez les garanties contractuelles et les accès effectifs ; une origine française ou un hébergement européen ne démontre pas une conformité générale.

Consignez les critères démontrés et ceux qui restent à vérifier. Si votre décision implique un remplacement de Witik, préparez la reprise des programmes et dépendances avant de résilier.

Définir ce que doit produire la comparaison

Avant les démonstrations, choisissez un résultat utile à l’équipe : qualifier un prestataire, suivre une réserve contractuelle, mettre à jour une analyse de risques ou présenter une décision à la direction. Le nombre de modules disponibles ne permet pas de savoir si ce résultat sera compréhensible et maintenu dans le temps.

Décrivez les personnes impliquées et leurs droits attendus. Le référent métier peut expliquer les opérations ; le service achats détient des documents ; le juriste examine les clauses ; le DPO conseille et suit les sujets relevant de ses missions. Le logiciel doit être évalué à partir de cette organisation réelle. L’attribution d’une tâche à un utilisateur ne transfère pas automatiquement la responsabilité juridique du traitement.

Préparez ensuite les éléments remis à chaque éditeur : mêmes documents fictifs, mêmes questions et mêmes contraintes. Une offre ne doit pas être notée sur une démonstration préparée pour un grand groupe et l’autre sur une simple visite de son interface. La comparaison doit permettre de suivre un dossier jusqu’à une décision, avec ses limites.

Examiner un fournisseur sans fusionner ses rôles

Développons le dossier fictif avec un prestataire appelé Cerfeuil. Il fournit un outil de gestion des candidatures pour le compte de son client et propose, dans un contrat distinct, une autre prestation dont les finalités et moyens restent à préciser. Ce cas est entièrement inventé : aucune qualification définitive de la seconde activité n’est supposée.

La première question à poser pendant la démonstration est de savoir comment conserver cette incertitude. Une fiche unique portant le statut général « sous-traitant validé » pourrait masquer la différence entre les opérations. Demandez comment relier chaque contrat aux traitements qu’il encadre, et comment signaler qu’une analyse reste ouverte sur l’autre prestation. Il s’agit d’un besoin à vérifier, pas d’une fonction ici garantie dans les deux produits.

La deuxième question concerne les pièces. Le contrat public trouvé sur internet correspond-il à l’entité, au service et à la version effectivement acceptés ? Un avenant négocié peut modifier l’analyse. Demandez comment distinguer le document utilisé pour préparer l’examen et celui sur lequel repose la décision finale. Une recherche automatique utile ne suffit pas à résoudre cette correspondance contractuelle.

Enfin, une réserve doit conduire à une action déterminée. Si l’assistance aux demandes de droits n’est pas suffisamment décrite, précisez la clarification attendue, la personne qui la demandera et celle qui examinera la réponse. Le statut ne doit changer qu’après appréciation des éléments reçus, sans considérer la seule réception d’un courriel comme la résolution de la difficulté.

Tester le partage d’une pièce et l’indépendance des décisions

Dans un programme associant plusieurs domaines, une même pièce peut servir à plusieurs analyses. Un engagement de sécurité du fournisseur peut intéresser le DSI et le DPO, avec des questions différentes. Partager le document ne signifie pas partager toutes les conclusions, les commentaires ou les données contenues dans les dossiers.

Une démonstration peut suivre trois profils : contributeur métier, validateur juridique et lecteur d’une synthèse. Demandez ce que chacun peut consulter, modifier et exporter. Les accès aux pièces jointes, aux commentaires et aux liens partagés doivent être examinés séparément du simple accès à la fiche principale. Aucun essai de ces profils n’a été effectué dans cette revue.

Préparez une modification du dossier fictif : un nouveau document remplace une annexe devenue ancienne. Quels dossiers doivent être signalés pour réexamen ? Qui décide si la conclusion précédente demeure valable ? Comment retrouver la version utilisée lors de cette conclusion ? La réception doit vérifier la chaîne documentaire, sans exiger qu’un changement entraîne automatiquement le même effet dans tous les programmes.

Juger une proposition automatique par ses justifications

Examinez une conclusion à la fois. Retrouvez la clause ou le fait qui la soutient, puis vérifiez si elle répond à la question posée. Une phrase peut sembler pertinente tout en visant une autre prestation, une ancienne version du contrat ou une condition qui n’est pas remplie dans votre cas.

Une grille de réception proposée peut distinguer plusieurs types d’écarts :

Ne comparez pas seulement le temps de génération. Relevez aussi l’effort de vérification, les omissions à repérer et la qualité du dossier après correction. Un résultat très rapide mais impossible à expliquer peut déplacer la charge vers le validateur. Les gains éventuels doivent être mesurés sur un périmètre défini ; cette revue n’en établit aucun.

Recevoir une AIPD sans confondre formulaire et analyse

Pour une AIPD, demandez comment les faits du traitement alimentent les quatre volets de l’Art. 35(7). Une liste de mesures de sécurité ne répond pas à elle seule à l’examen de la nécessité et de la proportionnalité. Un risque doit être relié aux personnes, aux événements plausibles et aux conséquences, puis aux mesures retenues.

Faites préciser qui apporte les informations, qui examine les recommandations et qui valide les mesures. Lorsque le DPO est désigné, son conseil doit être sollicité dans les conditions de l’Art. 35(2). Un circuit de validation informatique ne remplace pas ce travail ; il doit permettre d’en retrouver les éléments utiles.

Examinez aussi les changements. L’Art. 35(11) prévoit un réexamen au moins lorsque le risque présenté par les opérations évolue. Demandez comment relier une évolution du traitement au dossier existant, sans attribuer au logiciel la capacité de détecter tout changement réel dans l’organisation. La remontée des informations par les métiers reste à organiser.

Garder une décision exploitable hors de la plateforme

Avant de retenir une offre, préparez un export de démonstration contenant les pièces nécessaires, les décisions et leurs limites. Faites-le lire par une personne qui n’a pas suivi la présentation. Peut-elle comprendre le traitement, la version contractuelle, les réserves et les actions ? Cette vérification constitue un protocole proposé, sans résultat présumé.

Fixez enfin les responsabilités après l’achat : administration, accès, mises à jour des dossiers, suivi des réserves et sortie. Le document de choix doit indiquer les modules retenus et ce qui n’a pas été démontré. Cette conclusion est plus utile qu’un classement général des marques, car elle reste rattachée au travail que l’équipe doit réellement accomplir.

Ce qu’il faut retenir

• Comparez un dossier concret et ses circuits de validation.
• Distinguez partage de pièces et partage de décisions entre programmes.
• Mesurez la qualité des propositions automatiques après relecture.
• Confirmez le périmètre, les garanties et la sortie dans l’offre.

FAQ

Witik et Legiscope proposent-ils de l’automatisation ?

Les présentations consultées en annoncent. Il faut comparer les fonctions disponibles et leurs résultats sur vos cas.

Un score fournisseur suffit-il pour respecter l’Art. 28 ?

Non. Il faut examiner les garanties, les obligations contractuelles et le traitement des lacunes constatées.

Un logiciel peut-il prendre seul les décisions juridiques ?

L’organisation doit conserver la capacité d’expliquer et de valider ses décisions, y compris lorsque le travail préparatoire est automatisé.

Recevez nos analyses sur les outils et les décisions de conformité.

Thiébaut Devergranne, docteur en droit, fondateur de donneespersonnelles.fr et de Legiscope, travaille depuis plus de vingt ans sur le droit des technologies.