Stack de legal hold pour les données de l'ère IA — prompts, chat et fichiers liés

Votre système de legal hold a été conçu pour un patrimoine de données qui n’existe plus. Il notifie les custodians, suit les accusés de réception et préserve les boîtes mail et les partages de fichiers. Pendant ce temps, la conversation qui décide l’affaire se tient dans un fil Teams, le document est un lien et non une pièce jointe, et l’analyse sur laquelle un manager s’est appuyé a été produite en tapant un prompt dans ChatGPT et n’a jamais été enregistrée nulle part.

Trois de ces quatre classes de données ont un compte à rebours de suppression qui tourne indépendamment de votre hold. C’est le problème que ce stack résout, et il ne se résout pas en achetant un meilleur outil de notification.

La forme : Exterro émet et défend le hold, Microsoft Purview assure la préservation sur place à travers Microsoft 365 et les applications d’IA connectées, la Compliance API de ChatGPT Enterprise est la seule voie vers les données de prompts qui vivent hors du tenant Microsoft, et Relativity est l’endroit où les données préservées atterrissent pour la revue. Quatre systèmes, un seul registre de préservation.

Comment les pièces s’assemblent

Exterro possède la notification et l’artefact de défendabilité. Identification des custodians, émission du hold, suivi des accusés, escalade et levée — avec le journal d’audit qui répond à « qu’avez-vous préservé, quand, et qui l’a confirmé » si la suffisance du hold est plus tard contestée. Le module legal hold d’Exterro est en grande partie Zapproved, racheté en janvier 2023 : le « Exterro ou Zapproved » de l’entrée en file est aujourd’hui un seul éditeur, pas deux. La raison pour laquelle il bat un tableur, c’est la cartographie des données : plus de 190 connecteurs de sources d’entreprise font que la notification et le périmètre de préservation se résolvent contre un inventaire unique de l’endroit où vivent réellement les données d’un custodian.
Microsoft Purview est la couche de préservation, pas un accessoire. Purview eDiscovery (Premium) pose des holds custodians sur les boîtes mail et leurs sources de données, plus des holds non custodians sur les boîtes mail et les sites OneDrive. Notez la date : Microsoft a retiré toutes les expériences eDiscovery classiques — Content Search classique, eDiscovery Standard et Premium classiques — le 31 août 2025. Si votre runbook de préservation nomme encore ces écrans, il nomme des écrans qui n’existent plus.
La Compliance API de ChatGPT Enterprise est la source de données d’IA. Elle renvoie chaque saisie utilisateur, chaque sortie du modèle et chaque message injecté par le système, plus les fichiers, Memory, Canvas et objets Automation, et elle prend en charge la suppression programmatique pour les demandes de droit à l’oubli. Purview livre aussi un connecteur ChatGPT Enterprise : une fois le scan du connecteur exécuté, eDiscovery, rétention, communication compliance et insider risk s’appliquent à ces interactions. DLP et étiquettes de confidentialité, non — c’est écrit dans le tableau des capacités, et c’est un plafond réel.
Relativity est l’endroit où les données préservées deviennent revues. RelativityOne couvre l’ingestion, le traitement, la revue et la production. Depuis l’annonce au Relativity Fest d’octobre 2025, aiR for Review, aiR for Privilege et aiR for Case Strategy sont inclus dans RelativityOne au lieu d’être vendus en add-ons — mais inclus ne veut pas dire illimité. La consommation tourne contre des aiR Units à raison d’une unité par document, et l’enveloppe comme le tarif de dépassement ne s’obtiennent que sur devis.

Passations nommées

Événement déclencheur → hold cadré. Dossier ouvert dans Exterro → liste de custodians résolue contre la cartographie des données → holds Purview appliqués aux boîtes mail, sites OneDrive et données Teams de ces custodians. Le hold s’applique à une liste résolue, pas à « toute l’équipe commerciale ».
Hold appliqué → interactions d’IA capturées. Une collection policy Purview capture les prompts et les réponses des applications d’IA d’entreprise ; une retention policy cadrée sur l’emplacement Enterprise AI apps les retient. Sans les deux, le hold couvre la boîte mail mais pas ce que le custodian a demandé au modèle.
Custodian hors du tenant → extraction par la Compliance API. Conversations ChatGPT Enterprise poussées en JSON vers Purview, Relativity ou un data lake sur une extraction planifiée, pour que le registre existe indépendamment du calendrier de rétention d’OpenAI.
Périmètre resserré → collecte. Recherche et review set Purview → export → ingestion Relativity. La préservation reste en place ; la collecte est un acte distinct, ultérieur et plus étroit.
Hold levé → la suppression reprend. Levée dans Exterro → holds Purview retirés → la rétention normale reprend au passage suivant du Managed Folder Assistant, qui tourne chaque semaine et traite une boîte mail donnée à n’importe quel moment dans une fenêtre de 1 à 7 jours. La levée n’est ni instantanée ni sans risque — une levée prématurée est un problème de spoliation.

Le compte à rebours de 30 jours que personne ne budgète

Les conversations ChatGPT supprimées sont retirées des systèmes d’OpenAI sous 30 jours, sauf si OpenAI est légalement tenue de les conserver. Cette phrase est tout l’argument de ce stack. Un custodian qui supprime un chat deux semaines après l’émission de votre hold a détruit des données pertinentes, et aucune notification, aucun accusé, aucune cadence de relance ne l’arrête — la suppression a lieu sur l’infrastructure de l’éditeur, selon le calendrier de l’éditeur.

La garde est un export Compliance API planifié qui tourne avant le hold, pas après. Traitez les données de prompts comme vous traitez déjà la messagerie vocale : préservées par une extraction système, jamais par la coopération d’un custodian.

Ne présumez pas que le contentieux d’un tiers vous couvre. L’obligation d’OpenAI de préserver les output logs grand public sous l’ordonnance de préservation du New York Times a pris fin le 26 septembre 2025, l’ordonnance de levée ayant été rendue le 9 octobre 2025. La fenêtre s’est refermée. Les données préservées uniquement grâce à cette ordonnance sont des données que vous ne contrôlez pas.

Il existe une seconde brèche côté Microsoft, et elle manque dans la plupart des runbooks : les retention policies et les holds eDiscovery de Purview ne s’appliquent pas aux éléments de Copilot memory. Memory persiste jusqu’à ce qu’un utilisateur la supprime ou qu’un administrateur la retire via eDiscovery ou la Graph API. Garde : inscrivez memory dans la notification de hold comme instruction explicite au custodian, et auditez-la via Graph plutôt que de supposer que le hold l’a attrapée.

Fichiers liés : ce que vous devez réellement

C’est là que les équipes in-house promettent trop dans le protocole ESI et ne peuvent ensuite pas exécuter. La jurisprudence ne dit pas une seule chose.

Nichols v. Noom (S.D.N.Y., mars 2021) a jugé que les documents liés ne sont pas des pièces jointes — une pièce jointe fait nécessairement partie du message, un lien non — et a refusé d’ordonner la production en masse des fichiers liés.
In re StubHub Refund Litigation (N.D. Cal.) est allé en sens inverse en avril 2023, ordonnant la production des documents liés parce que le protocole ESI le prévoyait. Puis en mai 2024, après un témoignage 30(b)(6) sur ce qui était techniquement possible, le même juge a déchargé StubHub de cette clause pour motif légitime.
In re Uber Technologies (N.D. Cal., avril 2024) a ordonné la production de la version contemporaine des documents Google Drive envoyés par lien, dans la mesure où c’est faisable de façon automatisée et à l’échelle. Une décision de mars 2025 a conclu à l’absence d’obligation là où l’opération à l’échelle était technologiquement infaisable pour les liens hors Drive.

Mettez maintenant cela à côté du comportement de l’outil : la collecte de cloud attachments de Purview ajoute au review set la version la plus récente du fichier lié, qui peut différer de la version que le custodian a réellement partagée. Un protocole ESI promettant des versions contemporaines est une promesse que votre outil de collecte ne tient pas par défaut.

Garde : négociez le protocole contre ce que vous pouvez démontrer, et placez les sites sous hold tôt — l’historique des versions est conservé sous hold dans la preservation hold library, donc un hold précoce est ce qui rend une version contemporaine récupérable. Les holds tardifs transforment un problème de rédaction en problème de spoliation.

Réalité des coûts

Purview. La Purview Suite coûte 12 dollars par utilisateur et par mois en paiement annuel, en plus de Microsoft 365 E3 ou d’Office 365 E3 avec EMS E3. Microsoft 365 E5 coûte 60 dollars par utilisateur et par mois et inclut la même capacité eDiscovery. Le chiffre qui surprend les acheteurs, c’est qui doit être licencié : vous licenciez les personnes dont vous retenez les données, pas les quatre personnes de l’équipe juridique. À 2 000 salariés, cela fait environ 288 000 dollars par an en add-on E3, et 0 dollar incrémental si l’entreprise est déjà sur E5.

Le connecteur d’IA se facture à part. Gérer les interactions ChatGPT Enterprise dans Purview exige d’activer la facturation pay-as-you-go contre un abonnement Azure — mesure de consommation Azure, chiffrée via la surface tarifaire Azure et non via la liste par siège. Modélisez-le avant d’allumer le connecteur.

Exterro. Rien de publié, aucune grille. Les données d’acheteurs tierces situent le point d’entrée de la suite eDiscovery autour de 50 000 dollars par an sur un scénario à dix utilisateurs, la facture réelle bougeant avec le volume de données plutôt qu’avec les sièges. Achetez le legal hold en ligne distincte de l’eDiscovery, de la privacy et de la forensique.

Relativity. Sur devis. Les fourchettes tierces placent l’hébergement à 15-30 dollars par Go et par mois, et le traitement à 25-75 dollars par Go.

Pour une entreprise de 2 000 salariés déjà sur E5, avec 10-20 holds concurrents et 500 Go en revue active, le coût annuel incrémental atterrit autour de 140 000-300 000 dollars par an — Exterro plus l’hébergement Relativity, avant le traitement par dossier et avant le temps de revue des avocats contractuels. Ajoutez environ 288 000 dollars par an si Purview doit être acheté plutôt qu’hérité.

Variantes courantes

Remplacer Relativity par Everlaw. Prenez-la quand la vitesse de revue et l’expérience du relecteur sont le grief, et quand l’IA facturée à l’usage est l’objection budgétaire — Everlaw a rendu la revue générative gratuite en 2026 au lieu de la facturer au document, l’inverse du modèle aiR Unit de Relativity. Ce que vous cédez, c’est le défaut du cabinet externe : si vos cabinets tournent sur Relativity, les données y finissent de toute façon.
Supprimer Exterro et tourner sur les seuls holds Purview. Prenez-la quand le contentieux est épisodique, que le nombre de custodians reste sous 50 et que chaque octet de données pertinentes est dans Microsoft 365. Ce que vous perdez, c’est le registre côté custodian — notifications, accusés, escalade, levée — qui est précisément l’artefact qu’attaque une requête en spoliation. Purview préserve les données ; il ne prouve pas que vous avez conduit un processus.
Remplacer Relativity par Logikcull sur les petits dossiers. Prenez-la quand le dossier est sous 100 Go et qu’il n’y a pas de partenaire LSP. La règle, c’est la taille du dossier, pas celle du cabinet.
Ajouter une étape de collecte forensique pour les custodians sortants. Prenez-la quand le custodian est la partie adverse — un dirigeant sur le départ sous enquête. La préservation sur place suppose une infrastructure coopérative ; un poste imagé non.

Ce que ce stack NE remplace PAS

La décision du moment où l’obligation naît. Le logiciel émet un hold ; l’avocat décide que le contentieux est raisonnablement prévisible. Voir processus de legal hold pour l’analyse du déclencheur contre laquelle ces outils s’exécutent.
Une politique de rétention. Les holds sont des exceptions à un calendrier de rétention. Une entreprise sans calendrier n’a aucune ligne de base à suspendre, et chaque dossier devient un débat de préservation à l’échelle du tenant.
La négociation du protocole ESI. Les lignes StubHub et Uber montrent que le protocole gouverne le résultat plus que la technologie. Négociez contre ce que vous pouvez démontrer.
Les entretiens custodians. Aucun connecteur ne vous dira que le custodian a mené l’analyse sur un compte ChatGPT personnel depuis un portable domestique. Le questionnaire custodian reste la façon de trouver les sources de données parallèles.
La gouvernance du shadow AI. Préserver ChatGPT Enterprise ne dit rien des 12 autres outils d’IA que les salariés ont passés en note de frais. C’est un problème de politique d’IA, en amont de la préservation.
La revue de privilège. Les paires prompt-réponse contenant une analyse juridique sont une nouvelle surface de privilège, et aucun outil ne les code à votre place. Voir revue de privilège.

Règles d’adéquation

Utilisez ce stack quand :

Microsoft 365 est le tenant et l’IA d’entreprise est déployée avec des contrôles d’administration. Les deux moitiés comptent — un déploiement ChatGPT sans workspace Enterprise n’a aucune Compliance API à interroger.
Vous avez une exposition contentieuse ou réglementaire permanente, pas un litige occasionnel. Les programmes de préservation justifient leur coût par la répétition.
Quelqu’un possède la configuration du connecteur. Une retention policy cadrée sur le mauvais emplacement ne préserve rien en silence, et aucun dashboard ne le signale.
Vos protocoles ESI contiennent déjà des clauses sur les hyperliens. Si la partie adverse réclame des documents liés, l’écart technique est déjà réel.

N’utilisez pas ce stack quand :

Le contentieux est assez rare pour que le cabinet externe conduise la préservation. Sous deux ou trois dossiers par an, l’argent achète du temps d’avocat.
Le parc d’IA n’est pas géré. Acheter de la préservation avant de savoir quels outils d’IA les salariés utilisent produit un registre défendable du mauvais jeu de données.
Google Workspace est le tenant. Purview est ici la couche porteuse, et Google Vault est une autre architecture avec d’autres limites — les faits de Noom portaient précisément sur le comportement de Vault.
Personne ne conduira l’étape de levée. Les holds jamais levés s’accumulent jusqu’à ce que chaque custodian soit sous préservation permanente, les coûts de revue se composent, et le programme perd sa crédibilité auprès du métier.

Modifier cette page sur GitHub