Ce qu'un outil de visibilité IA lit sur votre site, et ce qu'il en garde

Un scan de visibilité IA en lecture seule ne lit que ce qu'une IA lit déjà : votre page d'accueil et quelques fichiers publics de votre domaine. Biencité conserve l'adresse du site scanné et le résultat du scan, héberge ces données dans l'Union européenne, et n'installe rien sur votre site. Tout le reste, votre email, un compte, un déploiement, relève de décisions que vous prenez séparément, plus tard, et que vous pouvez ne jamais prendre.

Que lit exactement un scan en lecture seule ?

Un scan Biencité lit la page d'accueil du site et une poignée de fichiers publics placés à la racine du domaine : le robots.txt, le plan de site, le llms.txt, les fichiers destinés aux agents. Ce sont des adresses que n'importe qui peut ouvrir dans un navigateur, sans identifiant et sans autorisation. Le scanner n'entre dans aucun espace client, ne lit aucune base de données, ne remplit aucun formulaire. Il ne modifie rien, il n'installe rien, et il ne demande pas de créer un compte.

Ce périmètre est volontairement étroit, et cette étroitesse a un coût : un scan ne voit ni vos pages produit, ni vos fiches métier, ni vos articles. L'article « Notre scan ne lit qu'une page de votre site : pourquoi ce choix, et ce qu'il coûte » détaille ce que cette limite laisse de côté, et pourquoi elle est assumée plutôt que corrigée.

Pourquoi ce périmètre correspond-il à ce qu'une IA voit vraiment ?

Les robots des IA génératives lisent le code HTML que votre serveur renvoie, et n'exécutent pas le JavaScript de la page. L'analyse publiée par Vercel et MERJ le 17 décembre 2024, à partir du trafic de leur réseau d'hébergement, relève que les principaux robots d'IA ne rendent pas le JavaScript : GPTBot et ClaudeBot téléchargent bien des fichiers JavaScript, mais ne les exécutent pas, et ne peuvent donc pas lire un contenu généré dans le navigateur. Sur le mois observé, cette analyse compte 569 millions de requêtes GPTBot et 370 millions pour le robot d'Anthropic.

Cette mesure date de décembre 2024 et porte sur un réseau d'hébergement, pas sur l'ensemble du web : prenez-la comme un ordre de grandeur, pas comme une loi. La même analyse signale une exception notable, Google, dont Gemini s'appuie sur l'infrastructure de Googlebot et rend donc les pages. Pour les autres, lire la réponse brute du serveur, c'est lire ce qu'une IA reçoit. Un outil qui vous noterait sur une page rendue dans un navigateur complet vous donnerait une note flatteuse que les IA, elles, ne voient pas.

Qu'est-ce qui est conservé, et à quel moment ?

La quantité de données conservée dépend entièrement du moment où vous vous arrêtez. Trois étapes, trois empreintes différentes, publiées sur la politique de confidentialité de Biencité.

• Scan sans email : l'adresse du site scanné et le résultat du scan, rien d'autre.
• Scan avec email : votre email, l'adresse du site, le résultat capturé et votre adresse IP, cette dernière pour limiter les abus de volume.
• Avec un compte : votre email, vos sites et l'historique de leurs scans.

Aucune de ces données n'est revendue. Vous pouvez demander l'accès, la rectification, l'export ou l'effacement de vos données, y compris celles saisies avant toute création de compte, et la demande est traitée sous trente jours. La suppression d'un compte efface les sites, les scans, les fichiers générés et les mesures de citations : il ne reste pas une copie de travail quelque part.

Où sont hébergées ces données, et qui d'autre les voit ?

Les données sont hébergées dans l'Union européenne, et la liste des sous-traitants est publiée plutôt que résumée. La base de données et l'hébergement passent par Supabase, sur un projet européen, et par Upstash, en région européenne. Les paiements passent par Stripe. La génération de texte passe par Anthropic et Mistral AI, qui ne reçoivent que les informations publiques du site scanné, jamais les données de votre compte. L'accès est cloisonné compte par compte, le transit est chiffré, et les clés d'API restent côté serveur.

Un accord de traitement des données est disponible sur demande, et il est publié sur le site. Sa page porte une mention que la plupart des fournisseurs préfèrent taire : c'est un brouillon, à faire relire par un juriste avant signature. Mieux vaut l'écrire que le laisser découvrir au moment de signer. Si votre direction juridique exige un accord relu et contresigné, demandez-le avant d'acheter, chez Biencité comme ailleurs.

Qu'est-ce qui, à l'inverse, écrit sur votre site ?

Le déploiement est la seule étape où un droit d'écriture sur votre site entre en jeu, et elle est séparée du scan. Elle passe par une extension WordPress dédiée, par une intégration Shopify, par un export de fichiers que vous publiez vous-même sur un site codé à la main, ou par un serveur MCP pour Claude Code. Vous choisissez le canal, et la mise en œuvre reste sous votre contrôle.

Cette question finit par se poser, car un diagnostic ne change rien à votre visibilité tant qu'il n'est pas publié. L'article « Un rapport de visibilité IA ne change rien tant qu'il n'est pas déployé » décrit ce que chaque canal écrit réellement. L'ordre compte : on mesure sans rien toucher, vous lisez, et seulement ensuite vous décidez d'ouvrir une porte ou de recopier des fichiers à la main.

Que faut-il exiger de n'importe quel outil de ce marché ?

• Un essai en lecture seule, sans création de compte et sans mot de passe de votre site.
• La liste nommée des sous-traitants, et le pays d'hébergement de la base de données.
• Une suppression qui supprime vraiment, fichiers générés et mesures compris.
• L'engagement écrit que vos données ne sont pas revendues.
• Un périmètre de mesure écrit noir sur blanc, et des signaux publiés plutôt qu'une note opaque.
• Aucune promesse de citation : un outil mesure une éligibilité, jamais un résultat.

Cette liste n'est pas un argument de vente, c'est une grille d'achat. Biencité publie ses dix-neuf signaux sur sa page méthode pour cette raison, et garde volontairement le poids de chacun côté serveur, pour qu'un score se compare à lui-même dans le temps plutôt qu'il ne s'optimise à vide. Appliquez les six points ci-dessus à Biencité comme à ses concurrents, et écartez tout fournisseur qui refuse de répondre sur l'un d'entre eux.

Quand cette question n'est-elle pas la bonne ?

Si votre site est une vitrine publique, sans espace client ni donnée personnelle, la question des données est presque vide, et s'y attarder devient une façon confortable de repousser le vrai sujet. Dans ce cas, votre blocage n'est pas la confidentialité : c'est qu'il n'y a rien de citable sur le site, ou que personne ne cherche encore le nom de votre entreprise. Un outil de mesure ne crée ni l'un ni l'autre.

Si vous travaillez dans un secteur régulé, avec un délégué à la protection des données et une procédure d'achat formelle, un accord de traitement à l'état de brouillon ne suffira pas à votre service juridique, et c'est légitime. Enfin, si votre plateforme verrouille la racine de votre domaine, une partie des correctifs vous restera inaccessible quel que soit l'outil : votre premier budget est alors mieux investi dans du contenu que dans une mesure plus fine.