Insights — Données et conformité
Souveraineté et IA : la bonne question n'est pas « où sont les serveurs », mais « qui peut faire quoi ».
On réduit souvent la souveraineté à la région d'hébergement. C'est une partie du sujet, et rarement la plus décisive. Ce qui compte : qui traite vos données, pour quel usage, pendant combien de temps, et ce qu'il peut en faire sans votre accord.
01 — Le constat
Un fournisseur peut héberger en Europe et traiter vos données ailleurs dans sa chaîne.
Héberger dans un centre de données européen ne dit rien du reste : l'assistance peut être située hors Union européenne, les journaux techniques peuvent être répliqués ailleurs, et le sous-traitant peut lui-même faire appel à d'autres prestataires sans que vous le sachiez.
Pour un projet d'IA, la question devient plus concrète encore : vos documents servent-ils à entraîner un modèle ? Vos questions sont-elles conservées ? Un opérateur peut-il les lire ? Et si le fournisseur change ses conditions, avez-vous un moyen de partir ?
01Les quatre questions qui comptent vraiment
Nous les posons systématiquement, et nous exigeons une réponse écrite. Une réponse floue est une réponse négative.
- Vos données servent-elles à entraîner ou améliorer un modèle, même agrégées ou anonymisées ?
- Où sont traitées les requêtes, et où sont stockés les journaux techniques ?
- Qui peut accéder au contenu, pour quel motif, et avec quelle trace ?
- Que se passe-t-il le jour où l'on part : quel export, quel format, quel délai ?
02Le RGPD reste la base ; l'AI Act ajoute des obligations selon l'usage
Le RGPD ne change pas parce qu'un projet utilise de l'intelligence artificielle : il faut une base légale, une finalité déterminée, une durée de conservation et une information des personnes. C'est le socle, et il est déjà suffisant pour écarter la plupart des mauvaises idées.
Le règlement européen sur l'intelligence artificielle ajoute des obligations graduées selon le niveau de risque : transparence quand une personne interagit avec une machine, information quand un contenu est généré, et exigences renforcées dès qu'un système touche à l'emploi, au crédit, à la santé ou à la sécurité. La bonne méthode n'est pas de tout anticiper, mais de classer son cas d'usage et d'en tirer les obligations réelles.
03Ce que nous mettons en place par défaut
Nos plateformes sont conçues en Europe, avec des choix par défaut qui réduisent la surface de risque — et que le client peut auditer.
Ce n'est pas un label ni une certification : c'est un ensemble de décisions techniques vérifiables, documentées dans la remise d'architecture.
- Traitement et stockage dans l'Union europeenne par defaut, transferts documentes et limites
- Aucune donnee client utilisee pour entrainer un modele, engagement ecrit du fournisseur
- Minimisation : on n'envoie au modele que les extraits utiles, jamais un dossier entier
- Journalisation des requetes et des acces, conservee selon une duree definie avec le client
- Passerelle multi-modeles : changer de fournisseur sans reecrire l'application
- Chiffrement en transit et au repos, avec des cles geres par le client quand c'est requis
04La réversibilité, test final de la souveraineté
Une architecture n'est souveraine que si l'on peut en sortir. Nous considérons donc la réversibilité comme une exigence de conception, pas comme une clause de fin de contrat.
Concrètement : l'application ne parle jamais directement à un modèle, elle parle à une passerelle que vous contrôlez ; les index de recherche vous appartiennent et sont reconstruits à partir de vos documents ; et la documentation d'architecture permet à un tiers de reprendre l'ensemble sans nous.
Une souveraineté qui se vérifie : des données identifiables, des accès bornés, un modèle interchangeable.
02 — Questions courantes
Ce que les directions nous demandent sur ce sujet
Faut-il forcément un modèle hébergé en France ?
Non. Ce qui compte est le traitement réel, pas le drapeau sur le centre de données : où sont exécutées les requêtes, où sont conservés les journaux, qui peut y accéder et selon quelles règles. Pour un usage sensible, nous hébergeons le modèle nous-mêmes ; pour un usage courant, un fournisseur européen avec engagement écrit suffit souvent.
Sommes-nous conformes si nous utilisons une IA pour répondre à nos clients ?
Il faut d'abord une base légale et une information claire des personnes, puis vérifier que le cas d'usage ne relève pas d'une catégorie à risque élevé. Pour un assistant documentaire interne ou une aide à la rédaction, on reste dans un cadre raisonnable à condition de journaliser, de minimiser et de garder une validation humaine sur les réponses engageantes.
Que se passe-t-il si le fournisseur change ses conditions ?
C'est précisément à cela que sert la passerelle : l'application n'est liée à aucun fournisseur. Changer de modèle devient une décision d'exploitation, pas un projet de réécriture. Nous prévoyons contractuellement un préavis et une procédure de bascule vers un autre modèle ou vers un hébergement interne.
Vous voulez savoir où en est réellement votre projet IA ?
Nous passons en revue vos usages, vos fournisseurs et vos engagements écrits, puis nous remettons une liste de points à corriger classés par risque, avec le coût de chacun.