IA souveraine : savoir où partent vos données avant de les envoyer.
Le mot souverain n'a pas de définition légale, ce qui permet à peu près tout. Nous préférons poser trois questions vérifiables : dans quel pays le traitement a lieu, sous quel droit se trouve le fournisseur, et ce qu'il fait de vos contenus une fois la réponse rendue.
Souverain ne veut rien dire, ces trois questions si
Aucun texte ne définit ce qu’est une IA souveraine. Le mot sert donc autant à décrire une infrastructure réellement française qu’à habiller une revente d’API américaine. Nous ne l’employons pas comme argument, nous le remplaçons par trois questions auxquelles un fournisseur peut répondre par écrit.
- Où le calcul a-t-il lieu ? Le pays du centre de données, pas le siège social affiché. Une société française qui appelle une API hébergée outre-Atlantique fait sortir vos documents du territoire, quelle que soit sa communication.
- À quel droit le fournisseur est-il soumis ? Une filiale européenne d’un groupe américain reste exposée aux demandes d’accès extraterritoriales de son actionnaire. C’est un point juridique que nous signalons sans le trancher : il revient à votre conseil.
- Que devient votre contenu après la réponse ? Conservation, durée, utilisation pour entraîner les futurs modèles. Cela se lit dans les conditions contractuelles, et cela varie fortement entre l’offre grand public et l’offre professionnelle d’un même fournisseur.
Ces trois réponses déterminent les modèles utilisables sur votre projet, donc le budget et l’architecture. C’est pourquoi la question se pose pendant l’audit, avant la première ligne de code, et non au moment de la mise en production.
Trois façons de faire tourner un modèle
Chacune a un coût, un niveau de maîtrise et des limites. Aucune n’est meilleure dans l’absolu.
| API hors Europe Le plus courant | API européenne L'équilibre fréquent | Modèle chez vous Le contrôle intégral | |
|---|---|---|---|
| Qualité des modèles | La plus élevéeLes modèles les plus puissants du marché y sont disponibles en premier. | ProcheL'écart s'est réduit et devient marginal sur les tâches d'entreprise courantes. | En retraitLes modèles ouverts exécutables sur une machine raisonnable restent en deçà. |
| Sortie du territoire | OuiLes contenus transitent hors de l'Union, avec les conséquences juridiques associées. | NonTraitement dans un centre de données européen, sous droit européen. | AucuneRien ne quitte votre infrastructure, y compris pendant le traitement. |
| Coût | À l'usageFaible au démarrage, croissant avec le volume, sans investissement initial. | À l'usageTarifs comparables, parfois inférieurs sur les modèles de taille moyenne. | FixeInvestissement matériel ou location de serveur, prévisible mais engagé d'avance. |
| Pour qui | Données non sensiblesContenus publics, rédaction, tâches sans donnée personnelle ni secret d'affaires. | La plupart des cas B2BDocuments internes, données clients ordinaires, obligations contractuelles courantes. | Contraintes fortesSanté, défense, données couvertes par un engagement de non-sortie du territoire. |
Notre rôle dans ce choix
Nous ne vendons pas d’infrastructure et nous ne sommes revendeurs d’aucun fournisseur de modèle. Notre intérêt n’est donc pas de vous orienter vers l’un ou l’autre, il est que le dispositif tienne dans la durée.
Nous documentons le circuit de la donnée. Pour chaque traitement, ce qui sort, vers où, sous quelle forme, et ce qui reste chez vous. Ce document sert ensuite de base à la documentation de conformité, traitée sur conformité RGPD et AI Act.
Nous construisons réversible. Le modèle est appelé derrière une couche d’abstraction, jamais en dur dans le code métier. Changer de fournisseur devient alors une question de configuration, ce qui vous évite d’être prisonnier d’un choix fait il y a deux ans dans un marché qui bouge tous les trimestres.
Nous hébergeons quand c’est pertinent. L’hébergement de sites et d’applications fait partie de nos métiers depuis 2019. Quand un modèle doit tourner sur votre infrastructure ou sur la nôtre, nous savons dimensionner, exploiter et surveiller, et nous vous disons franchement quand le volume ne justifie pas le coût d’une machine dédiée.
Le cloud souverain, et ce qu’il couvre réellement
La qualification SecNumCloud délivrée par l’ANSSI est aujourd’hui le repère le plus solide en France : elle porte sur l’hébergeur et impose des exigences vérifiées, dont l’immunité aux législations extraterritoriales. Elle qualifie l’infrastructure, pas le modèle qui tourne dessus. Un modèle américain déployé sur une infrastructure qualifiée ne rend pas le traitement souverain pour autant, et c’est la confusion la plus fréquente dans les appels d’offres que nous lisons.
Le cas des fédérations et des acteurs de la santé. Quand vos statuts, votre convention ou un marché public imposent une non-sortie du territoire, le choix se réduit et l’architecture change. Mieux vaut le savoir au cadrage qu’au moment de la recette.
IA souveraine, ce qu’on nous demande
Les questions posées par les directions qui ne peuvent pas laisser sortir leurs documents.
Sur les tâches d’entreprise courantes, l’écart est devenu faible : classer des documents, extraire des champs, répondre à partir d’une base interne. Il redevient sensible sur le raisonnement complexe et sur la rédaction longue. Nous testons les deux sur vos propres exemples avant de trancher, plutôt que de nous fier aux classements publiés.
Rarement, et c’est souvent la mauvaise réponse à une bonne inquiétude. Une API européenne couvre la majorité des besoins avec un coût à l’usage et sans investissement. La machine dédiée se justifie quand un engagement contractuel impose que rien ne sorte, ou quand le volume est tel que le coût à l’appel dépasse celui d’un serveur.
Cela dépend entièrement du contrat, et l’écart est grand entre l’offre grand public et l’offre professionnelle d’un même fournisseur. Sur les offres destinées aux entreprises, la réutilisation pour l’entraînement est généralement exclue par contrat. Nous vérifions cette clause avant de recommander un fournisseur, et nous vous en remettons la référence écrite.
Oui, si l’application a été construite pour. C’est la raison de la couche d’abstraction que nous posons systématiquement : le modèle devient un paramètre. Sur un développement fait sans cette précaution, le changement suppose de reprendre le code métier, ce qui est précisément le genre de reprise décrit sur reprise d’un projet IA.
En le leur demandant, et le résultat surprend souvent. Des documents internes passent par des outils grand public, sans mauvaise intention et sans règle qui l’interdise. Le sujet se traite par un cadre écrit plutôt que par un blocage technique, et il fait partie de ce que nous posons en session avec les équipes.
Une contrainte de territoire
Dites-nous quelles données doivent rester chez vous et pourquoi. Nous vous disons quelles options restent ouvertes, et à quel coût.
