La première question posée dans tout comité de direction avant un projet d'IA est toujours la même : où vont nos données ? La réponse est rarement claire, parce que deux sujets différents sont systématiquement mélangés. Les séparer permet de décider vite et sans se tromper.
Conformité et souveraineté ne sont pas la même chose
La conformité au RGPD est une obligation légale. Elle porte sur ce que vous faites des données personnelles : base légale du traitement, finalité définie, minimisation, durée de conservation, information des personnes, encadrement des transferts hors Union européenne.
La souveraineté numérique est un choix stratégique. Elle porte sur la maîtrise de l'infrastructure et des technologies qui traitent ces données, et sur le droit auquel elles sont soumises. Une solution peut être parfaitement conforme au RGPD tout en restant exposée à un droit extra-européen.
Confondre les deux mène à deux erreurs opposées : croire qu'un hébergement en France suffit à être conforme, ou croire que la conformité règle la question de la dépendance.
Le trajet réel de vos données
Quand un agent traite un document, la donnée passe par plusieurs mains. Le tracer est le seul moyen de répondre honnêtement à la question du comité de direction.
- Le stockage. Où le document réside avant et après traitement. C'est la partie la mieux maîtrisée en général.
- Le transport. Par quels réseaux et quels intermédiaires il transite.
- L'inférence. Quel modèle le lit, opéré par qui, sur quelle infrastructure et sous quel droit. C'est le point aveugle de la plupart des projets.
- La rétention côté fournisseur. Ce que le prestataire conserve, pour combien de temps, et s'il s'en sert pour entraîner ses modèles.
Ce dernier point mérite une lecture attentive des conditions contractuelles. Les offres professionnelles des grands fournisseurs excluent contractuellement l'entraînement sur les données clients, alors que leurs offres grand public ne le font pas toujours. C'est la différence entre un usage encadré et une fuite de patrimoine informationnel, pour un même modèle sous-jacent.
Les options, de la plus souple à la plus maîtrisée
Il n'y a pas une bonne réponse, il y a une réponse par type de donnée.
- Modèle d'un fournisseur non européen, offre professionnelle.Le plus performant et le plus simple. Acceptable pour des données non sensibles et des contenus publics. Le transfert hors Union européenne doit être encadré et documenté.
- Modèle opéré dans une région européenne. Les grands fournisseurs de cloud proposent des déploiements en Europe, ce qui réduit le trajet des données. La question du droit applicable à la société mère reste posée.
- Modèle européen. Des acteurs comme Mistral AI permettent de rester dans le périmètre juridique européen, avec des performances aujourd'hui suffisantes pour la grande majorité des usages en entreprise.
- Modèle auto-hébergé. Un modèle ouvert exécuté sur une infrastructure que vous ou votre intégrateur maîtrisez. Contrôle maximal, aucun transfert, mais un coût d'exploitation et une exigence de compétences réels.
Ce qui protège vraiment, au-delà de l'hébergement
L'emplacement du serveur est une condition nécessaire mais très insuffisante. Les mesures qui réduisent réellement le risque sont d'ordre architectural.
- Ne transmettre que le nécessaire. Un agent qui traite une facture a besoin du montant et de l'échéance, pas de l'historique complet du client. La minimisation est autant une bonne pratique de sécurité qu'une obligation RGPD.
- Pseudonymiser en amont. Remplacer les identifiants directs avant l'envoi au modèle, et les rétablir après, quand le traitement le permet.
- Journaliser les accès de l'agent. Savoir quelle donnée a été lue, quand et pour quoi. Sans ce journal, aucune analyse d'incident n'est possible.
- Cloisonner par compte de service. Un agent, un compte, un périmètre. Jamais un compte d'administration partagé.
Notre position
Nous exploitons notre propre infrastructure et nous administrons celle de nos clients depuis plus de quinze ans. Cela nous donne une préférence assumée : garder les traitements sensibles sur des infrastructures dont la chaîne de responsabilité est identifiable, et réserver les modèles les plus puissants aux données qui ne posent pas de difficulté.
Cette position n'est pas idéologique. Un projet qui exclut par principe tout fournisseur non européen se prive parfois du seul outil capable de traiter son cas d'usage. L'arbitrage se fait donnée par donnée, et il se documente. C'est ce que produit la phase de diagnostic : une cartographie des données concernées, le niveau de sensibilité de chacune, et l'architecture qui en découle.