IA souveraine : décider où vont les données et qui peut agir.

Une IA souveraine ne se résume pas au pays où se trouve un serveur. Une entreprise doit pouvoir savoir quelles données quittent son environnement, qui les traite, quels sous-traitants interviennent et comment récupérer son système si un fournisseur change ses conditions. Cette maîtrise se construit par des décisions techniques et contractuelles qui se vérifient une par une.

Commencez par cartographier le parcours d’une requête : document source, outil qui l’envoie, service de modèle, base de données, journal et personne autorisée à consulter le résultat. Cette carte révèle souvent des copies inutiles, des comptes trop larges ou une conservation sans durée définie.

• Accordez à chaque connecteur le droit minimal nécessaire à sa tâche.
• Séparez les environnements de test, de recette et de production.
• Inventoriez les composants dont dépend la réponse d’un agent.
• Prévoyez l’export des données, configurations et journaux utiles.

Un audit IA permet de poser ce diagnostic avant de choisir un modèle. Nous déconseillons de promettre une autonomie forte tant que les flux et les droits n’ont pas été testés sur des cas réels.

Une IA hébergée en France peut répondre à une exigence de localisation, mais le choix doit aussi couvrir les sauvegardes, l’administration, l’assistance et les éventuels accès depuis un pays tiers. L’hébergement dans l’Union européenne est une autre option fréquente. Une installation sur l’infrastructure du client peut être pertinente lorsque celui-ci possède déjà l’exploitation, les compétences et les contraintes qui le justifient.

Pour chaque scénario, inscrivez dans la décision d’architecture le lieu de traitement des données, la région de sauvegarde, les comptes d’administration, la procédure de mise à jour et la marche à suivre en cas de panne. La question utile n’est pas seulement « où est le serveur ? », mais « qui peut faire quoi, depuis où, et avec quelle preuve ? ».

1. Choisissez une localisation compatible avec les contraintes du métier.
2. Vérifiez les conditions de traitement et les sous-traitants ultérieurs.
3. Testez la restauration d’un jeu de données et la révocation d’un accès.
4. Conservez une option de sortie documentée avant la mise en production.

Pour un agent connecté à vos outils, ces choix sont intégrés dès la conception de nos agents IA, pas ajoutés après la première démonstration.

La certification HDS concerne les hébergeurs de données de santé à caractère personnel dans le cadre défini par le droit français. L’Agence du numérique en santé indique que les hébergeurs concernés doivent être certifiés. La certification porte sur l’hébergeur et sur les activités couvertes ; elle ne résulte pas de la seule localisation d’un centre de données.

SecNumCloud est une qualification de l’ANSSI appliquée à des offres cloud précises. Elle fournit un cadre d’exigences de sécurité et de confiance. Déployer une application sur une offre qualifiée ne rend pas automatiquement l’application elle-même qualifiée. Il reste nécessaire de configurer les identités, les secrets, les sauvegardes et la surveillance.

• Demandez le certificat ou la qualification de l’offre exacte, pas une présentation commerciale générale.
• Contrôlez les services inclus, les régions et les options effectivement utilisées.
• Associez les exigences d’hébergement à vos propres règles de développement et d’exploitation.

Sirocco ne revendique ni certification HDS ni qualification SecNumCloud. Nous pouvons concevoir une architecture qui tient compte du périmètre imposé et vous aide à interroger les prestataires concernés.

Le RGPD IA demande d’abord de déterminer si des données personnelles sont traitées, pour quelle finalité, selon quel rôle et pendant combien de temps. Il faut notamment limiter les données envoyées au modèle, définir les bases et informations nécessaires, organiser les droits des personnes et encadrer les relations avec les sous-traitants. L’AI Act ne remplace pas ce travail : il ajoute des obligations liées au rôle et au niveau de risque du système d’IA.

En octobre 2026, les interdictions et les obligations d’appropriation de l’IA s’appliquent depuis le 2 février 2025. Les règles de gouvernance et certaines obligations liées aux modèles d’IA à usage général s’appliquent depuis le 2 août 2025. Les obligations pour les systèmes à haut risque relevant de l’annexe III s’appliqueront le 2 décembre 2027, tandis que celles pour les systèmes intégrés à des produits réglementés sont prévues pour le 2 août 2028 : ces reports résultent de l’AI Omnibus entré en vigueur le 27 juillet 2026.

Le plan d’action commence par la qualification du rôle de fournisseur ou de déployeur, la classification du cas d’usage, puis la collecte des preuves utiles. Notre guide AI Act présente les étapes de conformité et notre page conseil IA aide à répartir les responsabilités.

Une IA souveraine entreprise doit pouvoir être inspectée et reprise. Le contrat de sous-traitance doit décrire les instructions de traitement, les mesures de sécurité, l’assistance attendue, les sous-traitants ultérieurs et le sort des données à la fin de la relation. Une clause vague sur le cloud ne remplace pas cette description des flux réels.

La propriété ou la remise du code n’est utile que si elle inclut aussi le dépôt, la documentation, les variables de configuration à reconstituer sans secret exposé, les tests et la liste des dépendances. Il faut également prévoir les droits sur les instructions, les jeux de données préparés et les connecteurs spécifiques.

• Journalisez les actions déclenchées par l’agent, leur horodatage et leur résultat.
• Évitez de conserver par défaut le contenu complet des conversations sans durée justifiée.
• Limitez l’accès aux journaux, car ils peuvent eux-mêmes contenir des données sensibles.
• Testez une demande de suppression, une révocation d’accès et une restauration.

Ces mesures rendent une erreur analysable et une sortie de fournisseur praticable. Elles sont particulièrement importantes pour une intégration IA qui écrit dans un CRM, un ERP ou une base documentaire.