En bref :
- Le stockage européen ne suffit pas : vérifiez que l’inférence IA ne transite pas hors UE via un routage dynamique.
- Exigez la liste exhaustive des sous-traitants et refusez toute modification sans notification préalable.
- Sans clause de réversibilité précisant formats et délais, vous achetez une dépendance technique et non un service.
La souveraineté IA entreprise ne se joue plus dans les colloques. Elle s’écrit en petits caractères dans vos contrats d’hébergement et d’accès aux modèles. Signer avec un fournisseur américain sans vérifier cinq clauses précises expose votre PME au CLOUD Act, à des sanctions RGPD et à un verrouillage technique total. Voici la liste exacte des questions que nous recommandons à toute DSI de poser avant d’apposer sa signature.
1. Où résident physiquement mes données et mes requêtes d’inférence ?
Un fournisseur vous garantit que ses serveurs sont à Francfort ou Paris. La réponse semble rassurante. Mais la souveraineté en matière d’IA dépasse la simple résidence des données : selon IBM, elle couvre le contrôle de l’ensemble de la pile technologique, incluant les opérations et les modèles eux-mêmes.
Quand vous interrogez un grand modèle de langage hébergé sur Microsoft Azure, AWS ou Google Cloud, la requête transite parfois par plusieurs centres de traitement pour équilibrer la charge. Le stockage est européen, mais l’inférence ne l’est pas toujours. Posez la question du routage dynamique. Si le commercial répond « notre architecture est globale », fuyez. Vous cherchez une garantie de traitement local, pas une promesse marketing.
2. Qui sous-traite qui dans la chaîne de traitement ?
Votre contrat lie votre entreprise à un acteur connu. Cet acteur a lui-même signé avec dix sous-traitants pour la maintenance, l’étiquetage des données ou la modération des contenus générés.
Le RGPD encadre tout transfert de données personnelles hors UE et impose des garanties appropriées, comme les clauses contractuelles types, sous peine de sanctions, rappelle la CNIL. Chaque maillon de la chaîne doit respecter cette exigence.
Un seul sous-traitant basé aux États-Unis ou utilisant des équipes offshore fait tomber l’édifice juridique. Exigez la liste exhaustive des sous-traitants impliqués dans le cycle de vie de vos données d’entraînement ou d’inférence. Refusez les clauses permettant au fournisseur de modifier cette liste sans notification préalable.
3. Quel mécanisme juridique protège mes données face au CLOUD Act ?
Le CLOUD Act américain de 2018 autorise les autorités fédérales à exiger d’un fournisseur américain l’accès aux données qu’il héberge, même si ces données reposent physiquement sur des serveurs européens. Microsoft, AWS et Google proposent bien des offres dites « souveraines » (Azure EU Data Boundary, AWS European Sovereign Cloud, Google Cloud Sovereign Controls), mais leurs garanties juridiques restent débattues par les experts.
La parade existe. Le label SecNumCloud de l’ANSSI qualifie des offres cloud présentant un niveau élevé de sécurité et de protection contre les accès extra-européens. Des fournisseurs comme OVHcloud et Scaleway ont obtenu cette qualification pour l’hébergement de données sensibles. Face à un géant américain, vérifiez si l’offre spécifique que vous achetez bénéficie d’une immunité structurelle contre les lois extraterritoriales américaines, via une entité juridique européenne indépendante. Une filiale française d’un groupe américain reste soumise au droit américain.
Attention : Une filiale française d’un groupe américain reste soumise au CLOUD Act. Seule une entité juridique européenne indépendante offre une immunité structurelle contre les lois extraterritoriales américaines.
4. Comment je récupère mes modèles et mes données si je pars ?
L’entraînement d’un modèle d’IA sur vos données métier crée un actif précieux. Si vous décidez de changer de fournisseur dans deux ans, comment extrayez-vous ce modèle ? Dans quel format ?
Le verrouillage technique constitue le piège classique des plateformes propriétaires. L’AI Act, entré en vigueur en 2024, impose des obligations graduées aux fournisseurs et déployeurs de systèmes d’IA, avec une application progressive jusqu’en 2027. Cette réglementation pousse vers plus de transparence, mais ne règle pas magiquement la portabilité technique. Exigez une clause de réversibilité chiffrée : délais, formats d’export (open source de préférence), coûts associés. Sans cela, vous ne louez pas un service, vous achetez une dépendance. Les acteurs européens comme Mistral AI misent justement sur des modèles déployables sur infrastructure locale pour limiter ce risque d’enfermement.
5. Suis-je notifié et audité en cas d’incident ?
Une fuite de données d’entraînement ou un accès non autorisé à votre modèle doit déclencher une alerte immédiate. Pas un mail générique trois semaines plus tard.
Nous constatons souvent des contrats limitant la notification d’incident aux seuls cas prévus par la loi, sans engagement sur les délais opérationnels. Demandez un droit d’audit. Pouvez-vous mandater un tiers indépendant pour vérifier les conditions réelles de sécurité de vos flux d’IA ? Si le fournisseur oppose son secret industriel à chaque demande d’audit, considérez que vous opérez à l’aveugle. La CNIL a déjà sanctionné des transferts illicites vers les États-Unis via certains outils analytiques américains, prouvant que le risque n’est pas théorique.
Notre verdict : faites signer la checklist
Ne transformez pas ces cinq points en discussion informelle autour d’un café. Intégrez-les dans une annexe contractuelle contraignante. Un fournisseur sérieux acceptera de documenter ses pratiques de sous-traitance, de garantir la réversibilité de vos modèles et de clarifier sa position face au CLOUD Act. Un fournisseur qui botte en touche sur la localisation précise de l’inférence ou refuse le droit d’audit vous signale un risque inacceptable. La souveraineté IA entreprise se décrète à la signature, pas après l’incident.
FAQ
Le CLOUD Act s’applique-t-il si mes données restent en Europe ?
Oui. Dès lors que le fournisseur est une entreprise américaine ou une filiale contrôlée par une maison mère américaine, les autorités fédérales peuvent exiger l’accès aux données, indépendamment de leur lieu de stockage physique.
La certification SecNumCloud garantit-elle la souveraineté totale ?
Elle certifie un haut niveau de sécurité et une protection contre les législations extraterritoriales. Elle ne couvre pas automatiquement la souveraineté des modèles d’IA entraînés sur cette infrastructure, qui relève de votre gouvernance interne.
Les offres « souveraines » d’AWS ou Microsoft sont-elles fiables ?
Elles isolent les données en Europe et limitent l’accès au personnel européen. Leur robustesse juridique face au CLOUD Act reste toutefois débattue, car l’entité finale demeure soumise au droit américain.
Que faire si mon fournisseur refuse la clause de réversibilité ?
Changez de fournisseur. Sans capacité d’export standardisée de vos données et de vos modèles fine-tunés, vous confiez la propriété intellectuelle de votre entreprise à un tiers sans porte de sortie.
