Qu'est-ce qu'une IA souveraine ?
Une IA souveraine est une IA dont vous maîtrisez trois choses : l'endroit où le modèle s'exécute, l'endroit où vos données sont stockées, et la liste des personnes et des sociétés qui peuvent y accéder. Dans ce contexte, le mot n'a rien de politique. C'est une question d'architecture et de contrat.
Ce n'est pas la même chose qu'un modèle français. Un modèle entraîné en France mais appelé via une API hébergée hors de l'Union européenne ne vous rend pas souverain. À l'inverse, un modèle américain en open source qui tourne sur vos serveurs ne fait sortir aucune donnée. Ce qui compte est le chemin que prennent vos données, pas la nationalité du modèle.
Les trois options, et ce qu'elles coûtent vraiment
Il n'y en a pas quatre. Chacune est le bon choix dans un cas précis.
| Option | Ce qui sort de chez vous | Quand c'est le bon choix |
|---|---|---|
| API publique | Le contenu de vos requêtes, chez un tiers souvent hors UE | Données non sensibles, aucune donnée personnelle, usage individuel |
| Offre entreprise en zone UE | Vos requêtes, chez un tiers, avec un contrat de sous-traitance et un engagement de non-entraînement | La majorité des cas : données internes, pas de secret industriel, un contrat suffit |
| Modèle auto-hébergé | Rien | Données de santé, données clients sous accord de confidentialité, secret industriel, obligation sectorielle |
Le point que les fournisseurs passent sous silence : l'auto-hébergement a un coût d'exploitation. Un modèle sur vos serveurs demande du GPU, des montées de version, et quelqu'un qui le surveille. Cela se justifie quand la donnée l'exige, pas par principe.
Ce que le RGPD exige réellement
Beaucoup de décisions se prennent sur une version approximative du règlement. Voici la version courte et exacte.
Le RGPD n'interdit pas l'IA
Il encadre le traitement de données personnelles. Utiliser un modèle de langage n'est pas illégal. Envoyer des données personnelles à un sous-traitant sans base légale, sans contrat et sans information des personnes concernées l'est, que le destinataire soit une IA ou un tableur en ligne.
Ce qu'il faut réunir
Une base légale pour le traitement, un contrat de sous-traitance avec le fournisseur, le principe de minimisation appliqué aux données envoyées, et un encadrement des transferts hors Union européenne. Les offres entreprise des grands fournisseurs couvrent le contrat, et souvent la localisation. Elles ne couvrent pas la minimisation : celle-là reste votre travail.
L'entraînement sur vos données
C'est la clause à lire. Les offres grand public utilisent souvent vos échanges pour améliorer les modèles. Les offres entreprise s'engagent en général à ne pas le faire. La différence n'est pas technique, elle est contractuelle, et elle ne se déduit pas du prix.
Nous ne sommes pas juristes et nous ne rédigeons pas votre registre des traitements. Nous intervenons sur la partie technique : ce qui sort, ce qui reste, et comment le prouver.
Quand l'auto-hébergement n'est pas la bonne réponse
Nous préférons le dire avant de chiffrer quoi que ce soit.
Si vos données ne sont ni personnelles ni confidentielles
Une offre entreprise en zone UE fait le travail pour une fraction du coût. C'est le cas le plus fréquent, et c'est ce que nous recommandons le plus souvent.
Si personne chez vous ne peut exploiter un serveur
Un modèle auto-hébergé devient une dette. Il faut soit une équipe, soit un contrat de maintenance, et cela fait partie du budget dès le premier chiffrage.
Si le besoin est une conformité de façade
Nous ne sommes pas le bon prestataire. L'auto-hébergement se justifie par une contrainte réelle, pas par un argument commercial.
Combien ça coûte
La réponse dépend entièrement de l'option retenue, donc il n'y a pas de grille propre à ce sujet. Voici les deux points d'entrée existants, avec leurs tarifs déjà publiés.
| Format | Budget | Ce que vous obtenez |
|---|---|---|
| Cadrage express | 2 000 à 4 000 € | Une demi-journée sur un usage précis. Quelles données il touche, quelle option convient, et ce que coûte chacune. |
| Audit IA complet | 6 000 à 12 000 € | La cartographie de vos usages, le classement par sensibilité de données, et le choix d'architecture pour chacun. |
| Déploiement | à partir de 800 € par jour | La mise en place, l'intégration à vos outils, et la documentation qui permet à vos équipes de reprendre la main. |
Le cadrage suffit souvent. Dans beaucoup de dossiers sa conclusion est qu'une offre entreprise en zone UE règle le problème, et l'intervention s'arrête là.
Questions fréquentes
Qu'est-ce qu'une IA souveraine ?
Une IA dont vous maîtrisez l'endroit où le modèle s'exécute, l'endroit où les données sont stockées, et la liste des tiers qui peuvent y accéder. Ce n'est pas la nationalité du modèle qui la définit, mais le chemin que prennent vos données. Un modèle open source américain qui tourne sur vos serveurs est plus souverain qu'un modèle français appelé via une API hébergée hors de l'Union européenne.
Existe-t-il une IA souveraine française ?
Il existe des modèles édités en France, et des hébergeurs français capables de les faire tourner. Les deux ne vont pas automatiquement ensemble : un modèle français consommé via une API étrangère ne vous donne aucune garantie de localisation. La question utile n'est pas de savoir si le modèle est français, mais où il s'exécute et sous quel contrat.
L'IA est-elle compatible avec le RGPD ?
Oui, à conditions. Le RGPD n'interdit pas l'IA, il encadre le traitement de données personnelles. Il faut une base légale, un contrat de sous-traitance avec le fournisseur, la minimisation des données envoyées, et un encadrement des transferts hors Union européenne. Les offres entreprise des grands fournisseurs couvrent le contrat et souvent la localisation, mais jamais la minimisation, qui reste à votre charge.
Peut-on utiliser ChatGPT en respectant le RGPD ?
Avec une offre entreprise, oui, dans la plupart des cas. Ce sont les offres grand public qui posent problème : elles utilisent souvent les échanges pour améliorer les modèles et n'offrent pas de contrat de sous-traitance. La clause à vérifier est celle de l'entraînement sur vos données. Elle est contractuelle et ne se déduit pas du prix payé.
Quel outil d'IA est conforme au RGPD ?
Aucun outil n'est conforme en lui-même. La conformité dépend de ce que vous lui envoyez, du contrat qui vous lie au fournisseur, et de l'information des personnes concernées. Un même outil peut être utilisé de manière conforme sur des données anonymisées et non conforme sur un fichier client. C'est l'usage qui est conforme, pas le logiciel.
Faut-il héberger son propre modèle ?
Rarement, et c'est ce que nous répondons le plus souvent. L'auto-hébergement se justifie quand les données ne peuvent pas sortir : santé, secret industriel, engagement de confidentialité envers vos clients, obligation sectorielle. Dans les autres cas une offre entreprise en zone UE couvre le besoin pour beaucoup moins cher, et sans coût d'exploitation récurrent.
Une contrainte de confidentialité sur un projet d'IA ?
Dites-nous quelles données sont en jeu. Nous vous dirons laquelle des trois options convient, y compris quand ce n'est pas la nôtre.
