« IA souveraine » : la vraie définition (pas le slogan)
Tout le monde vend de l'IA « souveraine ». Presque personne ne dit ce que ça veut dire. Voici la grille.
« IA souveraine ». « Propriétaire ». « Qui appartient à votre entreprise ». « Hébergée en France ». Ces mots rassurent — c'est bien pour ça qu'ils sont partout. Mais demandez au vendeur de les définir précisément, et ça devient flou.
Le problème n'est pas le mot. C'est qu'on l'emploie comme un argument, alors que c'est une somme de garanties vérifiables. « Souverain » ne se déclare pas. Ça se prouve, ligne par ligne.
« Souverain » n'est pas un adjectif. C'est une liste de réponses précises — et si le vendeur ne les a pas, c'est un slogan.
Deux confusions qui arrangent bien les vendeurs
« Propriétaire » ≠ « à vous ». La plupart des « IA d'entreprise propriétaires » sont une surcouche autour d'un modèle de fond (celui d'un grand acteur) + vos documents en mémoire. Ce qui « vous appartient », c'est votre donnée et votre configuration — rarement le cerveau lui-même. Ce n'est pas un scandale, mais appeler ça « propriétaire », c'est survendre.
« Hébergé en France » ≠ « souverain ». Vos données peuvent être stockées à Paris, sur une infrastructure dont la maison mère relève d'un droit étranger. Le Cloud Act américain, par exemple, permet de contraindre une société US à livrer des données — même hébergées ailleurs. La souveraineté, ce n'est pas où est le serveur. C'est qui peut être contraint de livrer vos données.
La grille que j'utilise vraiment
Avant de confier quoi que ce soit à une IA — et je manipule des dossiers prud'homaux couverts par le secret professionnel — je pose ces sept questions. Elles marchent pour n'importe quel outil.
- Hébergement — où sont les données, et l'infrastructure appartient à qui (quel droit s'applique) ?
- Le modèle tourne où ? Chez vous, dans un cloud UE, ou via l'API d'un tiers hors UE ?
- Entraînement — vos données servent-elles à entraîner le modèle ? (zéro rétention / zero-data-retention)
- DPA — y a-t-il un contrat de sous-traitance (art. 28 RGPD) signé, lisible, avec la liste des sous-traitants ultérieurs ?
- Chiffrement — en transit ET au repos ; et surtout, qui détient les clés ?
- Réversibilité — pouvez-vous partir avec vos données et vos configurations, sans lock-in ?
- Traçabilité — qui a accès aux logs, aux prompts, aux réponses ?
Un fournisseur qui tient la route répond aux sept, sans se troubler. Un fournisseur qui vend un mot bafouille sur la trois et la quatre.
On ne choisit pas une IA de confiance sur son adjectif. On la choisit sur ses réponses aux questions qui fâchent.
Pourquoi je suis intransigeant là-dessus
Pas par posture. Parce que si je me trompe, ce n'est pas mon confort qui saute — c'est le secret professionnel de mes clients. C'est pour ça que, pour les outils que je bâtis, j'exige les réponses avant de brancher quoi que ce soit : hébergement UE, zéro entraînement sur les données, DPA en règle, réversibilité. La souveraineté, chez moi, ce n'est pas une case marketing. C'est un prérequis.
Envie de voir une IA juridique qui répond à ces sept questions — au lieu de les esquiver ?
Découvrez DAIRIA IA · Et pour lire les autres coulisses : le Journal.
Analyse personnelle, à titre pédagogique. Ne vise aucune entreprise en particulier et ne constitue ni un conseil juridique, ni un dénigrement. © Sofiane Coly — sofianecoly.com