Chapitre 04
La souveraineté n'est pas un débat binaire (« cloud US » contre « souverain ») : c'est une question qui se traite par cas d'usage, en fonction de la sensibilité de la donnée. Ce chapitre passe en revue les risques concrets, les niveaux de sensibilité, les options techniques disponibles et la gouvernance à mettre en place.
Tous se traitent par des choix de gouvernance et de modèle — l'enjeu est de les connaître.
Une IA grand public peut réutiliser vos échanges pour entraîner ses futurs modèles. Se traite via une offre entreprise ou l'API.
Même sans entraînement, les échanges sont stockés chez le fournisseur — c'est l'objet du Zero Data Retention (ZDR).
Une donnée hébergée chez un acteur US, même en Europe, peut théoriquement être requise par les autorités américaines.
Copier-coller de données sensibles dans une IA grand public (« Shadow IA »).
Une décision prise sur la base d'une réponse erronée non vérifiée.
Une donnée externe contenant des instructions cachées qui détournent le comportement de l'IA.
Construire toute sa stack sur un seul acteur (vendor lock-in).
Tous gérables : gouvernance, ZDR, choix de modèle par sensibilité.
90 % des professionnels estiment qu'il existe des risques liés à l'IA. Au-delà des risques techniques, voici leurs préoccupations principales.
Il n'y a pas UNE bonne réponse : la sensibilité de la donnée guide le choix de la solution.
Du plus simple au plus souverain :
Pas un modèle unique, mais une stratégie multi-modèles par cas d'usage, arbitrée selon la sensibilité.
| Niveau de sensibilité | Solution préconisée |
|---|---|
| 1 — Public / banal | Claude / GPT / Gemini / Mistral standard |
| 2 — Interne non sensible | Offre entreprise (ZDR) ou Mistral Cloud |
| 3 — Métier sensible | Cloud provider EU + ZDR strict, ou Mistral souverain |
| 4 — Ultra-sensible / régulé | Open source on-premise ou cloud souverain |
