IA souveraine en entreprise : garder le contrôle de vos données

01

Distinguer souveraineté et confidentialité

Qu’est-ce qu’une IA souveraine ? Un système d’IA souveraine est un système dont l’organisation maîtrise l’infrastructure, les données et les règles de traitement, de manière à rester conforme au droit qui s’applique à elle. Encore faut-il distinguer deux notions que l’on confond souvent. La souveraineté répond à la question : sous quel droit et sur quelle infrastructure mes données sont-elles traitées ? Un fournisseur américain reste soumis au droit américain, notamment au Cloud Act, même quand ses serveurs sont en Europe. La confidentialité répond à une autre question : qu’est-ce que le modèle voit réellement ?

Une IA souveraine en entreprise combine les deux. Un modèle hébergé en France qui reçoit des noms, des numéros de contrat et des montants en clair n’est pas confidentiel pour autant ; un modèle américain qui ne reçoit que des données pseudonymisées ne pose plus le même problème de souveraineté. Fixer ces objectifs dès le départ évite d’investir dans une infrastructure lourde là où une simple passerelle suffisait, ou l’inverse.

02

Classer les données et les usages

Avant de comparer les solutions, faites l’inventaire des usages prévus et des données qu’ils manipulent. Trois niveaux suffisent dans la plupart des entreprises :

• Les données publiques ou internes sans enjeu : documentation, contenus marketing, code sans secret. Elles peuvent partir vers n’importe quel modèle du marché.
• Les données personnelles et commerciales : clients, salariés, contrats, prix. Elles peuvent être traitées par un modèle externe à condition d’être pseudonymisées avant l’envoi.
• Les données sensibles : santé, secret professionnel, défense, propriété industrielle, dossiers judiciaires. Elles ne quittent pas votre infrastructure, ou celle d’un hébergeur en France que vous maîtrisez.

Ce classement de vos données devient la règle de routage de toute la plateforme : chaque requête est orientée selon le niveau de la donnée qu’elle contient, et non selon l’outil que le collaborateur a ouvert. C’est la base de toute démarche d’IA souveraine, et ce qui préserve la confiance de vos clients.

03

Choisir l’infrastructure

Les solutions d’IA souveraine reposent sur quatre options de déploiement, de la plus maîtrisée à la plus ouverte :

• Sur vos serveurs : un modèle ouvert tourne dans vos murs. Souveraineté et contrôle totaux, mais un investissement en matériel (cartes graphiques) et en exploitation.
• Chez un hébergeur en France : mêmes modèles, sans le matériel à gérer. Pour les systèmes les plus exposés, privilégier un hébergeur qualifié SecNumCloud par l’ANSSI.
• Chez un éditeur européen de modèles : Mistral AI, par exemple, propose ses modèles par API, soumis au droit européen.
• Chez un éditeur américain : les modèles les plus performants sur de nombreux usages, à réserver aux données non sensibles ou pseudonymisées.

Rien n’oblige à choisir une seule option. Beaucoup d’entreprises combinent un modèle local pour les dossiers confidentiels et un modèle du marché pour le reste, derrière un point d’entrée unique.

04

Pseudonymiser avant tout appel externe

C’est la brique qui rend l’ensemble praticable. Une passerelle placée entre vos collaborateurs et les modèles détecte les noms, adresses, numéros et identifiants, les remplace par des jetons avant l’envoi, puis les restitue dans la réponse. L’éditeur du modèle ne voit jamais les données d’origine. Sans cette brique, une IA souveraine reste un objectif théorique pour la plupart des entreprises.

C’est ce que fait routtx, la passerelle que j’ai développée et qui est hébergée en France. Elle reconnaît les identifiants propres à la France (numéro de sécurité sociale, SIRET, IBAN, références cadastrales), applique des règles différentes selon le compte et se branche directement dans Claude, dans Claude Code et dans les applications métier. Une règle à retenir : un document n’est protégé que s’il est pseudonymisé avant que le modèle ne le lise. Un contrôle après coup ne protège rien.

05

Gouvernance, conformité et auditabilité

Une IA souveraine doit pouvoir rendre des comptes, et sa conformité se démontre pièces à l’appui. Quatre points de contrôle couvrent l’essentiel des obligations :

• Le RGPD (GDPR) : base légale de chaque traitement, inscription au registre, analyse d’impact quand des informations de santé ou couvertes par un secret sont en jeu, accord de traitement des données (DPA) avec chaque prestataire.
• L’AI Act, le règlement européen sur l’intelligence artificielle : ses obligations s’appliquent progressivement depuis 2025, à commencer par la formation des collaborateurs qui utilisent l’IA. Les systèmes à haut risque, en recrutement ou en crédit par exemple, sont soumis à des exigences renforcées.
• La traçabilité : journal de chaque requête, du modèle utilisé et des données retirées, pour pouvoir répondre à un client, à un auditeur ou à la CNIL.
• La sécurité : protection contre l’injection de prompt, en particulier quand les agents lisent des documents ou des pages web venus de l’extérieur.

Cette gouvernance donne à la direction les moyens de vérifier ce que font les systèmes, et aux collaborateurs un cadre de confiance pour s’en servir.

Modèles ouverts ou LLMs propriétaires ?

Les modèles ouverts ont beaucoup progressé : pour résumer, classer, extraire des informations ou répondre sur une base documentaire, un modèle de taille moyenne hébergé chez vous suffit souvent. Les modèles propriétaires gardent l’avantage sur le raisonnement long, la rédaction complexe et le code. Le bon choix dépend donc de l’usage, pas d’un principe : une plateforme d’IA souveraine bien conçue oriente chaque demande vers le modèle adapté, avec les mêmes règles de confidentialité pour tous.

Ce que représente l’investissement

Le coût d’une IA souveraine dépend surtout du niveau de souveraineté visé et des données à protéger. Une passerelle de pseudonymisation devant les grands modèles du marché se met en place rapidement et se facture à l’abonnement. Un modèle hébergé chez un prestataire en France ajoute une location de serveurs. Une infrastructure sur vos propres serveurs demande un investissement matériel et des compétences d’exploitation. Commencez par les usages qui apportent le plus de valeur et le niveau de protection qu’ils exigent réellement : c’est la démarche qui évite de surdimensionner les systèmes.

Comment je vous accompagne

Je travaille sur la donnée sensible depuis mes années chez Airbus Defence and Space, puis avec Geotrend aux côtés de Thales sur la threat intelligence. J’ai conçu routtx pour les organisations soumises à un secret professionnel, et j’accompagne des clients sur ces sujets, dont une étude notariale. Concrètement, pour bâtir une IA souveraine adaptée à votre organisation, je peux :

• classer vos données et vos usages, et en déduire l’architecture adaptée ;
• installer la passerelle de pseudonymisation et les garde-fous ;
• déployer des modèles ouverts sur vos serveurs ou chez un hébergeur en France ;
• documenter la conformité (RGPD, AI Act) et former vos équipes.

Voir aussi : l’IA souveraine et confidentielle, le guide pour déployer Claude en entreprise et mon parcours.