Infrastructure et souveraineté · Couche 4
Hébergement de l’IA
Le lieu où votre modèle d’IA tourne et lit vos données : chez un fournisseur via une API, ou dans un cadre que vous maîtrisez.
Pour se le représenterC’est comme choisir entre envoyer vos archives à un prestataire de numérisation et faire venir le scanner dans vos locaux : le résultat est le même, mais pas la liste de ceux qui ont vu les documents.
En pratiqueDécidez par catégorie de données : une API bien contractualisée pour le courant, un hébergement maîtrisé pour le sensible.
Une direction des ressources humaines veut un assistant qui réponde aux questions des salariés sur leurs congés et leur paie. Les questions générales sur la convention collective passent par l’API d’un grand fournisseur, avec un contrat de sous-traitance et la réutilisation pour l’entraînement désactivée. Les dossiers individuels, qui mentionnent des arrêts maladie, sont traités par un modèle ouvert hébergé dans un cloud qualifié. La règle de tri est écrite, et chaque requête est orientée selon la catégorie de données.
Un traitement hors de l’Union, ou un accès à distance par un prestataire depuis un pays tiers, même pour du support, est un transfert selon le CEPD (UE · CEPD) ; il doit être encadré (UE · RGPD, chapitre V). Un fournisseur soumis au droit américain peut être contraint de communiquer les données en sa possession, sous sa garde ou sous son contrôle, où qu’elles soient stockées (États-Unis · CLOUD Act). La qualification SecNumCloud (France · ANSSI) ajoute à la sécurité une protection contre ces lois extraterritoriales, pour un service et un périmètre précis. Dans tous les cas, le prestataire qui traite vos données pour vous signe un contrat de sous-traitance : instructions, sécurité, sous-traitants ultérieurs, sort des données en fin de contrat (UE · RGPD, art. 28).
« Dans quels pays nos requêtes sont-elles traitées et conservées, qui peut y accéder depuis l’étranger, et à quelle loi votre maison mère est-elle soumise ? »
Pas à lui seul. Le CLOUD Act (États-Unis · Congrès, 2018) vise le fournisseur et ce qu’il contrôle, pas le lieu de stockage. Ce risque se réduit avec un opérateur qui échappe au droit américain ou, pour les données stockées, avec des clés de chiffrement hors de sa portée.
Oui, si le transfert est encadré : la décision d’adéquation du 10 juillet 2023 (UE · Commission européenne) couvre les entreprises certifiées au Data Privacy Framework ; les clauses contractuelles types servent pour les autres. Restent à vérifier la conservation des requêtes, leur réutilisation et l’exposition au droit américain pour les données sensibles.
Pour les données d’une sensibilité particulière de l’État et de ses opérateurs, oui, ou une certification européenne reconnue équivalente (France · loi SREN, art. 31). Pour une entreprise privée, c’est en général un critère d’achat proportionné au risque, pas une obligation.
Fiche pédagogique, pas un avis juridique. À jour au 29 octobre 2026.