Souveraineté des données et IA : le guide pratique pour une PME

La souveraineté des données, pour une PME qui utilise l'IA, se résume à trois questions : où sont mes données, quel droit s'applique à elles, et qui peut y accéder sans me le demander. Ce guide répond aux trois, sépare ce qui est obligatoire de ce qui est un choix, et donne une méthode pour décider du bon niveau sans payer une infrastructure de ministère pour gérer des devis.

Où vont vos données quand vous utilisez l'IA

Un outil d'IA reçoit du texte ou des documents, les envoie à un modèle, et vous renvoie un résultat. Trois lieux sont concernés : l'endroit où tourne l'application, l'endroit où tourne le modèle de langage, et l'endroit où sont stockées les données conservées (mémoire, historiques, documents). Ces trois lieux peuvent être dans trois pays différents. La plupart des outils grand public envoient vos données à un modèle hébergé aux États-Unis, et leurs conditions d'utilisation gratuites permettent souvent de s'en servir pour l'entraînement.

Ce que la loi impose

Le RGPD s'applique dès qu'il y a une donnée personnelle : un nom de client, un email, un salarié dans un document. Vous restez responsable du traitement, et votre prestataire IA est un sous-traitant qui doit vous garantir par contrat des mesures de sécurité et l'information sur les transferts hors Union européenne.

Un transfert vers les États-Unis n'est pas interdit, mais il doit reposer sur un cadre reconnu, et il expose vos données à des lois extraterritoriales comme le Cloud Act, qui permet aux autorités américaines de demander des données à un fournisseur américain où qu'elles soient stockées.

Certains secteurs ont des obligations propres : les données de santé exigent un hébergeur certifié HDS, les sous-traitants de la défense ou de grands groupes industriels ont des clauses de localisation dans leurs contrats.

Ce qui relève du choix

Le reste est une décision d'entreprise. Trois niveaux existent, du plus simple au plus exigeant :

Hébergement en France ou en Europe chez un hébergeur soumis au droit européen, avec un modèle de langage européen ou hébergé en Europe. C'est le niveau que nous appliquons par défaut à toute solution.

Infrastructure qualifiée SecNumCloud par l'ANSSI : le référentiel français le plus exigeant, qui garantit notamment l'immunité aux lois extraterritoriales. C'est le niveau choisi par le secteur public, la santé, la défense, et les entreprises qui traitent des données RH ou financières sensibles.

Modèle installé sur vos propres serveurs : les données ne sortent jamais. Puissance limitée par votre matériel, coût d'exploitation à prévoir. Justifié pour des données très sensibles ou des volumes importants.

Comment décider

Classez vos données en trois catégories : publiques ou sans enjeu (catalogue, horaires), internes (devis, commandes, factures), sensibles (RH, santé, données bancaires, secrets industriels, données de vos propres clients sous clause de confidentialité).

Pour chaque automatisation, regardez la catégorie la plus haute qu'elle touche. C'est elle qui fixe le niveau.

Exigez par écrit, quel que soit le niveau : l'absence d'entraînement sur vos données, la localisation, la durée de conservation, et la possibilité d'exporter et d'effacer.

La souveraineté n'est pas un tout ou rien. C'est le bon niveau pour chaque donnée, écrit dans le contrat, vérifiable. Une PME qui traite des devis n'a pas besoin de SecNumCloud ; une PME qui traite des dossiers de santé n'a pas le choix.

Notre standard

Toute solution que nous distribuons est hébergée en France, avec un modèle européen ou hébergé en Europe, une clause de non-entraînement, et une option SecNumCloud pour les données sensibles. Lors de l'audit à distance gratuit, on classe vos données avec vous et on vous dit quel niveau se justifie, et ce qu'il coûte.