Points clés
- En matière de souveraineté des données, l’IA redéfinit la notion de contrôle. Elle englobe la manière dont les données sont consultées, traitées, transférées, conservées et utilisées pour entraîner des modèles, et pas seulement leur lieu de stockage.
- Chaque interaction avec l’IA passe par cinq points de contrôle de souveraineté, de la saisie et la récupération à l’inférence, en passant par la sortie et la conservation.
- L’auto-hébergement de l’IA n’est pas une condition indispensable à la souveraineté, et il ne suffit pas à lui seul. Les intégrations, les accès administrateurs et les journaux d’activité doivent toujours faire l’objet d’une gouvernance.
- Les contrats conclus avec les fournisseurs d’IA doivent couvrir l’entraînement des modèles, les lieux de traitement, les sous-traitants, la conservation et la suppression des données.
- La flexibilité de déploiement et la liberté de choisir les modèles d’IA permettent aux entreprises de s’adapter à l’évolution des réglementations et des fournisseurs.
Introduction
La souveraineté des données dans le domaine de l’IA désigne la capacité d’une organisation à conserver le contrôle juridique, opérationnel et technique de ses données à chaque étape de leur traitement par un système d’IA.
La plupart des gens continuent de réduire la notion de souveraineté à une seule question : où se trouvent les données ? Le cloud computing a déjà rendu cette question plus difficile à trancher. L’IA la complique encore davantage, en faisant circuler les données entre les systèmes internes, les modèles tiers et les services cloud, souvent avec très peu de visibilité. Le simple fait de stocker des données dans une région approuvée ne sert à rien si un service d’IA les traite ou les conserve ailleurs, car l’emplacement physique à lui seul n’a jamais garanti le contrôle.
Alors que l’IA prend une importance croissante dans le fonctionnement des entreprises, la bonne nouvelle est que son adoption et son contrôle ne sont pas nécessairement incompatibles. La solution réside dans une gouvernance à chaque point de contact entre les données et l’IA, soutenue par une technologie qui vous offre le choix.
Qu’est-ce que la souveraineté des données dans le domaine de l’IA ?
La souveraineté des données en IA étend les principes de souveraineté des données au-delà du simple lieu de stockage et les applique à la manière dont l’intelligence artificielle les utilise. Deux activités sont particulièrement importantes :
- L’entraînement et le réglage fin. Les données sont utilisées pour construire ou améliorer un modèle, et elles peuvent persister au sein de ce modèle longtemps après la suppression du fichier source.
- L’inférence. Un modèle existant traite des requêtes et le contexte récupéré pour produire une réponse ou effectuer une action.
Même les entreprises qui n’entraînent jamais de modèle doivent avoir une visibilité sur ces deux processus, car certains services d’IA peuvent utiliser les données soumises à des fins d’entraînement, à moins que les contrats et les paramètres ne l’interdisent.
Vous entendrez également parler d’« IA souveraine » au niveau national, où les gouvernements du monde entier visent l’autonomie stratégique et la sécurité nationale en conservant la puissance de calcul, les modèles de base et les données à l’intérieur des frontières nationales, en accord avec les valeurs de la nation. Pour les entreprises, la souveraineté en matière d’IA revêt un caractère plus pratique. Cela signifie que c’est votre organisation, et non vos fournisseurs, qui décide de la manière dont ses données sont utilisées.
Pourquoi l’IA rend-elle la souveraineté des données plus difficile à maintenir ?
L’IA ajoute de nouveaux lieux de traitement, de nouveaux fournisseurs et de nouvelles copies de données à chaque requête. Gartner
prévoit que d’ici 2027, plus de 40 % des violations de données liées à l’IA seront causées par une utilisation transfrontalière inappropriée de l’IA générative.
La majeure partie de ce risque provient de trois évolutions dans la manière dont l’IA traite les données d’entreprise.
Les données en cours d’utilisation peuvent franchir les frontières
Les charges de travail d’IA ne s’exécutent pas toujours là où vos données sont stockées. Un portail hébergé à Francfort peut appeler un point de terminaison de modèle situé dans une autre région. Les données au repos sont conformes, mais celles en cours d’utilisation peuvent ne pas l’être, et chaque transfert doit respecter les réglementations locales des deux côtés.
Les prestataires tiers appliquent leurs propres règles
Selon leurs conditions générales, les prestataires peuvent conserver les invites, les utiliser à des fins d’entraînement ou faire appel à des sous-traitants que vous n’avez jamais contrôlés. Leur lieu d’implantation juridique a également son importance. La loi américaine CLOUD Act peut autoriser un accès depuis l’étranger, quel que soit l’emplacement des serveurs, ce qui explique en partie pourquoi les solutions de cloud souverain ont gagné du terrain dans le secteur public.
La dépendance vis-à-vis d’un modèle rend le changement coûteux
La dépendance vis-à-vis d’un modèle transforme un changement réglementaire en un projet de migration vers une nouvelle plateforme. Une architecture vous permettant de changer de modèle à mesure que les exigences évoluent vous laisse le contrôle de cette décision.
Où la souveraineté des données peut-elle être compromise dans une interaction avec l’IA ? Les cinq points de contrôle
Chaque requête d’IA, qu’elle provienne d’un employé utilisant des outils d’IA ou d’un agent exécutant un workflow, passe par cinq points de contrôle. Chacun soulève sa propre question de souveraineté.
| Point de contrôle | Que deviennent les données ? | Question de souveraineté | Le contrôle qui y répond |
| 1. Entrée | Les invites, les fichiers et le contexte utilisateur sont transmis au système d’IA | Quelles données les utilisateurs peuvent-ils envoyer, et vers quels modèles ? | Classification, niveaux de données éligibles à l’IA, minimisation des données |
| 2. Récupération | L'IA extrait le contexte des systèmes CMS, CRM, ERP et des référentiels de documents | L’IA peut-elle accéder à des données auxquelles l’utilisateur demandeur n’a pas accès ? | Récupération tenant compte des autorisations |
| 3. Inférence | Le modèle traite les données | Où le traitement a-t-il lieu, selon quelles législations et par quel fournisseur ? | Choix du modèle, engagements régionaux, modèles privés ou auto-hébergés pour les données réglementées |
| 4. Résultats et action | Des réponses sont générées, ou un agent réécrit dans les systèmes | Qui vérifie les résultats avant qu’ils ne parviennent aux clients ou ne soient enregistrés ? | Vérification par un intervenant humain, pistes d’audit |
| 5. Conservation, réutilisation et entraînement | Les journaux, les caches, les représentations vectorielles et les ensembles de réglage fin sont conservés | Des données sont-elles conservées ou utilisées pour entraîner des modèles, et peuvent-elles être supprimées ? | Clauses d’exclusion de l’entraînement, limites de conservation, droits de suppression et d’exportation |
Si votre organisation affine ou entraîne ses propres modèles, traitez les données d’entraînement comme une copie persistante soumise à ses propres règles de classification, d’accès et de suppression.
Un contrôle rigoureux à quatre points de contrôle ne compense pas une lacune au cinquième.
Préserver la souveraineté des données implique-t-il de développer sa propre pile d’IA ?
Non. Posséder l’intégralité de la pile d’IA n’est ni nécessaire ni suffisant.
Si prendre le contrôle total à partir de la couche physique est pertinent pour certaines charges de travail gouvernementales et d’infrastructures critiques, pour la plupart des entreprises, cela s’avère complexe, mobilise des ressources informatiques et d’ingénierie, et coupe les équipes des améliorations rapides apportées aux modèles de base. Une approche plus pratique consiste à adapter l’infrastructure d’IA à la sensibilité des données, en réservant les modèles auto-hébergés ou privés aux données réglementées telles que les dossiers médicaux, et en recourant à des modèles gérés sous contrat pour les cas d’utilisation présentant moins de risques.
Un modèle privé peut tout de même exposer des données sensibles via des intégrations, des accès administratifs, des sources de récupération et des journaux conservés.
C’est ainsi que la transformation s’opère sans tout recommencer à zéro. Vous bénéficiez d’un contrôle renforcé là où cela compte, tout en tirant le meilleur parti des systèmes dont vous disposez déjà.
Comment les entreprises peuvent-elles préserver leur souveraineté en matière de données lorsqu’elles utilisent l’IA ?
Ces six étapes intègrent la gouvernance de l’IA à vos initiatives en la matière, leur permettant ainsi d’évoluer sans perdre le contrôle.
1. Cartographiez et classez les données utilisées par l’IA
Étendez vos pratiques existantes de gestion des données à l’IA. Cartographiez chaque cas d’utilisation de l’IA par rapport aux cinq points de contrôle, classez les données réglementées et sensibles, puis définissez quels modèles peuvent traiter chaque catégorie. Appliquez le principe de minimisation des données afin que chaque tâche ne reçoive que les données dont elle a besoin.
2. Adaptez les modèles et le déploiement à la sensibilité des données
Évaluez les options de cloud, d’infrastructure privée, hybride et auto-hébergée en fonction du lieu de stockage et de traitement des données, de l’identité de l’exploitant de l’infrastructure et des personnes autorisées à accéder aux données. Conservez la liberté de changer de fournisseur ultérieurement, afin qu’un changement réglementaire ne vous oblige pas à tout reconstruire.
3. Appliquez vos politiques d’accès et d’utilisation existantes à l’IA
Les intégrations d’IA doivent hériter des règles d’identité et d’autorisation de votre entreprise, et seuls les modèles et services approuvés doivent avoir accès aux données sensibles. Pour les agents, une bonne gouvernance des agents IA commence par savoir qui a accordé à chacun d’entre eux l’accès à quelles données.
4. Inscrivez la souveraineté dans les contrats avec les fournisseurs
Recherchez des clauses claires concernant la propriété des données, les lieux de traitement, l’entraînement des modèles, la conservation et la suppression des données, ainsi que les notifications de changement de sous-traitant, les accès administratifs et les mécanismes de transfert transfrontalier. Exigez une documentation démontrant le contrôle exercé lors des audits de sécurité et de conformité.
5. Réalisez des tests pilotes avec des données synthétiques
Ne testez pas les versions préliminaires ou d’essai des outils d’IA avec de véritables données clients. Utilisez des données synthétiques ou anonymisées jusqu’à ce qu’un outil ait passé avec succès les contrôles de sécurité et les vérifications juridiques, et confirmez par écrit si les données soumises pendant une période d’essai sont conservées ou utilisées à des fins d’entraînement.
6. Attribuez la responsabilité et réévaluez en permanence
Conservez des traces des interactions de l’IA et des accès aux données, avec un contrôle humain sur les résultats. Les cadres réglementaires l’exigent de plus en plus, et la loi européenne sur l’IA prévoit que les systèmes d’IA à haut risque doivent permettre la journalisation automatique des événements tout au long de leur cycle de vie. Répartissez les responsabilités entre les équipes informatiques, juridiques, de sécurité et de gouvernance des données, et réévaluez la situation chaque fois que les cas d’utilisation s’étendent ou que les fournisseurs ajoutent de nouvelles fonctionnalités. La souveraineté est une exigence opérationnelle permanente, et non un exercice ponctuel.
Quelles questions poser à une plateforme ou à un fournisseur d’IA avant l’adoption ?
Posez ces questions lors de toute évaluation d’un fournisseur d’IA, que vous examiniez un fournisseur de modèles, une plateforme ou une fonctionnalité d’IA intégrée à un logiciel que vous utilisez déjà. Les réponses vous indiqueront le degré de contrôle dont vous disposerez réellement après la mise en service, et les réponses convaincantes s’accompagnent d’une documentation vérifiable plutôt que de simples assurances verbales.
| Question | À quoi ressemble une bonne réponse ? |
| Où les requêtes, les données récupérées, les résultats et les journaux sont-ils traités et stockés ? Le traitement peut-il être affecté à une région spécifique ? | Régions désignées pour chaque étape, confirmées par contrat |
| Nos données sont-elles utilisées pour l’entraînement ? | Non par défaut, uniquement sur consentement explicite, et stipulé dans le contrat |
| L'IA respecte-t-elle nos autorisations utilisateur existantes ? | L’IA n’accède qu’aux données que l’utilisateur demandeur est autorisé à consulter |
| Qu'est-ce que le prestataire assure, et qu'est-ce qui relève de notre responsabilité ? | Un modèle de responsabilité partagée consigné par écrit |
| Quels éléments de preuve pouvez-vous fournir ? | Certifications en cours de validité, droits d’audit et notification préalable de l’ajout de nouveaux sous-traitants |
| Pouvons-nous changer de modèle ou d’hébergeur ultérieurement, et exporter ou supprimer nos données ? | Choix du modèle, options de déploiement multiples, et procédures documentées d’exportation et de suppression |
Évaluez l’architecture IA dans son ensemble, y compris les intégrations et les services tiers, et non pas un produit IA pris isolément. C’est ce qui distingue les solutions IA prêtes pour l’entreprise des démonstrations qui semblent sécurisées.
Comment Liferay DXP aide-t-il les entreprises à garder le contrôle des données utilisées par l’IA ?
Liferay DXP offre à votre équipe des choix aux moments clés où la souveraineté est en jeu, notamment concernant l’emplacement d’exécution de la plateforme, les modèles d’IA auxquels elle se connecte et les données auxquelles ces modèles ont accès.
- Choix de déploiement. Les options de déploiement de Liferay, notamment SaaS, PaaS et auto-hébergé, s’exécutent toutes sur la même plateforme, et Liferay DXP peut également fonctionner sur une infrastructure gérée par le client ou avec des fournisseurs de cloud régionaux et souverains. Avec l’option auto-hébergée, Liferay DXP ne traite pas de données à caractère personnel pour votre compte, et pour les offres cloud, c’est vous qui choisissez la région d’hébergement.
- Choix des modèles. Dans le cadre d’une approche « Bring Your Own AI » (Apportez votre propre IA), vous connectez vos propres modèles ou ceux de tiers via des API prises en charge et restez responsable de cette intégration ainsi que des conditions d’utilisation des modèles.
- Pas d’entraînement sur vos données. Liferay DXP n’utilise pas les données fournies par les clients pour entraîner des modèles d’IA, ni n’autorise des tiers à le faire sans votre autorisation.
- Agents héritant des autorisations. Liferay AI Hub exécute des agents pour le compte d’utilisateurs Liferay DXP authentifiés ; ainsi, ces agents ne voient que ce que ces utilisateurs sont autorisés à voir.
- Gouvernance certifiée. Le système de gestion de l’IA de Liferay est certifié ISO/IEC 42001, conforme à des cadres réglementaires tels que la loi européenne sur l’IA et guidé par des normes éthiques telles que l’équité, la transparence et le contrôle humain. Les clients du cloud sont informés à l’avance de l’ajout de nouveaux sous-traitants et peuvent s’y opposer.
Les fonctionnalités de la plateforme facilitent la gouvernance, mais elles ne remplacent pas votre propre évaluation des modèles, des services externes et des configurations que vous choisissez. Liferay DXP et ses partenaires travaillent directement avec vos équipes techniques et juridiques sur ces décisions.
Comment élaborer une stratégie d’IA qui vous permette de garder le contrôle de vos données ?
Déployer l’IA à grande échelle et préserver la souveraineté des données vont de pair lorsque vous contrôlez les flux de données plutôt que d’essayer de posséder l’ensemble de la pile. Cela nécessite une visibilité sur les flux de données de l’IA, des mesures de protection à chaque point de contrôle et la flexibilité nécessaire pour modifier les modèles et les déploiements à mesure que les règles évoluent. Si vous maîtrisez ces aspects, la souveraineté devient une source de confiance pour les clients plutôt qu’un frein à l’innovation.
Découvrez comment Liferay AI Hub et Liferay DXP connectent l’IA à vos systèmes existants
tout en vous permettant de garder le contrôle de vos données sensibles.
Foire aux questions
Les entreprises peuvent-elles préserver leur souveraineté en matière de données lorsqu'elles utilisent l'IA dans le cloud ?
Oui. L’IA dans le cloud peut répondre aux exigences de souveraineté lorsque vous disposez d’un contrôle opérationnel sur le lieu de traitement des données, leur emplacement au repos, les personnes autorisées à y accéder et la durée de leur conservation. Les engagements que vous pouvez vérifier et faire respecter importent davantage que le choix du cloud que vous utilisez.
Qui est responsable de la conformité lorsqu’un modèle tiers est connecté via une plateforme ?
La responsabilité est partagée. La plateforme sécurise sa propre couche, tandis que votre organisation gère le choix du modèle, l’intégration et les conditions du fournisseur du modèle. Une plateforme qui documente clairement cette répartition facilite la gestion des risques.
Quel est le lien entre la souveraineté des données en matière d’IA, le RGPD et la loi européenne sur l’IA ?
Le traitement par IA relève des règles existantes en matière de protection des données, y compris les restrictions du RGPD concernant les transferts internationaux. La loi européenne sur l’IA ajoute des obligations de gouvernance pour les systèmes à haut risque, telles que la journalisation et la supervision humaine. Les exigences varient considérablement d’un pays à l’autre ; il est donc utile de comprendre en quoi la conformité en matière de souveraineté des données diffère selon les régions.
