Souveraineté des données et IA américaine : le débat honnête

La question revient dans presque tous les comités de direction que nous rencontrons : peut-on confier ses données à une IA américaine ? La souveraineté des données face à l’IA se joue en réalité à trois niveaux distincts : le droit encadre (RGPD, clauses contractuelles types), le contrat précise (non-entraînement, durée de rétention, localisation), et l’architecture protège — ce que le modèle ne voit jamais n’a pas besoin d’être protégé.

Le débat public mélange ces trois niveaux en permanence. Résultat : des entreprises paralysées par un risque mal nommé, et d’autres qui foncent sans avoir lu une seule ligne de leur contrat. Les deux se trompent. Voici comment décider en connaissance de cause.

Que couvre déjà le droit ?

Le RGPD s’applique intégralement dès qu’une donnée personnelle transite par un modèle d’IA, quel que soit le pavillon du fournisseur. Accord de traitement des données, clauses contractuelles types pour les transferts hors UE, registre des traitements : le cadre existe, il est exigeant, et les grands fournisseurs d’IA le signent.

Reste le sujet qui fâche : les lois extraterritoriales américaines, qui peuvent en théorie contraindre un fournisseur à communiquer des données. Le risque est réel sur le papier. Il faut ensuite le comparer honnêtement à votre exposition actuelle : si vos emails, vos fichiers et votre CRM tournent déjà sur des clouds américains — c’est le cas de l’immense majorité des PME françaises — l’IA ne crée pas ce risque, elle l’étend à un périmètre de plus.

Ce que le contrat doit dire noir sur blanc

C’est le niveau le plus négligé, alors que c’est le plus actionnable. Avant tout déploiement, quatre clauses doivent être vérifiées dans l’offre entreprise de votre fournisseur — pas dans les conditions grand public, qui sont différentes.

• Non-entraînement : vos données ne servent jamais à entraîner les modèles. C’est standard dans les offres entreprise sérieuses, jamais garanti dans les offres gratuites.
• Rétention : durée de conservation des requêtes, options de rétention zéro, procédure de suppression.
• Localisation : où les données sont traitées et stockées, et quelles options de résidence européenne existent.
• Audit et certifications : SOC 2, ISO 27001, droit d’audit — de quoi répondre à votre DSI et à vos propres clients.

Ce que l’architecture résout mieux que le contrat

Le contrat protège les données qui sortent. L’architecture décide de ce qui sort. C’est le rôle des garde-fous — l’un des quatre piliers du Harness, la couche d’orchestration entre Claude et vos process : définir techniquement ce que le modèle peut lire, ce qu’il ne peut pas, et ce qui reste en interne.

Concrètement : les données véritablement sensibles — paie, santé, secrets industriels — peuvent être exclues du périmètre, pseudonymisées avant envoi, ou traitées par des circuits séparés. La question n’est plus « peut-on faire confiance ? » mais « qu’avons-nous décidé d’exposer, et pourquoi ? ». Une décision d’architecture se vérifie ; une confiance se décrète.

Le vrai débat : cohérence, pas pureté

Il existe des cas où la souveraineté stricte s’impose : secteurs régulés, données de défense, exigences client explicites. Pour ces périmètres, des solutions existent — modèles hébergés en Europe, déploiements dédiés — avec leurs contreparties de coût et de capacités. C’est un choix légitime quand il est motivé.

Pour tout le reste, exiger de l’IA une pureté souveraine qu’on n’exige ni de sa messagerie, ni de son CRM, ni de sa visioconférence n’est pas de la prudence : c’est une incohérence qui coûte cher en compétitivité. Le débat honnête consiste à cartographier ses données par sensibilité, puis à appliquer à chaque catégorie le niveau de protection qu’elle mérite.

Décider en connaissance de cause

La bonne séquence tient en trois questions. Quelles données sont réellement sensibles chez nous, et lesquelles le sont moins qu’on le croit ? Que dit précisément le contrat entreprise du fournisseur envisagé ? Quels garde-fous techniques posons-nous pour que la règle soit dans l’architecture, pas dans une charte que personne ne lit ?

C’est exactement le travail que nous menons avec la DSI lors de nos déploiements : périmètres validés ensemble, garde-fous inscrits dans le Harness, décision documentée. La souveraineté n’est pas un slogan — c’est une cartographie, un contrat lu, et une architecture qui tient ses promesses.