Données souveraines, modèle d’IA sous dépendance

Une région cloud dans l’UE permet de contrôler le lieu de traitement des données. Elle ne dit pas si un changement de modèle d’IA reste possible. Selon une enquête d’Accenture, 60 % des organisations appliquaient des exigences de souveraineté ou de localisation aux données, contre 22 % aux modèles d’IA. Les DSI doivent donc prévoir tôt le changement de modèle dans l’architecture et les contrats.

L’essentiel en bref

La faille de contrôle entre les données et le modèle

Une entreprise peut traiter ses données dans une région située dans l’UE tout en dépendant d’un seul fournisseur de modèles. Les versions disponibles, l’interface et la possibilité de rediriger les requêtes vers un autre modèle deviennent alors déterminantes. Le seul lieu de stockage ne répond pas à ces questions.

L’enquête d’Accenture auprès de 1 928 dirigeants, menée en juillet et août 2025, montre à quels niveaux les organisations interrogées appliquent des exigences de souveraineté ou de localisation : 60 % citent les données, 46 % l’infrastructure et 22 % les modèles d’IA. Ces chiffres montrent l’étendue de ces exigences dans l’échantillon. À eux seuls, ils ne prouvent ni la sécurité réelle des systèmes utilisés ni la possibilité d’en changer.

Pour les applications d’IA ayant accès à des outils et à des processus métier, l’examen devrait donc aussi porter sur le modèle et son intégration : qui détermine la version du modèle ? Quelles données sont transmises au service ? Quelles fonctions dépendent d’une interface propre au fournisseur ?

La transition commence dans l’architecture

Une couche d’interface dédiée peut découpler les applications des API de modèles individuels. Les modèles de prompts, les autorisations des outils et les journaux peuvent ainsi être gérés de manière ciblée. Même dans ce cas, un changement reste un projet : les modèles diffèrent par leurs formats de sortie et leur comportement. Un modèle de remplacement doit être testé sur des tâches représentatives afin d’évaluer sa qualité et ses comportements erronés.

Le plan de sortie doit donc s’appuyer sur une démonstration pratique. Celle-ci comprend un modèle ou une méthode d’exploitation de remplacement, des dépendances documentées et un test couvrant le transfert des données, les autorisations et la poursuite du processus métier. Pour les modèles exploités localement, il faut en outre vérifier leur provenance, les conditions de licence et le contrôle de l’ensemble de l’environnement d’exécution.

Les contrats cloud doivent prévoir la transition

Le Data Act fixe des règles de changement de fournisseur pour les services de traitement de données concernés. Le contrat doit notamment prévoir un délai de préavis pour le début du processus de changement, qui ne peut dépasser deux mois. En principe, le contrat prend fin une fois le changement mené à bien. L’examen du contrat doit aussi porter sur les données et les actifs numériques qui peuvent être exportés.

À partir du 12 janvier 2027, les fournisseurs ne pourront plus facturer de frais de changement. D’ici là, le règlement limite ces frais aux coûts pertinents pendant la période transitoire. Cela ne supprime pas automatiquement tous les efforts à la charge du client : une entreprise devrait notamment prévoir ses propres adaptations et les tests du système cible.

Les entreprises financières ont besoin d’un plan de sortie

Pour les entreprises financières, DORA impose une gestion du risque lié aux prestataires tiers de services TIC. Lorsqu’un service TIC soutient des fonctions critiques ou importantes, l’entreprise financière doit disposer d’une stratégie de sortie. Les plans de sortie doivent être documentés de manière exhaustive, testés de façon appropriée et réexaminés régulièrement.

La question de savoir si un service d’IA soutient une telle fonction dépend de son utilisation concrète. L’examen isolé de la localisation du cloud ne suffit pas à trancher. Les entreprises devraient également identifier les processus qui dépendent du modèle et de ses autres prestataires.

Par ailleurs, les obligations de transparence de l’AI Act s’appliquent à certains systèmes d’IA depuis août 2026. La Commission européenne indique la date du 2 décembre 2027 pour les exigences applicables à certains systèmes d’IA autonomes à haut risque. Les obligations applicables dépendent du système, de son usage prévu et du rôle de l’entreprise.

Questions fréquentes

Source de l’image : générée par IA (novembre 2026)

Traduit de l’original allemand par intelligence artificielle. La version allemande fait foi.