8 Min. Temps de lecture<\/p>\n
Google Gemini est arriv\u00e9 dans le cloud d’entreprise, et l’AI Act est devenu applicable en m\u00eame temps. Quiconque construit des pipelines d’inf\u00e9rence sans prendre en compte les obligations pour les mod\u00e8les d’IA \u00e0 usage g\u00e9n\u00e9ral construit une architecture qui sera rejet\u00e9e au plus tard lors de l’audit.<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n Li\u00e9 :<\/span>Android 17 pousse Gemini sous le syst\u00e8me d’exploitation<\/a> \/<\/span> EKS 1.36 devient cher sans discipline FinOps<\/a><\/p>\n Qu’est-ce qu’une architecture d’inf\u00e9rence conforme \u00e0 l’AI Act ?<\/strong> Une architecture d’inf\u00e9rence est conforme \u00e0 l’AI Act si elle refl\u00e8te techniquement les obligations de l’AI Act de l’UE pour les mod\u00e8les d’IA \u00e0 usage g\u00e9n\u00e9ral et les applications \u00e0 haut risque. Cela comprend la transparence des mod\u00e8les, la journalisation des entr\u00e9es et des sorties dans les cas d’utilisation r\u00e9glement\u00e9s, l’\u00e9valuation des risques par cas d’utilisation, l’\u00e9valuation de l’impact sur les droits fondamentaux dans les lieux publics et une s\u00e9paration claire entre les donn\u00e9es de formation et d’inf\u00e9rence.<\/p>\n L’AI Act s’adresse \u00e0 Google Gemini non pas en tant que produit, mais en tant que mod\u00e8le d’IA \u00e0 usage g\u00e9n\u00e9ral. Les obligations concernent le fournisseur et le d\u00e9ployeur. Le fournisseur est Google. Le d\u00e9ployeur est chaque entreprise qui utilise Gemini dans un cas d’utilisation sp\u00e9cifique. Cela d\u00e9place une partie de la responsabilit\u00e9 vers les \u00e9quipes de cloud DACH qui consomment le mod\u00e8le. Lors de l’audit, il ne suffit pas de dire \u00ab\u00a0Google est responsable\u00a0\u00bb. Quiconque appelle le mod\u00e8le doit classer l’appel, le documenter et le classer dans une classe de risque.<\/p>\n Ce n’est pas de la th\u00e9orie. Les premi\u00e8res proc\u00e9dures de sanction sont en cours, les publications de l’Office de l’IA de l’UE sont explicites. Quiconque planifie une architecture d’inf\u00e9rence sans dimension AI Act planifie des dettes.<\/p>\n Vertex AI est la plate-forme d’inf\u00e9rence g\u00e9r\u00e9e par Google avec des mod\u00e8les Gemini. Elle r\u00e9sout automatiquement trois probl\u00e8mes : l’\u00e9pinglage de r\u00e9gion sur les sites de l’UE, la journalisation avec les journaux d’audit cloud et les clauses contractuelles standard dans l’avenant de traitement des donn\u00e9es. Ce que Vertex AI ne r\u00e9sout pas : la transparence des mod\u00e8les pour le cas d’utilisation sp\u00e9cifique, la classification des risques contre l’AI Act, l’\u00e9valuation de l’impact sur les droits fondamentaux dans les applications \u00e0 haut risque.<\/p>\n Cela signifie concr\u00e8tement : Une application RH avec Gemini pour examiner les candidatures est une application \u00e0 haut risque selon l’annexe III de l’AI Act. Vertex AI ne fournit pas cette classification. Le d\u00e9ployeur doit la r\u00e9aliser lui-m\u00eame, assurer la journalisation des d\u00e9cisions du mod\u00e8le pour chaque candidature et documenter l’aper\u00e7u des taux de faux positifs et de faux n\u00e9gatifs. Si la surveillance pose des questions, la r\u00e9ponse \u00ab\u00a0Vertex AI enregistre tout cela\u00a0\u00bb est insuffisante.<\/p>\n \nVertex AI fournit l’infrastructure, l’AI Act exige la classification. La lacune entre les deux ne peut \u00eatre combl\u00e9e que par le d\u00e9ployeur.\n<\/p><\/blockquote>\n Google propose des mod\u00e8les Gemini dans plusieurs variantes, notamment des familles de mod\u00e8les ouverts tels que Gemma 2 et 3, ainsi que des endpoints propri\u00e9taires qui ne fonctionnent que dans Vertex AI. L’auto-h\u00e9bergement n’est donc pas un choix \u00e9vident. Pour les variantes Gemma, il existe de v\u00e9ritables chemins On-Premise via Triton Inference Server ou vLLM sur vos propres GPU. Pour les classes Gemini Pro propri\u00e9taires, ce n’est pas le cas, elles restent li\u00e9es \u00e0 Vertex.<\/p>\n La question \u00ab\u00a0auto-h\u00e9berg\u00e9 ou g\u00e9r\u00e9\u00a0\u00bb se r\u00e9duit ainsi pour la plupart des charges de travail \u00e0 Gemma. Pour les mod\u00e8les propri\u00e9taires, seul Vertex est disponible, et la question de la conformit\u00e9 se d\u00e9place vers la configuration de l’endpoint dans le projet : r\u00e9gion, journalisation, liaisons IAM, piste d’audit.<\/p>\n Source : pages de tarification Google Cloud et \u00e9valuation propre des prix GPU hyperscaler en date de mai 2026.<\/p>\n En pratique, le chemin de l’auto-h\u00e9bergement est rarement rentable en dessous de 10 millions de tokens par jour. En dessous de ce seuil, la surcharge de travail pour DevOps, MLOps et la conformit\u00e9 est plus co\u00fbteuse que les co\u00fbts suppl\u00e9mentaires de tokens chez Vertex. Au-dessus de ce seuil, les choses changent, surtout si la souverainet\u00e9 des donn\u00e9es est exig\u00e9e ou si des chemins de r\u00e9glage sp\u00e9cifiques sont n\u00e9cessaires, ce que Vertex ne permet pas.<\/p>\n Ces cinq obligations peuvent \u00eatre mises en \u0153uvre techniquement, mais pas sans frais. La journalisation est la discipline la moins ch\u00e8re, tandis que la FRIA et la classification des risques sont les plus co\u00fbteuses, car elles n\u00e9cessitent une collaboration juridique. Une architecture d’inf\u00e9rence qui ne prend pas en compte ces obligations dans sa configuration initiale devra les ajouter sous pression plus tard.<\/p>\n Lorsqu’on h\u00e9berge Gemma en propre, on ach\u00e8te une capacit\u00e9 de GPU qui ne doit pas tomber en panne. Un H100 en tant que n\u0153ud unique n’est pas une architecture productive. La haute disponibilit\u00e9 n\u00e9cessite au moins trois n\u0153uds dans deux zones, une capacit\u00e9 de sauvegarde pour les ex\u00e9cutions de formation et de r\u00e9glage, un \u00e9quilibreur de charge avec affinit\u00e9. Les 3,80 euros de l’heure nominal deviennent 6 \u00e0 8 euros effectifs dans une production r\u00e9elle, selon le taux d’utilisation.<\/p>\n Ce n’est pas faux, c’est juste cher. Lorsqu’on a un volume d’inf\u00e9rence clair avec des nombres de jetons \u00e0 six ou sept chiffres par jour, on peut calculer le chemin de l’h\u00e9bergement personnel. Lorsqu’on d\u00e9marre de mani\u00e8re exp\u00e9rimentale, on utilise Vertex plus rapidement et \u00e0 moindre co\u00fbt, et on gagne du temps pour \u00e9tablir les bases de conformit\u00e9 avant de prendre une d\u00e9cision sur les GPU.<\/p>\n Trois \u00e9l\u00e9ments d\u00e9terminent si l’int\u00e9gration de Gemini par une entreprise est conforme \u00e0 l’AI Act. Premi\u00e8rement : inventaire des cas d’utilisation avec une classe de risque par application, document\u00e9 et accessible lors d’un audit. Deuxi\u00e8mement : d\u00e9cision de plateforme, pour savoir si Vertex AI est utilis\u00e9 par d\u00e9faut ou si certains cas d’utilisation sont d\u00e9localis\u00e9s sur Gemma auto-h\u00e9berg\u00e9. Troisi\u00e8mement : matrice de responsabilit\u00e9 qui d\u00e9finit explicitement ce que Google fournit et ce que le d\u00e9ployeur assume.<\/p>\n Sans ces trois \u00e9l\u00e9ments, une architecture se d\u00e9veloppe en r\u00e9action \u00e0 chaque nouveau besoin, sans que la substance de conformit\u00e9 ne croisse avec elle. C’est la source d’erreur la plus fr\u00e9quente. Celui qui prend ces d\u00e9cisions avant le deuxi\u00e8me cas d’utilisation construit une base solide. Celui qui attend construit apr\u00e8s coup.<\/p>\n L’emplacement de donn\u00e9es europ\u00e9en est une condition n\u00e9cessaire mais pas suffisante. Google, en tant qu’entreprise am\u00e9ricaine, reste soumis au CLOUD Act, ce qui n\u00e9cessite des mesures de protection contractuelles et techniques suppl\u00e9mentaires. Les clauses contractuelles standard associ\u00e9es \u00e0 un cryptage avec des cl\u00e9s g\u00e9r\u00e9es par le client via Cloud KMS ou External Key Manager constituent le chemin le plus courant. Sans ce compl\u00e9ment, la conformit\u00e9 au RGPD pour les donn\u00e9es sensibles est vuln\u00e9rable.<\/p>\n<\/details>\n L’annexe III de l’AI Act liste des domaines sp\u00e9cifiques : infrastructure critique, \u00e9ducation et formation professionnelle, emploi et d\u00e9cisions en mati\u00e8re de personnel, acc\u00e8s aux services publics et aux prestations sociales, r\u00e9pression p\u00e9nale, contr\u00f4le des fronti\u00e8res, administration de la justice. Celui qui utilise Gemini dans l’un de ces domaines construit une application \u00e0 haut risque avec obligation de FRIA, de journalisation renforc\u00e9e et de notification aux autorit\u00e9s.<\/p>\n<\/details>\n Oui, l’AI Act ne diff\u00e9rencie pas principalement en fonction de la taille de l’entreprise, mais en fonction de la classe de risque du cas d’utilisation. Les PME b\u00e9n\u00e9ficient de certaines facilitations en mati\u00e8re de documentation, mais les obligations fondamentales s’appliquent. Un start-up de trois personnes qui utilise Gemini pour la pr\u00e9s\u00e9lection des candidatures construit une application \u00e0 haut risque avec toutes les obligations.<\/p>\n<\/details>\n Le RGPD exige un registre des activit\u00e9s de traitement et des journaux d’audit pour les donn\u00e9es sensibles. L’AI Act exige en outre une journalisation de l’activit\u00e9 du mod\u00e8le avec les entr\u00e9es, les sorties, les valeurs de confiance et les indications de version, qui vise sp\u00e9cifiquement \u00e0 garantir la tra\u00e7abilit\u00e9 de la d\u00e9cision de l’IA. Les obligations se chevauchent, mais ne sont pas identiques. Celui qui ne se conforme qu’\u00e0 la journalisation du RGPD n’a pas automatiquement une journalisation conforme \u00e0 l’AI Act.<\/p>\n<\/details>\n\n
Ce que Google Gemini change dans le cloud d’entreprise sur le plan r\u00e9glementaire<\/h2>\n
O\u00f9 Vertex AI facilite la conformit\u00e9 et o\u00f9 elle ne le fait pas<\/h2>\n
Endpoints Gemini auto-h\u00e9berg\u00e9s : quand ils sont rentables<\/h2>\n
\n\n
\n \nDimension<\/th>\n Vertex AI g\u00e9r\u00e9<\/th>\n Gemma auto-h\u00e9berg\u00e9 sur GKE<\/th>\n<\/tr>\n<\/thead>\n \n Mod\u00e8le de co\u00fbt<\/strong><\/td>\n Par token, environ 0,3 centime par 1 000 tokens de sortie pour Gemini Flash, nettement plus \u00e9lev\u00e9 pour Gemini Pro<\/td>\n Tarif horaire GPU plus frais g\u00e9n\u00e9raux de cluster, environ 3 euros par heure H100 \u00e0 la demande<\/td>\n<\/tr>\n \n Effort de conformit\u00e9<\/strong><\/td>\n R\u00e9gion et journalisation pr\u00eats \u00e0 l’emploi, classification AI-Act chez le client<\/td>\n Pipeline de conformit\u00e9 complet chez le client, pas de journalisation par le fournisseur<\/td>\n<\/tr>\n \n Carte de mod\u00e8le<\/strong><\/td>\n Publi\u00e9 par Google, \u00e0 classer par le d\u00e9ployeur<\/td>\n Carte de mod\u00e8le Gemma plus documentation de r\u00e9glage personnalis\u00e9<\/td>\n<\/tr>\n \n Souverainet\u00e9 des donn\u00e9es<\/strong><\/td>\n \u00c9pinglage de r\u00e9gion sur l’UE, acc\u00e8s des autorit\u00e9s selon le droit am\u00e9ricain possible<\/td>\n Contr\u00f4le total, \u00e0 condition que le fournisseur de GPU ne soit pas accessible selon le droit am\u00e9ricain<\/td>\n<\/tr>\n \n Pertinent \u00e0 partir de<\/strong><\/td>\n Imm\u00e9diatement, pour la plupart des cas d’utilisation<\/td>\n Environ 10 millions de tokens par jour ou avec exigence de souverainet\u00e9 des donn\u00e9es claire<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n Les cinq obligations de l’AI-Act qui doivent \u00eatre int\u00e9gr\u00e9es dans chaque architecture Gemini<\/h2>\n
Pourquoi les co\u00fbts de GPU influencent la d\u00e9cision d’architecture<\/h2>\n
Ce que les \u00e9quipes cloud DACH doivent int\u00e9grer dans les six prochains mois<\/h2>\n
Foire aux questions<\/h2>\n
L’emplacement de donn\u00e9es europ\u00e9en de Vertex AI suffit-il pour la conformit\u00e9 au RGPD ?<\/strong><\/summary>\n
Quels cas d’utilisation de Gemini sont consid\u00e9r\u00e9s comme \u00e0 haut risque selon l’AI Act ?<\/strong><\/summary>\n
Les entreprises de moins de 250 employ\u00e9s doivent-elles se conformer \u00e0 l’AI Act ?<\/strong><\/summary>\n
En quoi l’AI Act diff\u00e8re-t-il du RGPD en mati\u00e8re d’exigences de journalisation ?<\/strong><\/summary>\n
Conseils de lecture de la r\u00e9daction<\/h3>\n