IA souveraine : garder l'IA de votre entreprise à l'intérieur de l'UE

Demandez à un fournisseur cloud où résident vos données et vous obtiendrez une réponse rassurante : une région UE, un centre de données européen, peut-être même au Luxembourg. Posez une autre question — qui peut être légalement contraint de remettre ces données, et selon le droit de quel pays ? — et la réponse se complique. Cette différence est celle qui sépare la résidence des données de la souveraineté des données, et pour les entreprises qui déploient de l'IA au Luxembourg, elle mérite d'être comprise avec précision.

La résidence est une géographie. La souveraineté est une juridiction.

La résidence des données signifie que vos données sont physiquement stockées à un endroit donné — Francfort ou Luxembourg, par exemple. La souveraineté des données signifie que vos données ne sont soumises qu'aux lois auxquelles vous vous attendez, et contrôlées par des entités relevant de cet ordre juridique.

Un système d'IA peut avoir une résidence UE parfaite et relever malgré tout d'une juridiction non européenne. Si l'opérateur de votre pile d'IA est soumis au droit d'un autre pays, l'emplacement des serveurs ne dit pas tout. Et pour l'IA en particulier, la question dépasse le stockage : les prompts, les documents récupérés, les embeddings et les sorties du modèle transitent tous par celui qui opère le point d'accès au modèle.

Le CLOUD Act, énoncé factuellement

Le CLOUD Act américain (Clarifying Lawful Overseas Use of Data Act), adopté en mars 2018, permet aux autorités américaines — moyennant une procédure légale appropriée, comme un mandat — d'exiger des fournisseurs soumis à la juridiction des États-Unis la divulgation de données en leur possession ou sous leur contrôle, quel que soit le lieu de stockage de ces données. Stocker des données dans une région UE d'un fournisseur dont le siège est aux États-Unis ne les place pas, en soi, hors de portée de ce mécanisme.

Deux choses doivent être dites avec la même clarté. D'abord, il ne s'agit pas d'affirmer que les fournisseurs américains remettent couramment des données d'entreprises européennes : ces divulgations suivent une procédure légale, les fournisseurs contestent des demandes, et le cadre de protection des données UE–États-Unis (Data Privacy Framework, adopté par la Commission européenne en 2023) offre actuellement une base légale de transfert — même si ses prédécesseurs (Safe Harbor, Privacy Shield) ont tous deux été invalidés par la Cour de justice de l'UE, en dernier lieu par l'arrêt Schrems II de 2020. Ensuite, rien de tout cela n'est hypothétique pour un responsable conformité : votre DPO doit raisonner sur ces scénarios dans une AIPD, qu'ils soient probables ou non.

Une architecture souveraine change la nature de cette analyse. Lorsque vos modèles tournent sur une infrastructure européenne opérée par des entités européennes — ou sur votre propre matériel — il n'y a aucun transfert transatlantique à justifier ni aucun scénario de contrainte étrangère à modéliser. La question n'obtient pas une meilleure réponse ; elle disparaît.

Ce qui a changé : les modèles de niveau européen sont désormais réellement bons

Pendant des années, l'objection honnête à l'IA souveraine était la capacité : les meilleurs modèles n'étaient disponibles que via des API opérées aux États-Unis. Cela a changé sur deux fronts.

• Les développeurs de modèles européens. Mistral AI, dont le siège est à Paris, publie des modèles — y compris des versions à poids ouverts sous licences permissives — compétitifs pour la grande majorité des tâches d'entreprise : compréhension de documents, génération augmentée par récupération (RAG), extraction, chat multilingue. D'autres familles de modèles à poids ouverts peuvent également être opérées entièrement sous votre contrôle.
• Les options d'hébergement européennes. Les modèles à poids ouverts peuvent tourner chez des fournisseurs cloud européens soumis à la juridiction de l'UE, sur des régions UE avec des garanties contractuelles et techniques, ou sur site. Le spectre de déploiement va de l'auto-hébergement complet (souveraineté maximale, charge opérationnelle plus élevée) à l'inférence managée opérée dans l'UE (moins de travail, et toujours aucun point d'accès sous juridiction américaine dans le chemin des données).

Conséquence pratique : pour la plupart des cas d'usage luxembourgeois — assistants internes, questions-réponses sur documents, extraction structurée, chat client multilingue — vous ne sacrifiez plus de capacité significative à la souveraineté. Des exceptions existent à la frontière des capacités des modèles, et une évaluation honnête les nomme au lieu de prétendre que le compromis est toujours nul.

Pas une théorie : notre preuve publique et en direct

Nous préférons le montrer plutôt que l'affirmer. La démo Legilux de notre playground est un système d'IA souverain que vous pouvez essayer dès maintenant, gratuitement, sur yet.lu :

• Des données ouvertes luxembourgeoises. Elle interroge en temps réel le point d'accès SPARQL de Legilux — le Journal officiel du Luxembourg en données ouvertes sur data.public.lu. C'est une réutilisation de données ouvertes officiellement enregistrée.
• Un modèle hébergé dans l'UE. Les réponses sont générées par un modèle hébergé dans l'UE — aucune API sous juridiction américaine dans la boucle.
• Des réponses ancrées et citées. Posez une question sur la législation luxembourgeoise dans n'importe quelle langue : le système trouve les actes pertinents, les lit et répond avec des citations numérotées renvoyant aux textes officiels. Le texte officiel prévaut toujours.

Chaque couche — source de données, modèle, hébergement — se trouve dans l'UE. C'est le schéma d'architecture que nous déployons pour nos clients, démontré sur des données publiques que chacun peut tester. Vous pouvez le voir aux côtés de nos autres réalisations sur notre page projets.

Comment raisonner pour votre entreprise

Un cadre de décision court et honnête :

1. Classez d'abord vos données. Un texte marketing public n'a pas besoin d'un traitement souverain. Les dossiers clients, les données RH, tout ce qui relève du secret professionnel et les données des secteurs réglementés méritent la voie stricte. La plupart des entreprises ont besoin d'une politique à deux niveaux, pas d'une politique uniforme.
2. Tracez le chemin complet des données de l'IA. Pas seulement le stockage : quel point d'accès reçoit vos prompts ? Qui l'opère, et sous quelle juridiction ? Que disent les conditions du fournisseur sur l'utilisation de vos données pour l'entraînement ?
3. Adaptez le modèle de déploiement au niveau de sensibilité. Modèles à poids ouverts opérés dans l'UE ou auto-hébergés pour le niveau sensible ; plus de flexibilité là où les données ne sont réellement pas sensibles.
4. Écrivez-le. Une décision de souveraineté consignée dans un schéma d'architecture et une AIPD est défendable devant un régulateur, un conseil d'administration ou l'équipe achats d'un grand client. Une décision qui repose sur la page marketing d'un fournisseur ne l'est pas.

La souveraineté n'est pas une idéologie, et elle n'est pas gratuite : l'auto-hébergement a un coût opérationnel réel, et l'inférence opérée dans l'UE doit être choisie sur ses mérites, pas pour le drapeau. Mais pour les entreprises luxembourgeoises dont l'activité repose sur la confidentialité — et cela décrit une grande partie de la place financière — elle est devenue un choix par défaut atteignable plutôt qu'un sacrifice. L'excuse de la capacité a disparu. Reste une décision d'architecture — et les décisions d'architecture se prennent délibérément ou par accident. Délibérément, c'est mieux.