Qu'est-ce que l'IA souveraine ?

Une définition en une phrase

Une IA est souveraine quand l'organisation qui l'utilise garde le contrôle effectif sur les trois couches qui la composent : le matériel qui exécute les calculs, le modèle qui produit les réponses, et les données qui alimentent le tout.

Le mot important est « effectif ». Un contrat qui promet la confidentialité n'est pas la même chose qu'une architecture où la donnée ne sort physiquement jamais du bâtiment. Le premier repose sur la bonne foi et sur le droit applicable au fournisseur. Le second ne repose sur rien d'autre que la topologie du réseau.

Pourquoi le sujet est devenu concret

Pendant dix ans, externaliser vers le cloud a été la réponse par défaut. L'IA générative a changé l'équation, parce qu'elle ne traite pas des données périphériques : elle traite les documents stratégiques, les dossiers clients, les contrats, les comptes rendus internes. Ce que vous envoyez à un modèle distant, c'est la matière première de votre entreprise.

Trois évolutions ont rendu la question inévitable. D'abord la portée extraterritoriale de certaines législations, dont le Cloud Act américain de 2018, qui permet à des autorités d'exiger d'un fournisseur soumis à leur droit la remise de données hébergées à l'étranger. Ensuite la jurisprudence européenne : la Cour de justice de l'Union européenne a invalidé deux cadres successifs de transfert vers les États-Unis, le Safe Harbor en 2015 puis le Privacy Shield en 2020. Enfin la dépendance économique : quand un fournisseur change ses tarifs, ses conditions d'utilisation ou retire un modèle, vous subissez.

S'ajoute une réalité opérationnelle souvent sous-estimée : sans connexion, une IA dans le cloud n'existe plus. Pour un cabinet, une agence ou une usine, la panne réseau devient une panne de production.

Les trois niveaux de souveraineté

Toutes les offres qui se disent souveraines ne se situent pas au même niveau. Il est utile de les distinguer, parce que l'écart de protection entre elles est considérable.

• Souveraineté des données : vos données sont stockées dans une juridiction donnée. C'est le niveau le plus faible, car la localisation du serveur ne dit rien du droit auquel est soumise la société qui l'exploite.
• Souveraineté de l'infrastructure : le matériel appartient à une entité dont vous maîtrisez le rattachement juridique, ou mieux, il se trouve dans vos locaux.
• Souveraineté du modèle : les poids du modèle sont exécutés chez vous, sans appel sortant vers une API tierce. Personne ne peut modifier son comportement, le brider ou le retirer sans votre accord.

Souverain ne veut pas dire fermé

Une confusion fréquente consiste à opposer souveraineté et ouverture. C'est l'inverse. Les modèles ouverts, dont les poids sont publiquement distribués, sont précisément ce qui rend la souveraineté atteignable : vous pouvez les télécharger, les exécuter sur votre matériel, les auditer et les figer dans une version dont vous garantissez la stabilité.

Une IA souveraine n'est pas non plus une IA coupée du monde. Elle est une IA dont vous décidez ce qui sort. La différence est celle entre une porte fermée et une porte que vous contrôlez.

Ce que cela demande, concrètement

Longtemps, la réponse honnête était : une salle serveur, des GPU, un ingénieur MLOps et plusieurs mois. C'est ce coût d'entrée qui a maintenu la plupart des organisations dans le cloud, faute d'alternative réaliste.

Le matériel a rattrapé le besoin. Une superpuce comme la NVIDIA GB10 Grace Blackwell délivre jusqu'à 1 PFLOP en précision FP4 avec 128 Go de mémoire unifiée, dans un boîtier de bureau alimenté sur une prise standard. Cette mémoire unifiée est le point clé : elle permet de charger des modèles qui exigeaient hier plusieurs cartes graphiques professionnelles.

C'est le principe de DIWY. La box arrive préconfigurée avec Devana OS, la couche système qui fait tourner Suite 366 et Devana entièrement hors ligne. Vous la branchez sur votre réseau, vos équipes se connectent, et aucune requête ne quitte vos locaux.

Les questions à poser à un fournisseur

Avant de retenir une solution présentée comme souveraine, quatre questions suffisent généralement à lever l'ambiguïté.

• Où s'exécutent les inférences, physiquement, et sous quel droit se trouve l'entité qui exploite ce matériel ?
• Le service continue-t-il de fonctionner si la connexion internet est coupée ?
• Puis-je auditer les flux sortants et constater qu'aucune donnée ne part ?
• Que deviennent mes usages si le fournisseur change ses conditions ou disparaît ?