Qu'est-ce que l'IA souveraine ?

Le terme « IA souveraine » évoque un concept moderne et attrayant. On. s'imagine une équipe d'agents internationaux au look de James Bond, protégeant un data center ultra‑secret sous terre. Mais, à la différence d'un film, l'IA souveraine est bien réelle et concrète, et dépasse largement la seule sécurité nationale. Des politiques de gouvernance solides et une rigueur technique en IA souveraine protègent les ressources de l'entreprise, la vie privée des clients, et renforcent les infrastructures numériques contre les acteurs malveillants.

Dans les faits, l'IA souveraine repose sur de bonnes pratiques de sécurité IT, sous l'influence des lois nationales et des normes sectorielles. Votre entreprise peut juger nécessaire d'adopter l'IA souveraine dès maintenant ou bientôt, et même si ce n'est pas le cas, elle a tout intérêt à appliquer ces pratiques et politiques.

Qu'est-ce que l'IA souveraine ?

En bref, l'IA souveraine vise à garantir une production locale de l'IA, qu'il s'agisse des données d'entraînement, des données explorées lors des requêtes ou des résultats générés en sortie.

Dans ce cadre, l'IA souveraine peut couvrir l'ensemble des technologies dites « intelligence artificielle », du machine learning pour détecter tendances et anomalies, aux réseaux de neurones convolutionnels pour la reconnaissance de motifs, jusqu'aux images, sons ou textes générés par l'IA générative. Elle peut aussi s'accompagner de règles encadrant l'usage des technologies d'IA, par exemple en matière de confidentialité.

On peut la rapprocher de la souveraineté des données, sans les confondre. La souveraineté des données impose de respecter les règles nationales sur les lieux de stockage et de traitement des données, voire leurs modalités de transit sur les réseaux. Le RGPD de l'Union européenne en est un exemple. Dès maintenant, des pratiques adaptées facilitent la conformité au fil des évolutions réglementaires. Par exemple, la plupart des entreprises disposent déjà de politiques de gouvernance des données. Étendre ces politiques à l'IA dès les phases d'essai évite des écueils plus tard, et balise les usages autorisés. Les systèmes d'IA peuvent nécessiter des règles spécifiques tenant compte des conditions d'entraînement des modèles et de leurs accès aux données de l'entreprise pour garantir des résultats utiles.

IA souveraine ou IA publique ?

Les systèmes d'IA souveraine stockent et gèrent modèles et données, y compris des données d'exploitation et d'entraînement soumises à des réglementations nationales ou régionales, avec des limitations d'usage réservées aux personnes et systèmes autorisés. On retrouve des solutions d'IA souveraine au sein des gouvernements, de leurs prestataires et partenaires, ainsi que de toute entreprise manipulant des données et applications réglementées.

L'« IA publique » recouvre le reste, à savoir les applications et données non soumises aux impératifs de l'IA souveraine ni à d'autres obligations de conformité. Cela inclut une large palette d'applications grand public et de réseaux d'entreprise. Pensez aux LLM qui alimentent Google Chat et les fonctions d'IA de Facebook, ainsi qu'à de nombreux générateurs d'images, agrégateurs d'actualités, systèmes de visioconférence et traducteurs. Toutefois, tous les logiciels d'IA grand public ne relèvent pas de l'« IA publique ». Banques, acteurs de la santé, établissements d'enseignement, et bien d'autres, peuvent être intéressés par l'IA souveraine.

Points à retenir

• L'IA souveraine prolonge la souveraineté des données, en englobant les nouvelles technologies et les usages data, y compris les modèles d'IA.
• Cette catégorie couvre l'usage de l'IA générative et du machine learning lorsque ces systèmes sont entraînés sur, ou ont accès à, des sources de données soumises à des restrictions juridictionnelles ou autres.
• Avec des partenaires proposant des options de contrôle de souveraineté, une infrastructure cloud distribuée aide à adresser l'IA souveraine, la résidence des données, la confidentialité et les contrôles d'accès.

Ce qu'il faut savoir sur l'IA souveraine

L'IA souveraine désigne, de façon large, la maîtrise des systèmes d'IA susceptibles d'être impactés par des contraintes juridictionnelles. Un objectif clé est d'éviter que des données sensibles quittent une juridiction ou soient consultées par des personnes non habilitées.

Six aspects sont à considérer pour l'IA souveraine : comprendre la réglementation applicable, définir l'infrastructure IA cible, mettre en place des contrôles de résidence des données, des contrôles de confidentialité, des garde‑fous juridiques, et sécuriser toute la pile IA.

• Comprendre les réglementations. Connaissez‑vous les exigences de souveraineté des données de votre pays ou de votre région ? Si oui, félicitations, vous faites partie des rares personnes à être au clair sur le sujet. Ces règles sont souvent complexes. Avec l'IA souveraine, il faut d'abord considérer les règles de souveraineté des données, puis aller plus loin, en intégrant la manière dont les données entraînent les algorithmes et les réponses produites par les modèles d'IA.

• Définir votre infrastructure IA cible. Vos solutions IA peuvent s'exécuter on‑premises, dans le cloud, en mode hybride cloud/on‑premises, voire en multicloud. Le plus simple est souvent de bâtir et d'opérer cette infrastructure dans le cloud, où votre fournisseur vous accompagne et propose un riche catalogue de services IA.

  Si vous visez le cloud, choisissez le modèle qui vous convient. Souhaitez‑vous des solutions logiciel en tant que service, avec des fonctions d'IA intégrées aux applications métiers ? Une plateforme en tant que service offrant des outils IA pour composer vos propres systèmes ? Ou une infrastructure en tant que service où vous louez serveurs et réseaux pour tout construire vous‑même ? Ou une combinaison de ces approches ? Vos choix conditionneront l'effort nécessaire pour répondre aux exigences d'IA souveraine.

• Mettre en place des contrôles de résidence des données. Une fois l'infrastructure choisie, évaluez la part de vos données, applications et flux réseau qui restent dans les frontières nationales, ou dans votre zone cible. Si votre fournisseur vous aide à gérer la souveraineté des données, vous aborderez plus sereinement l'IA souveraine.

  Selon le fournisseur, vous pourrez définir des contrôles très granulaires sur vos données, applications, réseaux et ressources de calcul, ainsi que les contrôles d'accès utilisateurs requis. Selon votre secteur et vos exigences, une offre de cloud public commercial disposant de régions dans de nombreux pays peut suffire à répondre à la conformité. Il se peut aussi que vous ayez besoin d'un cloud dédié au secteur public, répondant à des exigences supplémentaires. Par exemple, dans l'Union européenne, un cloud souverain UE peut s'avérer pertinent. Dans certains cas, vous pouvez déployer un cloud complet dans votre datacenter, Oracle parle alors de dedicated region. Vous pouvez même opter pour des régions cloud isolées, une infrastructure semblable au cloud, mais opérant hors Internet.

  Toutes ces options doivent être envisagées dans votre programme d'IA souveraine.

• Définir des contrôles de confidentialité des données. La résidence concerne le lieu de stockage, la confidentialité se concentre sur la nature des données et leurs usages autorisés. Les utilisateurs voient‑ils des informations personnelles, ou uniquement des résultats agrégés ? Quelles réponses une IA générative peut‑elle fournir à des requêtes ? C'est complexe, votre logiciel doit pouvoir s'appuyer sur un contrôle d'accès flexible pour gérer des cas d'usage élaborés.

  Par exemple, contrôler l'accès à un chatbot d'IA générative peut ne pas suffire. Il faudra peut‑être le concevoir pour répondre de manière adaptée selon les requêtes. La bonne nouvelle, c'est que les grands fournisseurs, notamment SaaS, gèrent déjà ces scénarios complexes et étendent ces contrôles de confidentialité à leurs agents d'IA et autres outils d'intelligence artificielle.

  De plus, l'usage de l'IA dans le cloud peut exiger des contrôles stricts des accès côté opérationnel et interne. Cela peut passer, dans certains cas, par un chiffrement fort avec des clés fournies par le client et gérées par des prestataires locaux. D'autres cas exigent du personnel d'exploitation et de support habilité.

• Instaurer des contrôles juridiques. Déterminer la conformité aux réglementations peut s'avérer complexe. Au sein d'une même entreprise, les contraintes varient selon les données, RH, santé, finances, propriété intellectuelle. Pour une multinationale, la combinaison des cas de figure est vertigineuse.

  À ce stade, il est indispensable de consulter vos juristes. Les équipes IT aident les juristes à comprendre les implications techniques de la conformité, les juristes orientent l'IT vers des choix qui réduisent les risques. Des consultants peuvent accompagner l'évaluation et les tests.

  Vérifiez aussi que vos fournisseurs disposent des capacités et ressources juridictionnelles adaptées à vos besoins de conformité. Par exemple, si vous opérez dans l'UE, privilégiez un fournisseur d'IA cloud offrant des options situées dans l'Union.

• Sécuriser votre stack d'IA. Faites entrer l'IA dans votre dispositif de sécurité existant, tout en prévoyant des efforts et tests supplémentaires propres à l'IA. Il est rare d'entraîner ses propres systèmes, mais si c'est le cas, prévoyez des tests visant à protéger vos données d'entraînement propriétaires. Plus souvent, vous alimenterez le système avec vos données, en vous appuyant sur la génération augmentée par recherche, la RAG. Menez des tests pour détecter des prompts permettant d'accéder à des informations non autorisées.

  Ne pas propager le rôle, la localisation et autres attributs de l'utilisateur jusqu'au moteur de recherche des données peut engendrer des fuites préjudiciables à la conformité. Au‑delà des accès indus, la sécurité de la pile IA doit aussi couvrir pannes et fuites de données liées à des attaques ou à des sinistres régionaux. Ces risques, accentués par l'usurpation d'identité via des contenus générés par l'IA, exigent des stratégies cybersécurité robustes et une infrastructure redondante pour assurer résilience et gouvernance responsable.

Pourquoi l'IA souveraine est‑elle importante ?

Comme la souveraineté des données, l'IA souveraine permet de s'assurer que seules les personnes et les systèmes autorisés accèdent aux technologies de rupture, aux plateformes de calcul et réseaux, aux applications, à la propriété intellectuelle et aux données protégées.

L'évolution rapide du sujet pousse nombre d'entreprises à réévaluer tout leur patrimoine IT et à challenger leurs fournisseurs sur leurs offres liées à l'IA souveraine. Les solutions d'IA souveraine exigent des politiques et contrôles d'accès clairs et strictement appliqués, au‑delà du seul risque de non‑conformité aux lois en vigueur. Certes, des facteurs externes poussent ces initiatives, mais elles restent pertinentes par elles‑mêmes.

Atouts de l'IA souveraine

L'IA souveraine ajoute une couche de conformité et de gouvernance aux opérations IT et métier. Voici quelques bénéfices possibles de cet effort supplémentaire :

• Opportunités business. À mesure que les États et organismes encadrent les données générées sur leur sol, ils exigeront la conformité de leurs partenaires, et les premiers adoptants bénéficieront d'un avantage compétitif.
• Sécurité avancée. Mettre en place des capacités d'IA souveraine aide à mieux protéger applications, infrastructures et données critiques.
• Meilleure compréhension réglementaire. Les règles évoluant sans cesse, travailler sur l'IA souveraine aide les équipes à saisir les objectifs des autorités et régulateurs.

Défis de l'IA souveraine

L'IA souveraine a un coût. Voici quelques défis à anticiper :

• Coûts juridiques. Il faut parfois analyser plusieurs juridictions et concilier des règles complexes, voire contradictoires, pour déployer un programme d'IA souveraine. Les juristes porteront une part importante de ce travail.
• Lenteur des changements. Chaque projet de conformité a son calendrier, dépendant de multiples acteurs, autorités publiques et régulateurs compris. Résultat, l'avancement peut être lent sur certains volets, avec des délais qui vous échappent.
• Coûts de personnel. Des recrutements ou missions de conseil peuvent être nécessaires, côté juridique comme côté mise en œuvre technique. Étant un domaine émergent, ces profils sont rares et coûteux.
• Complexité technique. Les exigences d'IA souveraine peuvent imposer des changements à votre infrastructure IT et à votre pile applicative. Des migrations de données entre régions peuvent s'imposer. Il peut aussi falloir développer de nouveaux logiciels ou adapter le code pour répondre à la conformité.

L'avenir de l'IA souveraine

« Plus ». C'est le résumé en un mot de l'avenir de l'IA souveraine. Attendez‑vous aussi à ce que les technologies d'IA émergentes et de nouveaux cas d'usage inspirent des réglementations supplémentaires. Images ? Vidéos ? Réseaux sociaux ? Partout où vos données croisent l'IA, et où vos clients et collaborateurs l'utilisent, des enjeux d'IA souveraine émergeront.

Comment vous préparer au mieux à un environnement réglementaire complexe et mouvant ? L'effort initial pour choisir les bons partenaires, des architectures et modèles de données hautement sécurisés, et des permissions rigoureuses, portera ses fruits lorsque vous concrétiserez vos objectifs d'IA souveraine.

Comment OCI vous aide à atteindre vos objectifs d'IA souveraine

Si vos initiatives IA s'appuient sur le cloud, en mono‑cloud, multicloud ou hybride, Oracle fournit les outils et technologies dont vous avez besoin. Le cœur de l'offre est Oracle Cloud Infrastructure (OCI), une plateforme puissante pour créer vos applications d'IA et enrichir celles que vous utilisez déjà. Oracle et OCI soutiennent l'IA souveraine et la souveraineté des données autour de cinq axes : offre IA, résidence des données, confidentialité, garde‑fous juridiques, sécurité. La suite de services IA et les applications augmentées d'IA d'Oracle conjuguent fonctionnalités intelligentes de dernière génération et applications hautement sécurisées et scalables. Les capacités de résidence des données d'Oracle favorisent le maintien de vos données dans les frontières de votre pays, région ou autre juridiction. Par défaut, vos données et métadonnées sont cantonnées à une seule région Oracle Cloud. Avec Dedicated Cloud, vos données sont aussi physiquement séparées des autres régions.

Oracle vous aide à gérer vos modèles d'IA et à garantir les limitations d'accès via des mécanismes de sécurité avancés, que le modèle de base soit interne ou tiers. Côté cadres et contrôles juridiques, Oracle collabore avec plus de 80 organismes de conformité et certifications, et a obtenu la certification US Defense Department Impact Level 6. Des outils complémentaires facilitent la gestion et l'audit de vos LLM et autres actifs d'IA tout au long du cycle de vie cloud. Pour en savoir plus, lisez AI Innovation : 5 piliers clés pour activer l'IA souveraine.

L'IA souveraine, c'est déjà une réalité

Les exigences de souveraineté des données nous sont familières, il est donc logique que l'IA fasse l'objet de règles similaires. Considérez l'IA souveraine comme une extension de la souveraineté des données aux technologies de la pile IA, données d'entraînement, LLM, algorithmes de machine learning. Les cas d'usage évoluent, mais on retrouve des enjeux similaires de sécurité, confidentialité, résidence des données, contrôles d'accès et aspects juridiques. Voyez l'IA souveraine comme une opportunité d'appliquer les meilleures pratiques pour protéger votre entreprise et ses clients, ainsi que votre pays et votre région, avec le bon partenaire technologique, le défi en vaut la peine.

FAQ sur l'IA souveraine

L'IA souveraine est‑elle la même chose que la souveraineté des données ?

En général, la souveraineté des données porte sur les données, l'IA souveraine sur la conception et le contrôle des systèmes d'IA, y compris les données qu'ils utilisent, au sein d'une juridiction donnée.

Quels secteurs sont les plus concernés par l'IA souveraine ?

De nombreuses organisations sont déjà, ou seront, concernées, notamment la défense, la santé, l'éducation, la finance et la banque, ainsi que les infrastructures critiques. Le secteur IT lui‑même peut être concerné par l'IA souveraine.

L'IA souveraine coûte‑t‑elle cher ?

Devancer la conformité entraîne toujours des coûts. Pour l'IA souveraine, l'un des plus gros postes peut être la veille et la montée en compétence sur les cadres réglementaires des juridictions où vous opérez et où résident vos parties prenantes. Des coûts de tests de conformité et de certification sont également à prévoir. S'il existe des coûts technologiques, ils peuvent être réduits en choisissant les bons partenaires et en concevant dès l'amont des systèmes anticipant les futures réglementations liées à l'IA souveraine.