Comparatif · Souveraineté
Localisation, certification, qualification : ce que chacune protège vraiment
Trois mots que les plaquettes emploient comme des synonymes. Deux d’entre eux ne protègent pas de ce qu’on leur fait dire.
Comparatif 1 — Les trois niveaux de « souverain »
| Critère | Localisation | Certification technique | Qualification SecNumCloud |
|---|---|---|---|
| Ce qui est garanti | Serveurs en France ou en UE | Un niveau de cybersécurité (EUCS, ISO 27001, HDS) | Sécurité ET immunité extraterritoriale |
| Protège du CLOUD Act ? | Non, si la maison mère est non-UE | Non — les critères de souveraineté ont été retirés de l’EUCS | Oui |
| Contrôle du capital exigé | Non | Non | Oui, européen |
| Support et administration en UE | Non garanti | Non garanti | Oui |
| Pour des données sensibles | Insuffisant | Insuffisant | Adapté — obligatoire dans le public |
| La preuve à demander | Localisation du centre de données | Certificat et son périmètre | Catalogue ANSSI (cyber.gouv.fr) et périmètre exact |
À retenir. La hiérarchie va de gauche à droite : localisation < certification technique < qualification. Seule la troisième colonne répond à la question de l’immunité extraterritoriale.
Comparatif 2 — Où s’exécute le modèle
| Critère | API d’IA opérée hors UE | Modèle ouvert hébergé en souverain |
|---|---|---|
| Localisation de l’inférence | Souvent hors UE | UE |
| Exposition extraterritoriale | Élevée | Faible à nulle, selon la qualification de l’hébergeur |
| Prompts vus par un tiers non-UE | Possible | Non |
| Maîtrise des clés | Variable | Possible (BYOK / HYOK) |
| Réversibilité | Faible — dépendance à une API propriétaire | Élevée — modèle ouvert, portable |
| Données sensibles | Non adapté | Adapté, avec un hébergeur qualifié |
À retenir. C’est la couche la plus souvent négligée. Un système peut avoir une interface hébergée en France et router son inférence ailleurs — or c’est l’inférence qui voit les prompts.
Comparatif 3 — Prouver dans la durée
| Critère | Tableur | Plateforme de gouvernance |
|---|---|---|
| Cartographie des flux par couche | Manuelle, vite obsolète | Structurée et maintenue |
| Détection d’une inférence hors UE | Dépend du déclaratif | Rattachée au système, tracée |
| Suivi du périmètre qualifié par système | Statique | Vivant, écart signalé |
| Rachat du fournisseur, nouveau sous-traitant | Passe inaperçu | Déclenche une revue |
| Opposabilité en audit ou en appel d’offres | Faible | Trace datée, rattachée à un système |
À retenir. La souveraineté n’est pas acquise à la signature. Un fournisseur racheté ou un sous-traitant changé ne préviennent pas : c’est la dernière ligne qui décide, le jour d’un contrôle.
Comparatif 4 — Souveraineté n’est pas réversibilité
| Critère | Souveraineté | Réversibilité |
|---|---|---|
| Protège de | L’accès par un tiers — CLOUD Act, FISA 702 | La dépendance à un fournisseur |
| Se juge sur | Pavillon, capital, juridiction, qualification | Formats, exports, frais, assistance à la migration |
| Un fournisseur français peut être | Souverain | Irréversible, avec un format propriétaire |
| Un fournisseur non européen peut être | Exposé au droit extraterritorial | Réversible, avec des formats ouverts |
| Se contractualise par | Clauses de juridiction, qualification SecNumCloud | Un plan de réversibilité, couche par couche |
L’erreur symétrique. Un hébergeur français ne garantit pas la sortie, et un fournisseur non européen n’est pas forcément un piège. Les deux se traitent séparément — la seconde avec un plan de réversibilité.
Où vivent réellement les données de vos systèmes d’IA ?
Explorer la démoÀ lire aussi : Plan de réversibilité · Guide d’achat — hébergement souverain · Checklist souveraineté · Glossaire SecNumCloud