IA souveraine et conforme au RGPD pour les PME de Nice

C'est la première question à poser, et elle se tranche avant d'écrire la moindre ligne. Trois réponses sont possibles, et nous les distinguons explicitement au cadrage. Un service en ligne grand public : vos données partent chez un éditeur, souvent hors de l'Union européenne, et les conditions d'usage n'excluent pas toujours leur réutilisation. C'est ce que font aujourd'hui beaucoup de salariés, sans que l'entreprise le sache. Une offre professionnelle hébergée dans l'Union européenne, dont le contrat exclut explicitement la réutilisation de vos données pour l'entraînement des modèles. Un modèle exécuté sur votre propre infrastructure, où aucune donnée ne sort de votre réseau.

La bonne réponse dépend de la sensibilité des données du cas d'usage, pas d'une position de principe. Un tri d'e-mails commerciaux et l'analyse de dossiers médicaux n'appellent pas le même arbitrage.

Trois choses vérifiables, pas un slogan. Le lieu d'hébergement : les serveurs qui exécutent le modèle et stockent les données intermédiaires sont situés dans l'Union européenne, et cela figure au contrat. Le cadre juridique de l'éditeur : une entreprise soumise à une législation extraterritoriale peut être contrainte de communiquer des données même hébergées en Europe ; le point mérite d'être posé plutôt qu'esquivé. La réversibilité : pouvez-vous changer de modèle sans réécrire toute la chaîne ? Nous concevons systématiquement l'intégration de façon à ce que le modèle soit remplaçable.

Des modèles européens existent et sont utilisables en production — Mistral AI figure dans notre socle technique au même titre que les autres fournisseurs. Pour les traitements les plus sensibles, l'exécution locale sur votre infrastructure reste l'option la plus sûre : moins spectaculaire, mais entièrement maîtrisée.

Par la minimisation, qui est aussi le principe le plus efficace techniquement. Trois leviers : l'anonymisation ou la pseudonymisation des données personnelles avant traitement — un numéro de dossier suffit presque toujours là où on enverrait un nom et une adresse ; le périmètre documentaire restreint aux documents réellement nécessaires au cas d'usage, jamais l'intégralité du serveur de fichiers ; les durées de conservation définies pour les échanges, les journaux et les fichiers intermédiaires, avec une purge automatique.

Ces trois leviers réduisent simultanément le risque juridique, le coût de traitement et la surface d'attaque. C'est l'un des rares sujets où la conformité et l'efficacité tirent dans le même sens.

Centrale, et elle a un fondement juridique autant que pratique. Le RGPD encadre les décisions produisant des effets juridiques ou significatifs prises sur le seul fondement d'un traitement automatisé : en clair, une IA ne décide pas à la place d'un humain sur un recrutement, un octroi de crédit, une sanction ou une résiliation. Nous refusons ces cas d'usage, y compris quand ils sont demandés.

Sur tout le reste, la règle est la même que dans nos autres projets : l'IA prépare, un humain valide avant que quoi que ce soit parte chez un client, un fournisseur ou une administration. Cette exigence est arrêtée au cadrage et se retrouve dans le chiffrage : le niveau de vérification est l'un des deux facteurs qui pèsent le plus sur le coût d'un projet.

Cadre applicable : RGPD (notamment les articles 22, 33 et 35), recommandations de la CNIL sur l'IA, et règlement européen sur l'intelligence artificielle, dont les obligations s'appliquent par étapes. À faire valider par votre conseil pour votre cas précis.

Trois documents, que nous fournissons par écrit à la fin du projet. L'inscription du traitement au registre : finalité, catégories de données, destinataires, durées de conservation, mesures de sécurité. L'information des personnes concernées : salariés, clients ou candidats doivent savoir qu'un traitement automatisé intervient, et à quel endroit. L'analyse d'impact lorsque le traitement le justifie, par exemple en cas de données sensibles ou de suivi systématique.

Nous suivons les recommandations publiées par la CNIL sur l'intelligence artificielle plutôt que de vous demander de nous croire sur parole. Et quand un traitement nous paraît trop sensible pour être externalisé, nous le disons et proposons une alternative locale plutôt que de forcer le passage.