Souveraineté des données IA : vers une chaîne d'avantages concurrentiels (2/2)
Au-delà des aspects réglementaires, la souveraineté des données offre des avantages concurrentiels à l'ère des agents intelligents. Dix personnalités du monde cyber tracent les grandes lignes de la prochaine étape qui attend les organisations en Belgique : la souveraineté des modèles d’IA et l’émergence de garanties contractuelles redéfinissent le marché du stockage. Une série d'analyses nécessaires pour redéfinir les stratégies de protection des données.
Les tensions géopolitiques influencent de plus en plus le choix des fournisseurs de solutions en cybersécurité (voir notre article ici). Aujourd’hui, 3 organisations sur 4 en Europe ont adapté leur stratégie cyber au contexte géopolitique. Et près de la moitié d’entre-elles évaluent les risques liés aux régions et aux fournisseurs. L’origine des fournisseurs et du lieu de stockage des données pèse davantage dans les décisions.
Le débat sur la souveraineté des données change radicalement (voir la première partie de cet article ). L’idée de privilégier la localisation d'un cloud régional cède la place à une réalité plus complexe. Dix personnalités issues des secteurs du stockage, de la sauvegarde et du droit donnent la direction que prend la notion de souveraineté des données. Et leurs réponses transportent le débat au-delà de la localisation et de la conformité pour le faire atterrir sur les modèles d’IA, les données dérivées, l’architecture, la valeur commerciale, les garanties contractuelles et le contrôle de l’intelligence. Des sujets qui deviennent aussi importants que la protection des données face aux juridictions étrangères.
La chaîne de souveraineté de l’IA
Si les données réglementées ne peuvent pas quitter une juridiction, cela s’applique-t-il également à un modèle entraîné sur ces données ? La réponse des experts est unanimement affirmative. « Il s’agit de la nouvelle frontière de la souveraineté que personne, ou presque, n’aborde de manière adéquate », lance Aleksander Ragel, cofondateur de Leil Storage. Ce sujet sera d’ailleurs « l’un des plus controversé en matière de gouvernance des données au cours des deux prochaines années », poursuit l’expert. Car, « si vous entraînez un modèle sur des données souveraines (dossiers médicaux, transactions financières, recherches classifiées), il faut se demander si le modèle hérite des contraintes de souveraineté de ses données d’entraînement. Et sur le plan juridique, la réponse évolue rapidement », estime Aleksander Ragel. Dans la pratique, « c’est bien le cas, car les poids du modèle codent des représentations statistiques de ces données et, dans certains cas, les données d’entraînement peuvent être partiellement reconstituées à partir du modèle lui-même. »
Aleksander Ragel décrit une chaîne de souveraineté de bout en bout couvrant les données brutes, les pipelines d’entraînement, les poids des modèles, les résultats d’inférence et les informations dérivées ; où un seul maillon échappant au contrôle juridictionnel d’une entreprise compromet l’ensemble de la chaîne. Cela a des implications directes pour le niveau de stockage « warm » hébergeant les ensembles de données d’entraînement de l’IA, qui est « trop actif pour les bandes, trop volumineux pour la mémoire flash » et doit être hautement performant, rentable et souverain sur le plan architectural.
De son côté, Paul Speciale, directeur marketing chez Scality, estime que la souveraineté doit s’étendre à l’ensemble du cycle de vie de l’IA. « Si votre corpus de données d’entraînement est réglementé, alors les poids du modèle qui en découlent, les représentations indexées à partir de celui-ci, les pipelines RAG qui y puisent et les résultats d’inférence basés sur celui-ci perpétuent tous la souveraineté de leur source, car on ne peut pas supprimer la juridiction par la transformation. Un modèle entraîné sur des données de patients de l’UE est, en effet, un actif de l’UE. Et le fait d’exécuter son chemin d’inférence via un cloud GPU étranger relance toutes les questions que l’architecture des données d’entraînement tente de trancher. »
Paul Speciale fait valoir que « l’entraînement, le réglage fin, l’inférence, le cache K:V, les représentations, les points de contrôle et la conservation à long terme doivent (tous) se situer à l’intérieur de la même frontière juridictionnelle que les données sources, de préférence sous un même modèle opérationnel et une même couche ». L’expert s’attend ainsi à ce que ce sujet devienne une exigence explicite dans les appels d’offres des secteurs réglementés au cours de l’année à venir.
Edwin Weijdema, directeur technique et responsable de la cybersécurité chez Veeam, résume la question : « la souveraineté s’étend à l’ensemble du cycle de vie de l’IA, y compris les données d’entraînement, les modèles et les résultats. À mesure que la réglementation évolue, la manière dont les données circulent au sein des systèmes d’IA fait l’objet d’une surveillance accrue. De nombreuses organisations en sont encore aux prémices de leur adoption de l’IA et manquent de visibilité sur ces processus. Mais elles doivent établir, dès à présent, un contexte de données plus solide, en comprenant l’origine, les mouvements et l’utilisation des données au sein des flux de travail d’IA. »
« Les entreprises devraient considérer que la souveraineté s’étend au-delà des données brutes pour inclure les modèles d’IA, les résultats et les données dérivées », confirme Valery Guilleaume, PDG de Nodeum. La question est primordiale, car la véritable valeur et le risque résident dans ce qui est produit à partir des données, et pas seulement dans les données elles-mêmes. »
Construire des architectures exposées à des contraintes juridictionnelles
A l’heure où l’IA occupe une place de plus en plus centrale dans la stratégie des entreprises, la souveraineté ne peut plus se limiter aux données elles-mêmes. Elle doit s’étendre à l’ensemble du cycle de vie de l’IA, depuis les ensembles de données d’entraînement jusqu’aux modèles, aux résultats et à la propriété intellectuelle qu’ils génèrent.
Dès lors, si les modèles d’IA héritent des obligations en matière de souveraineté de leurs données d’entraînement, les organisations auront besoin d’architectures conçues pour plusieurs juridictions. Les experts interrogés mettent en avant l’autonomie régionale, la visibilité et une infrastructure qui garantit la souveraineté par défaut.
Aleksander Ragel identifie trois évolutions architecturales en matière de stockage : « des clusters fédérés mais autonomes, fonctionnant indépendamment dans chaque juridiction, sans plan de contrôle partagé ni fuite transfrontalière de métadonnées ; une prise en compte de la couche physique, où les plateformes de stockage cessent d’abstraire le matériel et rendent au contraire visibles le placement et le comportement des données ». En matière de souveraineté, cette abstraction constitue un handicap. Il faut une architecture de stockage qui comprenne quels disques contiennent quelles données, comment ces données sont réparties entre les nœuds physiques, et comment gérer le placement des données en fonction des exigences juridictionnelles. »
De son côté, Alexander Lefterov, PDG de Tiger Technology, prône un routage indépendant du fournisseur afin que les différentes catégories de données aboutissent automatiquement dans les bonnes juridictions, en respectant un principe primordial. Selon ce dernier, il convient de donner « la priorité au plan de contrôle. Car si vous ne gérez pas vos propres politiques de cycle de vie des données, le reste de votre investissement en matière de souveraineté repose sur du sable ». Le changement le plus crucial consiste à établir une visibilité et une traçabilité claires des données.
Les organisations ne peuvent ni protéger ni contrôler des données qu’elles ne comprennent pas
Edwin Weijdema chez Veeam insiste sur la visibilité tout au long de « l’ensemble du cycle de vie des données, de la création et du traitement jusqu’à la sauvegarde, la restauration et la suppression, en garantissant des normes cohérentes à chaque étape ». La portabilité des données est tout aussi essentielle et les architectures doivent permettre aux entreprises de « s’adapter rapidement aux changements réglementaires, sécuritaires et géopolitiques sans perdre le contrôle ».
« Alors que les services cloud continueront à jouer un rôle important », Tvrtko Fritz, PDG d’euroNAS, prévoit que de nombreuses entreprises adopteront une approche plus sélective, en conservant leurs données les plus critiques, leur propriété intellectuelle et leurs charges de travail stratégiques soit sur site, soit au sein de centres de données locaux de confiance ». Autrement dit, le contrôle et la transparence deviendront des principes de conception essentiels de la souveraineté.
Le changement architectural majeur concernera le passage d’un stockage fixe (basé sur une région) à une mobilité des données régie par des politiques et s’étendant à plusieurs juridictions, prédit Valery Guilleaume, PDG de Nodeum. « Les entreprises doivent dissocier le stockage du contrôle, afin que la gouvernance, les règles d’accès et l’auditabilité restent cohérentes, quel que soit l’endroit où les données sont déplacées ou consultées. »
Le contrôle comme avantage concurrentiel
Si la chaîne de souveraineté de l’IA définit le défi technique, elle crée également des opportunités commerciales. Plutôt que de considérer la souveraineté comme une simple exigence de conformité, de nombreux acteurs la voient de plus en plus comme une source d’avantage concurrentiel.
« La valeur de l’IA se concrétise lors de l’inférence », explique Shimon Ben-David, directeur technique chez WEKA, tout en établissant une distinction très nette entre contrôle et aspects économiques. « Lorsque vous la mettez à la disposition des utilisateurs à grande échelle, les aspects économiques entrent en jeu. En contrôlant vos propres données et l’infrastructure, vous contrôlez l’efficacité de fonctionnement de votre IA et son coût. »
Et de poursuivre : « si vous effectuez l’inférence sur une infrastructure que vous ne contrôlez pas, vous héritez de ses inefficacités et payez pour une capacité que vous ne pouvez pas optimiser ».
Aleksander Ragel, voit désormais trois avantages commerciaux liés à la souveraineté. « Premièrement, la préparation à l’IA. Les organisations qui conservent un contrôle souverain sur leurs actifs de données, en particulier les ensembles de données d’entraînement à grande échelle, peuvent déployer des modèles d’IA sans l’incertitude juridique liée au traitement de données souveraines sur une infrastructure tierce. Ce n’est pas un avantage théorique. C’est une condition préalable à l’adoption de l’IA. »
Le second avantage est repose sur la résilience opérationnelle. « Lorsque les niveaux de sauvegarde et d’archivage se trouvent sur site sous le contrôle du client, les objectifs de temps de reprise dépendent du débit du matériel plutôt que des limites de débit des API d’un fournisseur de cloud ou des frais de sortie de données ». Le troisième avantage concerne le coût total de possession à grande échelle, où le stockage souverain sur site modifie fondamentalement l’équation des coûts.
Paul Speciale chez Scality estime dès lors que la souveraineté passe du statut de centre de coûts à celui de condition préalable à l’accès au marché. « Une banque européenne, un réseau hospitalier français, un constructeur automobile allemand, un fournisseur du gouvernement britannique : aucun d’entre eux ne peut remporter de nouveaux contrats sans pouvoir démontrer qu’il contrôle l’emplacement de ses données et qui y a accès. La souveraineté est devenue une véritable condition préalable à la génération de revenus, et non plus un frein à ceux-ci. Les organisations capables d’affirmer de manière crédible « vos données, votre juridiction, vos clés, notre infrastructure » gagnent la confiance des clients, ce que les concurrents s’appuyant exclusivement sur les hyperscalers ne peuvent égaler. Dans un monde dominé par l’IA où les données clients constituent un avantage concurrentiel déterminant, cette garantie devient de plus en plus le produit lui-même. »
Martin Kunze, directeur marketing et fondateur de Cerabyte va encore loin lorsqu’il considère la souveraineté comme une capacité stratégique. « Les organisations capables de préserver leurs données critiques sans dépendre entièrement des fournisseurs de cloud, d’une alimentation électrique continue ou de cycles de migration répétés sont moins exposées aux perturbations, aux ransomwares, aux défaillances des fournisseurs, à l’instabilité géopolitique et à la hausse des coûts opérationnels. Si les données peuvent être conservées sans consommation d’énergie continue pour le refroidissement et le stockage, l’empreinte environnementale de la conservation à long terme peut être considérablement réduite. La souveraineté des données n’est pas seulement une mesure défensive. Elle devient une capacité stratégique. »
Vous avez dit contrôle ?
Si la souveraineté devient un facteur de valeur, la question est de savoir ce qui constitue un véritable contrôle. Les experts s'accordent sur une définition qui ne répond à aucun modèle actuel de stockage et de sauvegarde.
Alexander Lefterov, PDG de Tiger Technology, énumère quatre conditions simultanées : « savoir où se trouvent vos données à tout moment, décider de leur sort à chaque étape de leur cycle de vie, les récupérer indépendamment de tout fournisseur unique, et en apporter la preuve à un auditeur ». Et le moins que l’on puisse dire c’est que la plupart des modèles de sauvegarde et des modèles axés sur le cloud échouent aujourd’hui sur au moins deux de ces quatre points. »
« La plupart des systèmes de stockage numérique ont été conçus pour offrir des performances de calcul, et non pour assurer une conservation des données sécurisée, permanente et souveraine », confirme Martin Kunze. « Ils nécessitent une maintenance active, un remplacement régulier des supports, des cycles de migration, des contrôles d’intégrité, des mises à jour logicielles, une alimentation électrique, un refroidissement et une expertise opérationnelle ».
À mesure que les volumes de données ont augmenté, cette complexité a poussé de nombreuses organisations vers les services cloud. Cependant, poursuit l’expert, « le stockage dans le cloud introduit de nouvelles dépendances : vis-à-vis des fournisseurs, des contrats, des juridictions, de l’approvisionnement énergétique, de l’accès au réseau et de la stabilité politique. Il est donc difficile de revendiquer une souveraineté totale. »
L’horizon des SLA
Si la souveraineté devient un principe architectural, les experts estiment que la prochaine étape à franchir sera celle de la responsabilité contractuelle. Ils voient les SLA de souveraineté émerger comme un mécanisme qui transforme la capacité technique en une exigence d’approvisionnement.
SAVE THE DATE - October 15, 2026 Hi Site, Grimbergen (Brussels)
Alexander Lefterov s’attend à ce que, d’ici 18 mois, les SLA intègrent des engagements contractuels sur la gestion des clés et la portabilité. « Réclamez, dès aujourd’hui, à vos fournisseurs des engagements de SLA de souveraineté. Les organisations qui parviendront à normaliser ces attentes dans leurs marchés publics anticiperont la tendance de ces deux prochaines années. »
L’expert chez Scality présente d’ailleurs les SLA comme la suite logique des contrats. « Il ne s’agit plus seulement de disponibilité et de délai de reprise, mais aussi de garanties juridictionnelles, de notification des ordonnances de divulgation et de preuves de localisation. Les fournisseurs capables de les offrir définiront la prochaine décennie du marché du stockage. »
Quant à Tvrtko Fritz chez euroNAS, il met l’accent sur les défaillances au sein d’une même région comme évolution la plus immédiate. « Le maintien des données critiques à l’intérieur de frontières régionales de confiance est susceptible de devenir un élément fondamental tant de la gestion des risques que de la stratégie concurrentielle. »
De son côté, Paul Haswell, associé chez Hill Dickinson, adopte une vision plus prudente, puisqu’il ne prévoit que ces évolutions s’imposeront avant trois à cinq ans.
Pour conclure, la souveraineté dépasse désormais le cadre de la conformité et de la conception architecturale et s’oriente vers une garantie contractuelle. La capacité à démontrer, vérifier et garantir le contrôle souverain deviendra un facteur de différenciation de plus en plus important à mesure que les organisations évaluent leurs futures plateformes de stockage.
