IA en entreprise : quelle configuration sans exposer vos données

Les quatre questions à vous poser, usage par usage

Ne raisonnez jamais au niveau de l’entreprise. Raisonnez au niveau de l’usage.

1. Cet usage manipule-t-il un secret protégé ?

Données personnelles sensibles, secret professionnel de l’article 321 du Code pénal, secret bancaire, secret d’affaires. Si la réponse est non, arrêtez ici et prenez le meilleur outil du marché.

2. Peut-on masquer l’information sensible sans perdre l’utilité métier ?

Parfois oui, souvent non. Un contrat anonymisé reste analysable. Une note clinique perd son sens.

3. Le fournisseur relève-t-il d’une juridiction étrangère ?

Ce qui déclenche l’exposition, ce n’est pas l’adresse du centre de données, c’est le contrôle juridique du fournisseur. Le CLOUD Act américain permet d’exiger l’accès aux données détenues par une entreprise soumise à la juridiction des États-Unis, où qu’elles soient stockées.

Interrogé sous serment sur sa capacité à garantir que des données ne seraient jamais transmises aux autorités américaines, le directeur des affaires publiques et juridiques de Microsoft France répond qu’il ne peut pas le garantir, avant d’ajouter que cela ne s’est encore jamais produit.

Sénat français, commission d’enquête, audition du 10 juin 2025

4. Votre chaîne est-elle cohérente de bout en bout ?

C’est la question que presque personne ne se pose, et c’est celle qui annule le plus d’investissements. Une entreprise qui archive ses données en Suisse et fait tourner son inférence IA en Suisse, mais qui conserve sa bureautique et sa messagerie chez un éditeur américain, reste exposée. Votre maillon le plus faible définit votre niveau réel d’exposition.

Cela ne signifie pas qu’il faut tout changer. Supprimer tout fournisseur américain est possible, mais le coût de migration de la bureautique, de la messagerie et des habitudes de travail dépasse souvent le risque évité sur des données peu sensibles. L’objectif n’est pas la pureté, c’est la cohérence assumée.

À ces quatre questions, ajoutez trois critères que les débats sur la souveraineté font systématiquement oublier : la couverture fonctionnelle réelle de l’outil, la vitesse d’adoption par vos équipes, et le coût total incluant le setup et le run. Un outil souverain que personne n’utilise a un retour sur investissement nul.

Trois idées reçues qu’il faut abandonner

« Un cloud souverain me met à l’abri »

Pas nécessairement. Un cloud opéré par une filiale locale mais reposant sur une pile technologique étrangère non auditable n’offre pas d’immunité juridique certaine. Interrogez toute la chaîne, pas seulement le siège social du fournisseur.

Soyons équitables : les grands acteurs américains ont bougé. Microsoft a formalisé des engagements européens comprenant la contestation des injonctions visant à suspendre ses opérations en Europe, la contestation des demandes gouvernementales portant sur les données de clients européens assortie d’une indemnisation en cas de divulgation illicite, et la supervision de ses opérations européennes par un conseil d’administration composé de ressortissants européens. C’est un progrès réel. Ce n’est pas une immunité : un engagement contractuel unilatéral, révisable par celui qui l’émet, ne neutralise pas une loi d’ordre public d’un État tiers. Il transforme un risque juridique en risque contractuel indemnisable.

« La pseudonymisation me rend conforme »

Elle réduit le risque, elle ne l’efface pas. Elle échoue régulièrement sur les noms rares, les documents scannés et surtout le contexte métier : une seule cliente possède ce type de montre dans ce canton. Et elle ne lève pas le secret professionnel.

« Souverain veut dire plus vert »

C’est faux, et le raisonnement inverse est même souvent juste. Un serveur GPU dédié tournant à faible taux de charge dans une PME consomme davantage par requête qu’une inférence mutualisée sur une infrastructure fortement utilisée. Le levier environnemental réel n’est pas la localisation, ce sont deux autres choses : dimensionner le modèle au besoin, car un modèle de 8 milliards de paramètres suffit à la grande majorité des tâches de bureautique, et maintenir un taux d’utilisation élevé de l’infrastructure. Choisir un hébergeur alimenté en énergie renouvelable est un bon complément, pas un substitut.

Passez du dogme à la décision

La question de la souveraineté n’est pas une case à cocher, c’est une architecture à concevoir usage par usage. La bonne réponse pour votre PME n’est ni le tout grand public, ni le tout souverain : c’est une segmentation lucide, où chaque donnée va au bon endroit, où le gain couvre toujours le setup et le run, et où votre maillon le plus faible ne trahit pas les engagements que vous avez pris envers vos clients.

Deux constats pour finir. Le premier : la fenêtre réglementaire est ouverte maintenant, et les obligations déjà applicables sont celles qui coûtent le moins cher à traiter. Le second : votre risque le plus probable n’est pas géopolitique, il est déjà dans vos équipes.

Pour aller plus loin, consultez notre offre de diagnostic de maturité IA ainsi que notre programme de formation à l’acculturation IA, qui répond directement à l’obligation de littératie.

Questions fréquentes

À propos de l’auteur

Sébastien Brunelle, co-fondateur d’Xperience AI, agence de conseil en intelligence artificielle basée à Meyrin, Genève. Il accompagne les dirigeants de PME de Suisse romande et de France dans le cadrage et la gouvernance de leurs projets d’IA, après 25 ans passés en grande entreprise. Intervenant à l’European Data Day 2026, membre de la CCIG.