IA hébergée en France, IA souveraine : ce que ces mots garantissent.

Hébergée en France : la question du lieu

Un service « hébergé en France » fait tourner ses serveurs dans des centres de données situés en France. C’est une information utile : elle dit où sont stockées les données et dans quel pays se trouvent les machines, ce qui simplifie les questions de transfert hors de l’Union européenne.

Pour une IA, il faut préciser de quoi on parle. L’application (l’interface, les comptes, la facturation), le stockage (les conversations, les fichiers, les sauvegardes) et le traitement par le modèle peuvent être à des endroits différents. Un service peut héberger en France son application et son stockage, puis envoyer chaque message à un modèle qui tourne ailleurs, parfois hors de l’Union européenne.

Souveraine : la question du droit

La souveraineté ne dépend pas seulement du lieu des serveurs, mais du droit auquel le fournisseur est soumis. L’exemple le plus cité est américain : adopté en mars 2018, le Cloud Act a inscrit dans la loi fédérale (18 U.S.C. § 2713) que les obligations américaines de conservation et de communication s’appliquent aux communications et aux données de clients qu’un fournisseur possède, garde ou contrôle, qu’elles soient stockées aux États-Unis ou ailleurs.

Conséquence : un service hébergé en France par une société soumise au droit américain peut être tenu de communiquer des données à des autorités américaines. La CNIL juge ce risque limité pour les données non sensibles, les États-Unis étant considérés comme un pays adéquat ; mais pour les données les plus sensibles, elle recommande un prestataire exclusivement soumis au droit européen. Elle rappelle que la qualification SecNumCloud de l’ANSSI comprend ce critère et protège ainsi les données contre les accès d’autorités étrangères.

Ce que dit la loi française

Pour l’État, la règle est écrite. L’article 31 de la loi du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique, dite loi SREN, impose aux administrations de l’État et à leurs opérateurs, quand ils confient à un prestataire privé des données d’une sensibilité particulière, des critères de sécurité qui protègent ces données contre tout accès d’autorités publiques d’États tiers non autorisé par le droit de l’Union européenne.

Sont visées les données couvertes par un secret protégé par la loi et celles nécessaires aux missions essentielles de l’État. Pour une entreprise privée, tout dépend du secteur et des données : le RGPD encadre les transferts de données personnelles hors de l’Union, et certains secteurs, comme la santé, ont leurs propres règles d’hébergement.

Les trois couches d’un service d’IA

Six questions à poser à un fournisseur

1. Quelle société édite le service, et à quel droit est-elle soumise, elle et sa maison mère ?
2. Où sont hébergés l’application, les conversations, les fichiers et les sauvegardes ?
3. Quel modèle traite mes messages, chez quel fournisseur, et dans quel pays ?
4. Mes conversations servent-elles à entraîner des modèles ? Combien de temps sont-elles gardées ?
5. Que fait le service des données sensibles avant de les envoyer au modèle ?
6. Une offre qualifiée SecNumCloud est-elle nécessaire pour mes données, et le service en a-t-il une ?

Moon AI : ce qui est souverain, ce qui ne l’est pas

Moon AI est une plateforme conçue en Normandie par Stellarr Studio, société française de Pont-Audemer, hébergée en France chez OVHcloud. L’éditeur, l’application, le stockage et les contrats relèvent donc du droit français. Elle réunit Claude, GPT, Gemini, Mistral et d’autres modèles dans un seul abonnement.

La couche du modèle, elle, n’est pas souveraine : chaque message part chez le fournisseur du modèle choisi, souvent américain. C’est pour réduire ce qui part que Moon Blur masque les données sensibles détectées avant l’envoi au modèle (IBAN, numéros de sécurité sociale, e-mails, téléphones…), puis remet les vraies valeurs dans la réponse que vous lisez. La détection peut manquer une valeur écrite de façon inhabituelle, les noms de personnes ne sont pas repérés seuls (à partir de Constellation, on les ajoute à sa liste de termes à masquer), et les images et la voix partent telles quelles.

Moon AI n’est donc pas la bonne réponse pour des données qui exigent une offre qualifiée SecNumCloud. Pour le reste, elle permet de choisir le modèle message par message, Mistral compris, et de savoir ce qui part. Le détail est sur la page Moon AI, IA française, les engagements sur la page Sécurité et les formules sur la page des tarifs.