James Thew - Fotolia

Opinion

Souveraineté : posséder les infrastructures ne suffit pas, il faut savoir les gouverner

La convergence des réglementations européennes et américaines exige désormais un contrôle opérationnel avéré et une responsabilité individuelle sur les systèmes d'IA en production. Savoir qui possède ces infrastructures n’est plus suffisant. Le devoir de gouvernabilité s’impose.

par
  • Rajiv Dalal
Publié le: 31 août 2026

Les opérateurs européens de l’IT ont passé ces deux dernières années à mettre en place des infrastructures souveraines à un rythme que peu de monde avait prévu. Le défi a été largement relevé, avec brio. En revanche, le débat de la gouvernabilité de ces infrastructures commence à peine. Et cet écart est sur le point de coûter cher aux Européens.

Les notions de souveraineté et de gouvernabilité semblent similaires. Elles ne le sont pas. La souveraineté porte sur l’emplacement de l’infrastructure et sur son propriétaire. La gouvernabilité pose une question plus précise et plus complexe : une fois qu’une charge de travail d’IA est exécutée sur cette infrastructure, l’organisation qui l’exploite est-elle réellement en mesure de suivre ce que fait le système, d’intervenir en temps réel et d’identifier la personne responsable du résultat ?

Pour les prestataires américains gérant les charges de travail de l’UE, ou les prestataires européens s’appuyant sur des fournisseurs de cloud américains, savoir répondre à la question de la gouvernabilité n’est pas une option. Le CLOUD Act américain donne aux autorités américaines une base juridique pour exiger la remise des données détenues par des entreprises américaines, quel que soit l’emplacement des serveurs. À l’inverse, le RGPD impose une exigence contraire concernant ces mêmes données.

Rares sont les prestataires capables de démontrer, de manière juridiquement défendable, comment ils résoudraient ce conflit s’ils étaient mis à l’épreuve. Il s’agit là d’une question de souveraineté des données ayant des implications concrètes en matière de gouvernance.

Une entreprise peut disposer d’une infrastructure d’IA totalement souveraine et entièrement conforme sur le papier, tout en échouant de répondre aux exigences réglementaires, car la conformité et la gouvernabilité mesurent des aspects différents. La conformité vérifie si la documentation existe. La gouvernabilité vérifie si la capacité existe indépendamment de la documentation et, de plus en plus, indépendamment de l’identité du propriétaire des serveurs sur lesquelles elle fonctionne.

La propriété des serveurs n’est pas le sujet des dernières évolutions réglementaires

Des deux côtés de l’Atlantique, la responsabilité s’articule de plus en plus autour du contrôle opérationnel, et non plus simplement de la propriété de l’infrastructure ou de la paternité d’un modèle.

Les dispositions relatives aux risques élevés de la loi européenne sur l’IA (l’AI Act) font passer le débat sur la conformité du simple devoir de documentation à celui de démontrer la capacité. Le sujet est celui d’un processus clairement défini pour interrompre ou rediriger le comportement d’un système d’IA avant que les dommages ne s’aggravent. Dorénavant, ce processus doit avoir été testé et non plus simplement consigné par écrit.

Point crucial : cette obligation ne se limite pas à celui qui a développé le système d’IA. La loi distingue les fournisseurs, qui développent les systèmes d’IA, des déployeurs, qui les mettent en service, et les obligations de ces prestataires s’appliquent indépendamment de la paternité du système. Un opérateur exerçant un véritable contrôle opérationnel sur le fonctionnement d’une charge de travail, et pas seulement sur son lieu d’hébergement, peut tout à fait entrer dans cette catégorie. En fait, cela concerne pratiquement tous les prestataires.

La directive NIS2 et la directive sur la résilience des entités critiques vont dans le même sens du point de vue des infrastructures. Elles exigent des interventions testées et rodées, pas un simple classeur rangé sur une étagère.

Les régulateurs américains s’accordent sur ce même principe, bien qu’issus d’une tradition différente. Ainsi, la position du gendarme américain du commerce, la FTC (Federal Trade Commission) en matière d’application de la loi, est désormais que les entreprises déployant des outils d’IA peuvent être tenues pour responsables du comportement de ces systèmes en production, et pas seulement les fournisseurs qui les ont développés.

La FTC a clairement indiqué que les entreprises ne peuvent pas se décharger de leur obligation de conformité en se référant aux conditions d’utilisation d’un fournisseur.

Le point crucial : la responsabilité ne s’arrête pas au fournisseur

L’autre changement que la plupart des opérateurs d’infrastructures n’ont pas encore pris en compte est le transfert de la responsabilité de l’institution vers l’individu. Les nouveaux cadres européens en matière de responsabilité posent la question de savoir si une personne désignée a bien compris les conditions limites du système d’IA qu’elle a autorisé, transformant ainsi la question « notre cadre de gouvernance est-il conforme ? » en « quelqu’un ici peut-il répondre de ce qu’a fait ce système, sous serment s’il le fallait ? ».

Les régulateurs montrent déjà à quoi ressemble ce type d’application de la réglementation, même en dehors du domaine de l’IA. En juillet 2026, l’Autorité de régulation prudentielle de la Banque d’Angleterre a infligé une amende de plus de 4 millions de livres sterling à l’assureur HDI Global SE pour avoir transmis des données réglementaires inexactes, affirmant clairement que les entreprises doivent mettre en place des systèmes et des contrôles efficaces pour garantir l’intégrité de leurs rapports, et non pas se contenter de les transmettre.

Il s’agit là d’un cas d’intégrité des données, et non d’un cas lié à l’IA. Néanmoins, le principe selon lequel disposer d’un processus n’équivaut pas à disposer d’un processus fonctionnel et responsable est exactement ce à quoi ressemblera l’application de la gouvernance de l’IA lorsque ce seront les systèmes d’IA eux-mêmes qui se chargeront des déclarations.

Le discours sur la souveraineté est incomplet

Il ne s’agit pas ici de plaider en faveur d’un ralentissement de la mise en place de l’infrastructure. Il s’agit plutôt de considérer la gouvernabilité comme faisant elle aussi partie intégrante de l’infrastructure, et non comme une simple formalité de conformité ajoutée après coup, une fois les baies opérationnelles.

Ainsi, trois questions méritent d’être posées dès maintenant, avant qu’un régulateur ne vous les pose. Êtes-vous en mesure de retracer ce que font vos systèmes d’IA avant que les défaillances ne se multiplient, et non après ? Pouvez-vous démontrer une intervention testée et répétée dans des conditions défavorables, plutôt qu’une simple intervention documentée ? Y a-t-il une personne désignée qui puisse répondre personnellement du comportement du système en situation de stress ?

Si la réponse honnête à l’une de ces questions est « non », le discours sur la souveraineté que le secteur se répète depuis deux ans est incomplet. Une infrastructure sans gouvernabilité, c’est une capacité sans contrôle, et les régulateurs des deux côtés de l’Atlantique ne sont plus disposés à considérer ces deux notions comme identiques.

Rajiv Dalal est chercheur indépendant, consultant et conférencier spécialisé dans la gouvernance de l'IA au sein des systèmes critiques et des secteurs réglementés.

Cette opinion est initialement parue en anglais sur DatacenterKnowledge.

Pour approfondir sur Gestion et administration du Datacenter