Chaque requête adressée à un service d'IA public quitte votre organisation. Le contenu du contrat, le dossier client, le rapport d'incident, la note d'audit : tout part vers une infrastructure que vous ne contrôlez pas, sous un droit qui n'est pas le vôtre.
Pour un établissement soumis au secret professionnel, c'est disqualifiant.
Pourquoi l'origine du fournisseur d'IA compte
Vos requêtes, le contrat que vous collez, le dossier que vous faites résumer : tout transite par le fournisseur qui exécute le modèle. Le droit de son pays s'applique donc à vos données, quel que soit l'endroit où se trouvent ses serveurs.
Un fournisseur américain. Il est soumis au CLOUD Act du 23 mars 2018 (18 U.S.C. § 2713) : il remet les données qu'il possède, garde ou contrôle, où que soient ses serveurs. Une offre dite souveraine, opérée en Europe par un groupe américain, reste rattachée à une maison mère soumise à cette loi.
Un fournisseur chinois. L'article 7 de la loi sur le renseignement national de 2017 impose à toute organisation de soutenir, d'assister et de coopérer avec le renseignement chinois.
Notre réponse : les niveaux 2 et 3. Pas de fournisseur de modèle américain ou chinois dans la chaîne de traitement, des contrats de droit luxembourgeois, des juridictions luxembourgeoises. Un modèle à poids ouverts s'exécute sur un matériel que nous maîtrisons, ou que vous maîtrisez : son éditeur ne reçoit pas vos requêtes.
Les dépendances résiduelles (processeurs, firmwares, logiciels d'éditeurs) sont listées dans notre étude préalable, avec leur plan de repli. Notre approche de la souveraineté numérique →
Trois niveaux, un seul cockpit
Une même interface. Le routage est défini par vos règles de classification : c'est la politique de l'organisation qui décide, pas l'utilisateur pressé.
Niveau 1, Cloud public. Pour ce qui n'est pas sensible, et seulement si vous le choisissez. Rapide, économique, performant. Nous encadrons les flux et journalisons les usages. Ce niveau confie la requête à un fournisseur de modèle extérieur : s'il est américain, le CLOUD Act s'applique à ce qu'il reçoit. Nous vous disons précisément ce qui reste exposé.
Niveau 2, Souverain luxembourgeois. Modèles à poids ouverts exécutés sur le matériel du groupe au Luxembourg, en inférence seule. Le point d'accès web est hébergé dans l'Union européenne, en France. Pas de fournisseur de modèle américain ou chinois dans la chaîne de traitement, sous contrats de droit luxembourgeois.
Niveau 3, Sur site. Le modèle s'exécute dans vos murs, sur du matériel que vous possédez. Rien ne sort du réseau. Convient au secret bancaire, aux données de santé, aux dossiers d'instruction.
Le niveau est choisi par une politique de classification appliquée par le système : un collaborateur n'a pas à se souvenir si son texte contient un numéro de compte ou un dossier médical. Héberger un modèle d'IA sur le sol luxembourgeois →
Les niveaux 2 et 3 sont exploités comme le reste de votre infrastructure, par la même équipe. Notre offre d'infrastructure →
Les usages qui tiennent la route
Nous déployons ce qui fonctionne aujourd'hui.
- –Recherche et interrogation de vos corpus documentaires internes
- –Analyse et pré-qualification de documents contractuels et réglementaires
- –Assistance à la rédaction sous contrôle humain, avec traçabilité de la source
- –Extraction structurée depuis des documents non structurés
- –Assistance au développement, sur code hébergé chez vous
Chaque déploiement s'accompagne d'une évaluation de conformité au règlement européen sur l'intelligence artificielle, d'une classification du niveau de risque et d'une documentation des jeux de données. Sécurité et conformité →