IA & souveraineté : les ETI d’Occitanie prennent les commandes

Face aux enjeux de protection des données et d'autonomie technologique, le Club ETI Occitanie a réuni une quinzaine de dirigeants et de DSI pour confronter leurs visions sur la souveraineté des données et des traitements de l'IA. 

Cette rencontre s'est déroulée le 15 avril dernier à Toulouse, au sein des locaux de notre adhérent Hygie31. Elle s'inscrit dans un mouvement de fond national : la décision de l'État français d'accélérer sa transition numérique vers l'open-source et les infrastructures de cloud souverain.

Comprendre la souveraineté en IA par le prisme du risque

La souveraineté en IA consiste à garantir la capacité d'une organisation à maîtriser ses systèmes d'IA, ses données et ses choix technologiques, sans dépendance à des acteurs étrangers.

Plusieurs catégories de risques majeurs sont identifiées et analysées pour illustrer cette souveraineté en IA :

• Fuite de données et de procédés : le risque le plus intuitif est la fuite d'informations stratégiques, de secrets de fabrication ou de code source. Également les procédés eux-mêmes (orchestration de prompts, logiques métier...) peuvent être capturés par les fournisseurs de plateformes d'IA.

• Dépendance technologique et opérationnelle : l'intégration de ses plateformes externes (modèles, API) crée une forte dépendance. Cette dépendance expose les entreprises aux variations de tarification, aux changements de modèles non maîtrisés et aux risques de coupures de service.

• Risques de sécurité : l'utilisation de modèle externes étend la surface d'attaque. Les systèmes peuvent produire des réponses biaisées ou non conformes, difficiles à monitorer. Une dégradation progressive des performances qu'elle soit accidentelle ou délibérée, peut passer inaperçue.

• Risques de gouvernance et de traçabilité : la traçabilité de l'information devient véritablement problématique. Il est difficile de savoir sur quelles données les modèles ont été entraînés ou comment les décisions sont prises.

• Risques juridiques : une zone de flou complexe existe concernant la conformité avec les réglementations européennes (RGPT, AI Act) lorsque les données sont traitées par des entités soumises à des lois extraterritoriales.

• Risques stratégiques : le risque le plus insidieux est la perte de compétences internes. En déléguant à des acteurs externes, l'entreprise perd sa capacité à spécialiser ou à optimiser ses propres outils.

  Un consensus émerge en particulier sur les profils juniors, l'IA fournissant des réponses rapides, elle impacte le processus d'apprentissage et le développement de l'esprit critique.

Ne pas maîtriser sa stratégie IA expose l'entreprise à une perte d'autonomie sur de multiples fronts, allant de la sécurité opérationnelle à la compétitivité stratégique à long terme.

Du concept à la pratique : retours d'expériences et témoignages de terrain

Après une présentation des piliers de réussite d'une stratégie IA et des meilleures pratiques architecturales, les participants ont pu croiser les regards sur des défis communs, en ayant des présentations de cas d'utilisation d'IA par nos membres. Malgré la diversité de leurs secteurs d'activités (numérique, santé, industrie, défense..), les adhérents du Club font face aux mêmes enjeux de déploiement de l'IA, favorisant ainsi un partage d'expériences direct et riche en enseignements pratiques.

La souveraineté en IA n'est pas une question binaire mais un continuum

La stratégie à adopter doit être le fruit d'un arbitrage entre la maîtrise des risques, l'efficacité opérationnelle et les contraintes budgétaires et réglementaires. La rencontre s'est achevée avec quelques points à retenir :

• Adopter une approche différenciée : la stratégie doit varier selon la criticité des données et le secteur d'activité. Tout n'a pas besoin d'être souverain.

• Analyser toute la chaîne de valeur : la souveraineté peut s'appliquer à différents niveaux (infrastructure, données, modèles, compétences).

• Évaluer le niveau de souveraineté  : avec des critères mesurables.

• Garder en tête les risques : cyber, pertes de compétences et non-conformité juridique.

• Ne pas sous-estimer le « Shadow IA »  : les collaborateurs utiliseront des outils non maîtrisés si l'entreprise ne fournit pas d'alternatives sécurisées pour les données sensibles.

La clé réside dans une analyse de risques rigoureuse et une prise de conscience que l'humain, par son esprit critique et sa créativité, reste le principal facteur de différenciation.