À mesure que l'IA devient une composante de plus en plus intégrale des processus métier, les préoccupations relatives au contrôle opérationnel, à la résilience, à la concentration des fournisseurs et au risque géopolitique influencent davantage le déploiement de cette technologie, selon le dernier rapport de Forrester, The Top Trends in Sovereign AI.

S'appuyant sur les conclusions du récent Global Sovereignty Forecast du cabinet d'études technologiques, le rapport soutient que la souveraineté dépasse désormais les questions de localisation des données et de réglementation pour s'orienter vers la résilience des entreprises, le contrôle opérationnel et la gouvernance. Ce changement s'explique par la domination d'un petit nombre d'hyperscalers et de fournisseurs de modèles basés aux États-Unis sur l'infrastructure mondiale de l'IA, ainsi que par la volonté croissante des gouvernements d'utiliser l'accès aux technologies comme un levier de politique étrangère — y compris les récents contrôles américains à l'exportation sur les puces d'IA avancées et les poids des modèles. Pour les organisations, cela ne signifie pas nécessairement se couper des fournisseurs technologiques mondiaux. Il s'agit plutôt de comprendre où se situent leurs dépendances, quelles charges de travail sont les plus critiques et comment elles pourraient continuer à fonctionner si l'accès à un service d'IA essentiel était interrompu. Cela s'inscrit également dans une poussée politique européenne plus large : l'UE a fait de la souveraineté technologique une priorité explicite, et des initiatives telles que Gaia-X et les exigences de l'AI Act européen pour les systèmes à haut risque ont aiguisé l'attention sur l'hébergement de l'IA, qui la contrôle et sous quelle juridiction elle opère.

Dans cette séance de questions-réponses, Dario Maisto, analyste chez Forrester et auteur du rapport, explique comment les organisations peuvent naviguer dans ces dépendances et ce que signifie l'IA souveraine en pratique.

Quelles sont les principales conclusions de la recherche de Forrester, et y a-t-il eu des surprises ?

Dario Maisto : Nous avons interrogé un éventail d'organisations, notamment des fournisseurs de services et, principalement, des utilisateurs finaux, afin de comprendre comment l'IA souveraine a évolué au cours de l'année écoulée. L'une des premières conclusions est que la souveraineté concerne les organisations de pratiquement tous les secteurs, et pas seulement les suspects habituels comme la défense, le gouvernement et le secteur public.

La deuxième est que la souveraineté va bien au-delà de la localisation ou de la résidence des données. Dans son essence, il s'agit d'exercer un contrôle. Ce n'est pas une question d'isolement.

La troisième conclusion est que la souveraineté est de plus en plus un moyen d'améliorer la résilience. Plus les organisations dépendent de l'IA dans leurs processus métier, organisationnels et critiques, plus elles doivent minimiser, ou du moins contrôler, leurs dépendances envers des fournisseurs, juridictions et gouvernements étrangers.

Enfin, ce n'est pas fondamentalement une question de réglementation. Aucune législation au monde n'impose la souveraineté. Il s'agit en réalité de dirigeants technologiques et d'entreprises souhaitant renforcer la résilience de leur activité.

Quel type de danger la dépendance à l'IA représente-t-elle ?

Maisto : À mesure que l'IA devient critique pour les processus métier, la dépendance envers un fournisseur étranger — et donc potentiellement envers une juridiction étrangère — crée la possibilité d'un « kill switch ». Une administration étrangère sous la juridiction de laquelle tombe un fournisseur pourrait décider que vous n'avez plus accès à ses modèles, outils ou solutions d'IA. Si vos processus métier dépendent de ces outils, ces processus pourraient s'arrêter.

L'impact sur les entreprises est très concret. Dans la fabrication, par exemple, les organisations perdent de l'argent chaque seconde où elles sont incapables de produire. L'impact est potentiellement encore plus important pour les industries traitant des produits frais ou périssables. Ainsi, si la décision d'un gouvernement étranger interrompt un service dont une organisation dépend pour son IA, il ne s'agit pas d'une question géopolitique abstraite. Cela a un impact économique direct sur l'entreprise.

Comment les organisations peuvent-elles se prémunir de manière viable contre ces risques ?

Maisto : Jusqu'à il y a quelques années, nous conseillions souvent aux organisations de certains pays de faire fonctionner des doubles infrastructures : une avec un fournisseur dans un pays et une autre avec un fournisseur différent ailleurs. Nous observons désormais une approche plus nuancée, séparant les charges de travail critiques des charges non critiques.

Selon le secteur, les charges de travail non critiques peuvent ne pas nécessiter de ressources souveraines supplémentaires. Les charges de travail critiques, en revanche, ont un bien plus grand besoin de solutions souveraines.

Cela ne signifie pas nécessairement faire fonctionner deux infrastructures totalement séparées. Les organisations peuvent atténuer les risques géopolitiques de différentes manières, par exemple en connectant un environnement isolé (air-gapped) à leur environnement de cloud public, ou en utilisant un fournisseur local aux côtés d'un fournisseur mondial.

Pour les organisations multinationales opérant dans 50 pays, par exemple, il n'est tout simplement pas envisageable d'avoir 50 fournisseurs différents. Ce serait un cauchemar architectural, sans compter le coût. Au lieu de cela, les organisations peuvent utiliser différentes solutions du même fournisseur mondial selon la criticité de la charge de travail ou la sensibilité des données. Un hyperscaler peut fournir un environnement de cloud public, une solution de cloud privé ou un environnement isolé selon les exigences.

En quoi l'utilisation croissante de l'IA oblige-t-elle les organisations à repenser leur gouvernance ?

Maisto : Les déploiements d'IA au sein des organisations créent de nouveaux domaines de gouvernance, de risque et de conformité. En parallèle, les outils d'IA peuvent aussi aider les organisations à identifier des vulnérabilités en quelques secondes plutôt qu'en quelques mois, d'où la nécessité d'une gouvernance sur l'ensemble de la pile technologique.

L'IA devient une technologie véritablement intégrée à l'entreprise et, dans une certaine mesure, vitale pour elle. Cela exige une supervision qui va bien au-delà du département informatique.

Nous voyons déjà des organisations modifier leurs structures pour y répondre. Un client, par exemple, disposait d'un département informatique relativement restreint et recevait des demandes de chaque unité opérationnelle. Plutôt que de tout faire passer par l'informatique, l'organisation a attaché une ressource informatique à chaque unité opérationnelle. Cela raccourcit la distance entre l'informatique et le métier et garantit que des personnes dotées des bonnes compétences techniques soutiennent directement l'activité.

C'est de plus en plus important parce que l'IA peut accélérer considérablement les processus. Ce qui prenait auparavant trois mois peut désormais être accompli en quelques semaines. Pensez aux essais médicaux, par exemple. Chaque seconde perdue peut aujourd'hui valoir bien plus qu'auparavant, ce qui transforme complètement la manière dont les modèles organisationnels doivent être construits autour des outils d'IA.

L'instabilité géopolitique a-t-elle rendu la souveraineté plus urgente ?

Maisto : Oui, bien qu'il existe ici une tension intéressante. À mesure que la technologie se spécialise, les organisations ont besoin de personnes spécialisées qui ne sont pas forcément disponibles localement. Notre Tech Sovereignty Forecast montre que, tandis que les indicateurs de souveraineté devraient globalement augmenter d'ici 2030, la souveraineté de la main-d'œuvre technologique devrait en réalité diminuer. C'est le seul indicateur allant dans le sens inverse.

Parallèlement, certaines réglementations imposent déjà des exigences de résidence ou de citoyenneté pour les travailleurs informatiques dans des secteurs, domaines technologiques ou charges de travail spécifiques. À mesure que l'instabilité géopolitique augmente, ces exigences risquent de se multiplier. Cela rend le problème encore plus difficile — ce qui était initialement une question de continuité d'activité et de gestion des risques devient, dans certains secteurs, une exigence réglementaire alors que la pénurie de travailleurs technologiques spécialisés persiste.

La formation est un moyen d'y répondre. Un autre passe par les acquisitions, les coentreprises et les partenariats. Nous voyons déjà des fournisseurs de services acquérir des cabinets de conseil et des entreprises locaux, ce qui leur donne un cadre juridique et une main-d'œuvre locale capables de répondre aux exigences de souveraineté des clients.

Quelles erreurs commettent les organisations lorsqu'elles tentent d'établir leur souveraineté en matière d'IA ?

Maisto : La première erreur est de ne pas définir le périmètre du problème. Les gens parlent de « souveraineté » sans nécessairement définir ce qu'ils entendent, et évoquent la réglementation sans identifier quelles réglementations s'appliquent réellement à eux. Ils se mettent ensuite à chercher des solutions avant d'avoir clairement défini le problème. Lorsque j'examine les stratégies de cloud, d'IA ou d'IA souveraine de mes clients, l'une de mes premières questions est : quel problème essayez-vous réellement de résoudre ?

Une autre erreur courante consiste à supposer que la souveraineté se résume aux données. Les gens abordent souvent la conversation sur la souveraineté en discutant de réglementations telles que le US CLOUD Act ou la section 702 du FISA. Mais il s'agit fondamentalement de questions de protection des données, et non de problèmes de souveraineté.

Par exemple, si vos données sont hébergées sur l'infrastructure d'un hyperscaler américain mais qu'elles sont chiffrées et que vous conservez les clés de chiffrement en dehors de l'environnement de l'hyperscaler, votre profil de risque est différent. Vous pouvez peut-être résoudre le problème sans migrer vos données vers un nouveau fournisseur, ce qui entraînerait des coûts supplémentaires de migration et de sortie.

L'essentiel est de formuler correctement le problème et de comprendre l'environnement réglementaire que vous devez réellement respecter. Certains fournisseurs peuvent utiliser le récit de la souveraineté comme moyen de vendre leurs services, les organisations doivent donc s'en méfier.

Quel devrait être le premier pas pratique pour une organisation souhaitant améliorer sa souveraineté en matière d'IA ?

Maisto : La première étape consiste à évaluer vos dépendances. Il ne s'agit pas d'isolement, ni de rechercher une indépendance totale. Il s'agit de comprendre et de gérer vos dépendances. Les organisations doivent établir de quoi elles dépendent, où se situent ces dépendances et quelles seraient les conséquences si elles étaient interrompues. Ce n'est qu'ensuite qu'elles peuvent déterminer ce qui doit être souverain et ce qui ne doit pas l'être.

Je mettrais en garde contre l'idée de réduire la souveraineté de l'IA à un problème bilatéral impliquant un pays ou un fournisseur particulier. Selon l'endroit où vous opérez et la nature de votre activité, vous pouvez être confronté à un problème complètement différent.

C'est pourquoi la souveraineté est une question bien plus complexe que de simplement dire : « Gardez vos données dans votre pays. » La bonne approche dépend des risques, des dépendances et des exigences métier propres à chaque organisation.

Note de la rédaction : cette interview a été éditée pour des raisons de clarté et de concision.