IA souveraine : héberger sous sa propre juridiction

Ce que « souverain » veut dire

Une infrastructure d’IA est souveraine quand les données, les modèles et les calculs restent soumis au droit du pays qui les confie, et à lui seul. Trois questions permettent de le vérifier : où les serveurs se trouvent-ils physiquement, qui les exploite, et de quelle juridiction dépend l’exploitant ? Si l’une des réponses renvoie à un autre pays, une autorité étrangère peut, dans certains cas, exiger un accès.

Pourquoi l’IA rend la question plus pressante

Entraîner ou interroger un modèle suppose de lui confier des données : dossiers administratifs, données de santé, informations financières, savoir-faire industriel. Le modèle lui-même devient un actif sensible, puisqu’il condense ce qu’il a appris. Pour un État, une banque ou un hôpital, savoir sous quel droit tout cela est hébergé n’est plus un détail technique.

Les cadres des six pays du Golfe

Chaque pays du Golfe a son propre cadre, et tous encadrent d’une façon ou d’une autre la sortie des données. En voici les grandes lignes ; elles ne remplacent pas un avis juridique.

• Émirats arabes unis : le décret-loi fédéral n° 45 de 2021 protège les données personnelles et encadre leur transfert à l’étranger. Les zones franches financières de Dubaï (DIFC) et d’Abou Dhabi (ADGM) appliquent leurs propres règles.
• Arabie saoudite : la loi sur la protection des données personnelles (PDPL) autorise les transferts hors du Royaume sous conditions, et des règles sectorielles s’ajoutent pour les données publiques et financières.
• Qatar : la loi n° 13 de 2016 protège la confidentialité des données personnelles ; le Qatar Financial Centre a son propre régime.
• Koweït : il n’existe pas de loi générale ; les règles viennent du régulateur des télécommunications (CITRA) et d’exigences nationales de classification des données.
• Bahreïn : la loi n° 30 de 2018 encadre les transferts, et le décret-loi n° 56 de 2018 prévoit que les données de clients étrangers hébergées dans des centres désignés restent soumises au droit de leur pays d’origine.
• Oman : la loi sur la protection des données personnelles (décret royal 6/2022) autorise les transferts à l’étranger sous conditions.

Ce que cela implique pour un campus

La réponse la plus simple à ces cadres est géographique : implanter la capacité de calcul dans le pays dont relèvent les données. Encore faut-il que l’infrastructure le permette. Des capacités dédiées, plutôt que partagées, évitent que des charges sensibles cohabitent avec d’autres. Une exploitation transparente, où le client voit les accès, les journaux et les indicateurs, lui permet de prouver à son régulateur ce qui se passe réellement.

La souveraineté suppose aussi de ne pas dépendre d’un seul point extérieur pour fonctionner. Un campus qui produit son électricité sur place et ne consomme pas d’eau continue de calculer quand les réseaux alentour sont sous tension.

Les questions à poser à un hébergeur

• Dans quel pays, et sur quel site, les données et les modèles sont-ils hébergés ?
• Qui exploite l’infrastructure, et de quelle juridiction dépend l’exploitant ?
• Les capacités sont-elles dédiées ou partagées ?
• Quels journaux d’accès le client peut-il consulter lui-même ?