Qu’est-ce qu’une plateforme d’IA souveraine pour une entreprise ?

Une plateforme d’IA souveraine est une plateforme dont l’entreprise sait, preuve à l’appui, où tournent ses données, qui les exploite et à quoi elles servent. Pour des agents IA, cela se vérifie sur cinq points : l’hébergement, l’exploitant, l’entraînement des modèles, les droits d’accès et le journal d’audit. Le mot, lui, ne se vérifie pas : n’importe quel fournisseur peut l’écrire sur sa page d’accueil, et nous l’écrivons sur la nôtre. Alors plutôt que de le défendre, nous préférons le remplacer par cinq questions dont la réponse se lit sur un devis, un contrat ou pendant une démonstration. Nous y répondons au passage, pour que vous puissiez nous juger de la même manière.

Un mot que tout le monde écrit

« Et vos serveurs, ils sont où ? » C’est souvent la première question d’un premier rendez-vous, avant même le prix. Selon l’Insee, 18 % des entreprises de 10 salariés ou plus implantées en France utilisent au moins une technologie d’IA en 2025, et 58 % de celles de 250 salariés ou plus. La préférence pour des fournisseurs proches se mesure aussi. Dans une enquête Gartner de mai à juillet 2025 auprès de 241 DSI et responsables informatiques d’Europe de l’Ouest, 61 % des répondants s’attendent à ce que la géopolitique augmente leur recours à des fournisseurs de cloud locaux ou régionaux. Rene Buest, Senior Director Analyst chez Gartner, en donne la raison : « Beaucoup d’organisations d’Europe de l’Ouest ne peuvent pas faire tourner l’ensemble de leurs charges de travail ou de leurs systèmes centraux dans un environnement cloud non européen. Soit parce qu’elles sont soumises à des réglementations particulières, soit parce que leurs clients l’exigent, soit parce qu’elles sont considérées comme faisant partie des infrastructures critiques d’un pays. » Dans le texte original : « Many Western European organizations can’t run all of their workloads or core systems in a non-European cloud environment. This is either because they are subject to specific regulations, their customers demand it, or they are considered part of a country’s critical infrastructure. »

Nous écrivons ce mot nous aussi, et voici la phrase exacte de notre site : Scalt est une plateforme française d’agents IA gouvernés et souverains. Elle permet aux ETI et grandes entreprises de déployer des agents IA sur leurs propres données, avec validations humaines et journal d’audit. Les données sont hébergées dans un cloud en France et ne servent jamais à entraîner de modèles. Scalt est conçue pour la conformité RGPD et AI Act. Lue comme ça, cette description ne vaut pas mieux que celle d’un autre fournisseur. Ce qui la distingue, ou pas, se trouve dans des documents et dans quelques tests que vous pouvez faire vous-même.

Où tournent la plateforme, les documents et les sauvegardes

Une plateforme d’agents ne garde pas vos données à un seul endroit : l’application, les documents lus, l’index, les sauvegardes, les journaux et, pour chaque réponse, un appel à un modèle. Chacun de ces éléments peut vivre dans un pays différent, chez un sous-traitant différent. « Nos serveurs sont en France » répond pour le premier et ne dit rien des autres.

La pièce qui répond est le DPA, l’accord de traitement des données, avec la liste des sous-traitants et leur localisation. Si le fournisseur ne peut pas la remettre avant la signature, ou vous renvoie vers une page web, la question reste ouverte. Chez Scalt, la plateforme est hébergée dans un cloud en France, sur deux régions, et vos documents et leurs sauvegardes y sont stockés avec elle. Le DPA, la liste des sous-traitants et les mesures de sécurité sont remis sous NDA.

Qui exploite, et sous quel contrat

Héberger et exploiter sont deux choses, et souvent deux entreprises. Une plateforme peut tourner dans un centre de données en France et être administrée depuis ailleurs, par une équipe qui a accès aux machines, aux sauvegardes ou aux journaux. Demandez donc le nom de l’exploitant, le lieu des équipes qui ont un accès technique, les sous-traitants à qui ces accès sont délégués, et comment ils sont limités et journalisés.

Là encore, la réponse est contractuelle : le DPA nomme le sous-traitant et ses propres sous-traitants, la politique de sécurité décrit les accès, et une certification atteste qu’un tiers a vérifié ces règles. Chez Scalt, la plateforme est exploitée par Scalt, les accès aux données sont limités et journalisés, et notre certification ISO 27001 est en cours.

Les données face aux modèles

Un agent ne répond pas seul : il appelle un modèle de langage, le plus souvent fourni par un tiers. C’est là que la souveraineté se perd le plus discrètement, parce que l’appel est invisible pour l’utilisateur, et que personne ne pense à le demander en démonstration. Trois questions suffisent.

• Entraînement : vos données servent-elles à entraîner les modèles ? La bonne réponse est un engagement écrit au contrat, qui couvre aussi les conditions des fournisseurs de modèles. Une phrase sur une page produit n’en est pas un.
• Données personnelles : que reçoit réellement le modèle ? Demandez ce qui se passe entre la question de l’utilisateur et l’appel, et faites-vous montrer un exemple.
• Fournisseurs : qui les choisit, vous ou la plateforme ? Vous devez pouvoir retenir ceux que vous approuvez, et en changer le jour où vous le décidez.

Nos réponses tiennent en trois lignes : vos données ne servent pas à entraîner les modèles, selon notre engagement contractuel et les conditions de nos fournisseurs ; les données personnelles sont anonymisées avant l’appel au modèle ; et les fournisseurs de modèles sont choisis parmi ceux que vous approuvez.

Qui voit quoi

Une plateforme peut être hébergée en France et n’entraîner aucun modèle, et laisser pourtant un agent lire un document qu’il n’aurait pas dû lire. La souveraineté se joue aussi à l’intérieur de l’entreprise : un agent connecté à votre messagerie, votre drive ou votre CRM ne doit pas voir plus que la personne qui l’utilise. Les droits de chaque source doivent donc être conservés par la plateforme, et appliqués au moment où l’agent cherche, pas seulement quand il répond.

La preuve est un test plutôt qu’un document : deux utilisateurs aux droits différents posent la même question, et les réponses doivent différer. Demandez aussi si les accès aux données sont journalisés. Chez Scalt, chaque agent ne lit que ce qu’il a le droit de lire, selon les droits d’accès de vos sources, et les accès aux données sont limités et journalisés. Notre guide pour choisir une plateforme d’agents détaille ces deux critères.

Le journal, la réversibilité et l’installation chez vous

Savoir où sont ses données et qui les voit ne suffit pas si l’on ne peut ni reconstituer ce qui a été fait, ni partir. Le journal d’audit doit contenir, pour chaque exécution, la demande, les sources lues, les outils appelés, les validations et le résultat, et s’exporter vers vos propres outils. Une trace consultable seulement dans l’interface du fournisseur lui appartient plus qu’à vous.

La réversibilité se négocie à l’entrée : ce que vous récupérez, dans quel format et dans quel délai, et quand vos données sont supprimées, écrit au contrat. Enfin, une plateforme qui ne tourne que chez son éditeur limite vos choix futurs ; demandez si elle peut s’installer chez vous. Chez Scalt, le journal de gouvernance est exportable, vous récupérez vos documents et l’historique de vos dossiers selon des modalités et des délais écrits dans le DPA, et Scalt peut aussi s’installer sur site ou dans votre propre cloud.

La grille à envoyer au fournisseur

Les cinq questions, et la preuve que nous demanderions à n’importe quel fournisseur, nous compris. Copiez-la dans votre prochain appel d’offres ; une réponse orale ne compte pas.

Nos réponses figurent, point par point, sur notre page Sécurité ; le détail contractuel est remis avec le DPA à vos équipes juridique et sécurité.

Questions fréquentes