Glossaire
Mis à jour
En quoi l'hébergement des données diffère-t-il de la souveraineté et de la localisation ?
Ces trois termes sont souvent confondus alors qu'ils désignent des concepts distincts. L'hébergement des données (ou résidence des données) est un engagement concernant le lieu physique où les données sont stockées, souvent de nature contractuelle et non légale. La localisation est une obligation légale selon laquelle certaines données doivent demeurer au sein d'une juridiction spécifique, comme le prévoient certaines réglementations en Inde, en Chine et en Russie. La souveraineté va plus loin et détermine quel gouvernement dispose du pouvoir d'exiger l'accès aux données. C'est pourquoi un service hébergé au sein de l'UE mais géré par un fournisseur basé aux États-Unis peut respecter l'hébergement des données tout en soulevant des questions de souveraineté. Les questionnaires d'achat font fréquemment référence à un concept pour en désigner un autre.
Pourquoi l'IA rend-elle cette conformité plus complexe ?
La gouvernance des données traditionnelle permet de cartographier et de contrôler les lieux de stockage. L'IA, en revanche, introduit des flux de données souvent difficiles à détecter. Une requête contenant des données clients envoyée à un modèle hébergé constitue un transfert, de même que la réponse et tout journal conservé par le fournisseur. Les systèmes de recherche documentaire extraient des informations d'une région pour les traiter dans la fenêtre de contexte d'une autre région. Le réglage fin (fine-tuning) copie des données vers un pipeline d'entraînement susceptible de s'exécuter ailleurs. Enfin, l'IA intégrée par défaut dans les logiciels SaaS déplace des données sans aucune configuration de la part du client. En conséquence, les engagements d'hébergement pris au niveau de la base de données sont souvent enfreints au niveau de la phase d'inférence.
Quelles sont les exigences du RGPD ?
Le RGPD n'impose pas la localisation des données. Il encadre les transferts de données à caractère personnel hors de l'EEE, à moins qu'un mécanisme de transfert légal ne soit appliqué, ce qui constitue une approche différente et plus flexible. Ces mécanismes incluent une décision d'adéquation pour le pays de destination, des clauses contractuelles types associées à une évaluation de l'impact du transfert, ou des règles d'entreprise contraignantes. Les entreprises qui interprètent le RGPD comme une obligation stricte de stockage au sein de l'UE imposent souvent des contraintes excessives à leur architecture. À l'inverse, celles qui ignorent ces règles de transfert s'appuient sur des mécanismes qu'elles n'ont jamais documentés. Notre guide sur les exigences de résidence des données pour l’IA passe en revue chaque régime, notamment DORA et PRA SS2/21.
Quels contrôles sont viables en cas d'audit ?
Le déploiement ancré dans une région spécifique, tant pour le stockage que pour les points de terminaison d'inférence, garantit que l'appel au modèle reste dans la même juridiction que les données. Les engagements contractuels des fournisseurs d'IA doivent couvrir le lieu de traitement, la conservation des requêtes et des résultats, ainsi que l'utilisation ou non des données d'entrée pour l'entraînement. Il convient également d'activer la configuration qui désactive l'entraînement sur les données clients lorsque cette option est disponible. L'entreprise doit conserver un registre des mécanismes de transfert appliqués pour chaque flux transfrontalier. Enfin, la traçabilité doit identifier quel modèle a traité quelle requête et dans quelle région, car il s'agit de la preuve requise par les autorités de régulation, et c'est généralement l'élément qui fait défaut.
Comment cela se traduit-il dans la gouvernance de l'IA ?
L'hébergement des données est une caractéristique du système qui doit figurer dans l'inventaire IA, aux côtés du responsable et du niveau de risque. Consigner la région d'hébergement, le fournisseur, la base juridique du transfert et les conditions de conservation pour chaque système d'IA permet de transformer la gestion de l'hébergement, d'ordinaire manuelle et périodique, en une base d'informations interrogeable en temps réel. Cette démarche permet également de mettre en lumière les cas les plus critiques, à savoir les fonctionnalités intégrées par les éditeurs tiers et l'IA fantôme non répertoriée, où des données franchissent les frontières sans aucune évaluation préalable.
Exemple
Un assureur allemand déploie un assistant qui rédige des projets de correspondance pour les sinistres. Les données des assurés sont stockées dans une base de données à Francfort, respectant ainsi son engagement de résidence des données. L'assistant fait appel à un grand modèle de langage hébergé dans une région des États-Unis, de sorte que chaque requête contenant des détails sur un sinistre constitue un transfert de données personnelles en dehors de l'EEE. L'entreprise associe le point de terminaison du modèle à une région de l'UE, obtient des clauses contractuelles garantissant que les requêtes ne sont ni conservées ni utilisées à des fins d'entraînement, documente des clauses contractuelles types assorties d'une évaluation de l'impact des transferts pour l'accès résiduel du fournisseur au support, et enregistre la région ainsi que le fournisseur concernés dans son inventaire de systèmes d'IA. Lorsque l'autorité de contrôle demande quels systèmes traitent les données des assurés en dehors de l'EEE, la réponse est obtenue en une seule requête.