Héberger l'IA de l'entreprise : cloud européen, votre cloud ou sur site

Les trois façons d'héberger une IA d'entreprise

La CNIL distingue trois modes de déploiement pour une IA générative : « sur site » (on premise), sur une infrastructure cloud hébergée, ou à la requête via des API. Ce guide traite les deux premiers, ceux qu'une entreprise de 50 à plusieurs milliers de personnes retient en général pour une IA déployée à tous les services. Pour l'usage d'un service grand public par API, lisez notre comparatif ChatGPT Enterprise ou IA privée.

• Cloud privé en Europe : un prestataire exploite l'infrastructure pour vous, dans un environnement isolé des autres clients.
• Votre cloud : l'application et les modèles tournent dans votre compte Google Cloud, AWS ou Azure, sous vos règles de sécurité.
• Sur site : les serveurs sont dans vos locaux ou votre centre de données, avec des modèles ouverts installés en local.

Le choix n'est pas forcément unique. Une organisation peut répartir ses usages entre deux hébergements selon la sensibilité des données.

IA on premise : quand la garder sur site

Pour la CNIL, il semble « généralement plus opportun et plus sécurisé » de privilégier le déploiement sur site quand l'IA traite des données sensibles. La raison donnée : ce choix limite les risques d'extraction de données auprès d'un tiers. Aucune requête ne quitte votre réseau.

Les cas où l'IA on premise se justifie

• Des dossiers que la direction refuse de voir sortir : contentieux, fusions, données de santé des salariés.
• Un réseau isolé d'internet, par exemple dans l'industrie ou la défense.
• Une politique interne qui interdit tout hébergement hors de vos murs.

Ce que l'IA sur site demande en retour

La CNIL le dit aussi : installer et faire fonctionner un système sur site coûte cher, et un hébergement distant est souvent plus simple. Concrètement, votre équipe prend en charge :

• l'achat et le remplacement des serveurs de calcul ;
• les correctifs de sécurité, les sauvegardes et la supervision ;
• le choix et la mise à jour des modèles ouverts, qui évoluent vite.

Retenez un point : un serveur interne mal exploité peut être moins sûr qu'un cloud bien configuré. L'IA on premise ne vaut que si l'équipe a le temps de la maintenir.

Cloud européen ou cloud de l'entreprise

Un hébergement distant donne accès aux modèles les plus récents sans acheter de matériel. La CNIL demande alors de sécuriser le recours à l'infrastructure externe par un contrat de sous-traitance avec l'hébergeur et, le cas échéant, avec le fournisseur du système d'IA.

Le cloud privé en Europe

C'est l'option la plus rapide à mettre en place si vous n'avez pas déjà un cloud. Vérifiez trois choses dans le contrat : le pays des centres de données, la liste des sous-traitants et l'engagement de ne pas réutiliser vos données.

Votre propre cloud : regardez la région de traitement

Si vous avez déjà un contrat Google Cloud, AWS ou Azure, l'IA peut y tourner. Vos règles d'accès, vos journaux et votre facturation restent les mêmes. Mais la région de traitement des modèles dépend du fournisseur et du type de point d'accès. Deux exemples tirés de la documentation officielle, à la date de consultation :

• Google Cloud : la documentation d'Anthropic décrit un point d'accès « global », qui envoie les requêtes vers toute région disponible, un point d'accès multirégion « eu », qui les garde dans l'Union européenne, et des points d'accès régionaux. Les points d'accès multirégion et régionaux coûtent 10 % de plus que le point d'accès global, et les plus récents modèles ne sont plus servis en régional.
• Microsoft Foundry : Microsoft propose les modèles Claude en deux versions. L'une tourne sur l'infrastructure d'Anthropic, hors d'Azure. L'autre tourne entièrement sur Azure. La page ne mentionne qu'une zone de données américaine.

Le réglage par défaut n'est donc pas toujours celui qui garde les données en Europe. Faites vérifier la région de chaque modèle par votre architecte cloud avant l'ouverture aux équipes.

Entreprise au Maroc : la loi 09-08 et les transferts

Pour une entreprise installée à Casablanca ou ailleurs au Maroc, héberger l'IA en Europe peut constituer un transfert de données personnelles vers un État étranger. L'article 43 de la loi 09-08 ne l'autorise que si cet État assure « un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes ». La CNDP établit la liste des États qui répondent à ces critères.

Pour un État hors de cette liste, l'article 44 prévoit des dérogations. Les principales pour une entreprise :

• le consentement exprès de la personne concernée ;
• un transfert nécessaire à l'exécution d'un contrat avec cette personne ;
• une autorisation expresse et motivée de la CNDP, quand le traitement garantit un niveau de protection suffisant, notamment par des clauses contractuelles ou des règles internes.

L'enjeu est réel : l'article 60 punit d'une amende de 20 000 à 200 000 DH et de trois mois à un an d'emprisonnement, ou de l'une de ces peines, un transfert fait en violation des articles 43 et 44. Une IA sur site, au Maroc, évite la question du transfert. Un cloud européen demande de vérifier la liste de la CNDP ou de préparer une demande d'autorisation. Notre article sur l'IA et la loi 09-08 détaille les autres formalités.

La grille du RSSI, quel que soit l'hébergement

Le lieu d'hébergement ne règle pas tout. Ces points se vérifient dans les trois options :

• Isolement : l'application et les données sont séparées de celles des autres clients.
• Droits par service : un commercial n'interroge pas les dossiers RH, même par l'IA.
• Journal des accès : chaque requête est tracée, avec l'utilisateur et la date.
• Réversibilité : vous pouvez exporter les données et les réglages, et changer de prestataire.
• Entraînement : un engagement écrit que vos données n'entraînent aucun modèle.

Reportez ces règles dans votre charte d'utilisation de l'IA, pour que les équipes sachent quelles données vont dans quel outil. Pour relier l'IA à vos documents internes, voyez notre guide installer une IA interne sur les données de l'entreprise.

Décider en quatre étapes

1. Classer les usages par sensibilité. Listez les dix usages prévus et notez pour chacun le type de données : publiques, internes, personnelles, très sensibles.
2. Vérifier où les données ont le droit d'aller. Avec le DPO ou le juriste : loi 09-08, RGPD, contrats clients, politique de groupe.
3. Mesurer votre capacité d'exploitation. Qui patche les serveurs, qui surveille les journaux, qui met à jour les modèles. Sans réponse claire, écartez le sur site pour les usages courants.
4. Tester sur un service. Un pilote de quelques semaines avec une équipe volontaire, avant d'ouvrir à toute l'entreprise.

Le résultat peut être un découpage : cloud privé ou cloud de l'entreprise pour les usages courants, serveurs internes pour un petit nombre de dossiers très sensibles.

Notre offre : IA à la carte

Avec IA à la carte, ANA Studio installe une IA d'entreprise sur vos données, pour toute l'organisation, de 50 à plusieurs milliers de personnes. Vous choisissez qui a quel niveau de modèle Claude, d'Anthropic, quels modules et où tout est hébergé : cloud privé en Europe, votre cloud (Google Cloud, AWS ou Azure), ou serveurs sur site avec des modèles ouverts. Dans les trois cas, l'application et les données sont isolées des autres clients.

Nos engagements : l'IA sert votre entreprise seule et n'entraîne jamais un modèle, les droits se règlent par service avec un journal de chaque accès, et vous exportez données et réglages à tout moment. Nous formons ensuite les équipes sur leurs vrais dossiers. Au Maroc, la formation se déroule comme décrit sur notre page formation IA à Casablanca. Le prix se fixe sur devis, selon le nombre de personnes, le calendrier et la formation.

Questions fréquentes