MtoM Mag - Le journal de l'MtoM.

Jusqu’ici, l’adoption de l’IA a progressé plus rapidement que les cadres réglementaires, laissant dans la plupart des cas le soin aux entreprises d’édicter leurs propres règles. En effet, selon une étude récente de McKinsey, 88 % des organisations affirment avoir recours à l’IA pour au moins une de leurs fonctions métier. Le rythme de l’innovation a ralenti et il est clair que les entreprises ont omis de prendre en compte l’un des principaux critères de déploiement d’une IA sûre et sécurisée : la souveraineté des données.

Dans le même temps, les cadres réglementaires ont commencé à rattraper une partie de leur retard et la plupart s’appuient sur des principes de souveraineté des données et de visibilité des données qui alimentent l’IA. Le règlement européen sur l’IA (AI Act) définit notamment des règles strictes et basées sur les risques pour le développement et le déploiement de l’IA au sein de l’UE, afin de renforcer la visibilité des données qui sous-tendent la technologie.

Plutôt que de poursuivre sans en tenir compte, les entreprises ont tout intérêt à marquer un temps d’arrêt afin de développer des architectures de données transparentes, traçables et qui intègrent la souveraineté dès la conception (sovereign-by-design). Sans cela, elles ne seront tout simplement pas en mesure d’exploiter le véritable potentiel de l’IA et elles prendront également du retard en matière de conformité réglementaire.

Toutes les données ne sont pas bonnes à prendre

C’est un fait établi, la souveraineté numérique et l’innovation en matière d’IA reposent avant tout sur les données. Le fait que l’IA a besoin de s’appuyer sur de vastes quantités de données est déjà bien documenté. Or, selon les estimations d’IDC, l’ensemble des données générées en 2025 dans le monde a atteint environ 181 zettaoctets. Néanmoins, malgré cette abondance de données, une grande part des projets pilotes d’IA générative se soldent par des échecs. Selon les conclusions de certaines études, près de 95 % des projets pilotes d’IA générative menés en entreprise ne sont pas arrivés en production ou n’ont pas démontré de retour sur investissement (ROI) mesurable. Cela s’explique par des lacunes persistantes en matière d’hygiène des données.

Les données connaissent une croissance exponentielle et l’IA en est en grande partie responsable, mais la majorité des entreprises ont du mal à suivre le rythme. En effet, cette multiplication des données a largement surpassé le développement des pratiques de stockage et les entreprises ont légèrement relâché leur vigilance, entraînant le stockage de données dites « inutiles » avec les données pertinentes nécessaires à l’exploitation de l’IA. Or les systèmes d’IA finissent par intégrer non seulement les biais, mais également la qualité et la structure des données qui servent à les entraîner. Ainsi, si les jeux de données d’entraînement sont mal structurés et incluent des données inutiles ou non pertinentes, les outputs et l’exploitabilité de la technologie en pâtissent.

Il ne faut pas non plus négliger la réaction en chaîne causée par la mise en conformité avec la réglementation. Tandis que les régulateurs peinent encore à s’accorder sur une approche unifiée des règles encadrant l’IA, la visibilité se présente indiscutablement comme l’une des principales exigences à venir. Au sein de l’UE, l’AI Act et la directive NIS2 reflètent déjà une dynamique en faveur de la gouvernance, de la transparence et de contrôles plus stricts portant sur les données opérationnelles et d’entraînement. Or, sans une souveraineté des données robuste, les entreprises ne seront pas en mesure de cartographier ou de comprendre leur paysage de données afin de répondre aux exigences réglementaires actuelles et futures.

Séparer le bon grain de l’ivraie

Après plusieurs années de croissance effrénée, les quantités de données considérables qui composent les charges de travail d’entreprise peuvent sembler intimidantes. Avant même de penser à améliorer leur hygiène en matière de données, les entreprises doivent d’abord les comprendre et les classer. Pas seulement en fonction de ce qu’elles contiennent, mais également en fonction de leur degré de sensibilité. Un tel niveau de compréhension permet non seulement d’éviter de donner par erreur à des programmes d’IA générative l’accès à des données sensibles, mais constitue également un facteur essentiel pour permettre à l’IA générative de tenir toutes ses promesses. Plutôt que d’entraîner la technologie à partir d’ensembles de données pertinentes émaillées de données inutiles, les entreprises seront en mesure de fournir à l’IA les informations dont elle a réellement besoin.

Une fois que cette étape préliminaire a été franchie et que l’entreprise connaît les données avec lesquelles elle travaille, elle peut commencer à définir les exigences de souveraineté pour chaque catégorie de données, en tenant compte à la fois des règlementations générales et locales. Pour certains, le premier réflexe consiste de restreindre l’usage de la technologie pour satisfaire aux exigences les plus strictes formulées par les législations locales. Néanmoins, à ce jour, le RGPD n’exige pas l’adaptation locale aux règles d’un pays spécifique, mais simplement au sein de la Zone économique européenne (ZEE), même s’il impose des restrictions strictes sur le transfert de données personnelles hors de ses frontières, créant ainsi des exigences locales de fait. Il existe de nombreuses nuances, ce qui explique pourquoi de nombreuses entreprises adoptent des architectures hybrides ou multicloud pour maintenir une certaine flexibilité quant à l’endroit où les charges de travail sont traitées et stockées. Grâce à cela, elles peuvent conserver les données à l’endroit où elles en ont besoin afin de répondre aux exigences locales tout en préservant leur portabilité, qui demeurera un facteur essentiel à mesure que les réglementations continueront d’évoluer. Un tel degré de flexibilité et de transparence permet non seulement aux entreprises de monitorer l’endroit où résident leurs données, mais également qui peut y accéder, critère indispensable pour garantir la conformité, mais également de sécurité.

Bien plus qu’une simple case à cocher

Jusqu’à présent, la souveraineté des données était reléguée au dernier rang des priorités des entreprises, car elle était généralement considérée comme un simple exercice de mise en conformité. Les entreprises se sont contentées de cocher cette case parmi une longue liste d’exigences réglementaires, négligeant de la considérer comme un pan crucial de leur stratégie de données. Pourtant, lorsqu’elle est pleinement comprise, correctement mise en application et alignée avec la stratégie d’entreprise, elle peut représenter un atout crucial.

Elle permet non seulement de structurer les cadres de gouvernance portant sur les données qui sous-tendent les opérations, mais également d’éclairer et de mettre en place une gouvernance de l’IA. À l’aide de données propres, structurées et classifiées, les entreprises peuvent enfin libérer tout le potentiel de leurs projets pilotes d’IA générative.

Les entreprises ont jusqu’ici sous-estimé l’importance de la souveraineté des données. Toutefois, alors que l’innovation en matière d’IA générative stagne et que la réglementation commence à rattraper son retard, elles ne peuvent plus se permettre de l’ignorer.