IA souveraine et appels d'offres : où partent vraiment vos DCE ?

Posons le problème simplement. Pour analyser un DCE, une IA doit le lire en entier. Ce document contient le périmètre du marché, mais votre réponse, elle, contient votre chiffrage, vos marges, la liste de vos sous-traitants, les CV de vos meilleurs profils et les références clients que vous mettez en avant. C'est, très concrètement, le dossier le plus sensible que produit une entreprise qui répond à la commande publique.

La question n'est donc pas « l'IA est-elle utile ? » — elle l'est, et de façon mesurable. La question est : où part ce document, et qui peut le lire ?

Le risque n'est pas théorique

Trois scénarios concrets, tous déjà observés en entreprise :

• La fuite par l'entraînement. Un service grand public réutilise par défaut les contenus soumis pour améliorer ses modèles. Votre méthodologie différenciante devient une donnée d'apprentissage parmi d'autres.
• Le manquement contractuel. De nombreux règlements de consultation imposent une clause de confidentialité sur les pièces du DCE. Les transmettre à un service non conforme est un manquement — même si personne ne s'en aperçoit.
• Le transfert hors UE. Un hébergement aux États-Unis expose les données à des législations extraterritoriales. Pour un marché de défense, de santé ou d'opérateur d'importance vitale, c'est rédhibitoire.

Les trois couches à vérifier

« Hébergé en Europe » est une formule marketing qui ne dit presque rien. La souveraineté réelle se vérifie sur trois couches distinctes, et un éditeur peut être conforme sur l'une tout en ne l'étant pas sur les deux autres.

1. Le modèle : qui l'opère, et où ?

Beaucoup d'outils français sont en réalité une interface au-dessus d'un modèle américain. Vos documents transitent alors par l'infrastructure de l'opérateur du modèle, quelle que soit la nationalité de l'éditeur du logiciel.

Trois configurations, par niveau de garantie décroissant :

• Modèle européen opéré en Europe (Mistral par exemple) : le traitement reste sous droit européen de bout en bout.
• Modèle américain déployé sur une instance européenne dédiée : acceptable dans beaucoup de cas, mais la maison mère reste soumise à des obligations extraterritoriales.
• API publique d'un fournisseur non européen : aucune garantie propre à votre contrat, vous dépendez des conditions générales du fournisseur.

2. L'hébergement : où dorment vos documents ?

Le traitement est une chose, le stockage en est une autre. Un DCE analysé reste généralement stocké pour que vous puissiez le reconsulter. Les points à faire préciser :

• La localisation physique des serveurs — un pays, pas une région commerciale floue.
• La durée de conservation et la procédure de suppression sur demande.
• Le chiffrement au repos et en transit.
• La liste des sous-traitants : sauvegarde, supervision, support. Chacun est une porte d'accès potentielle et doit être déclaré.

3. L'entraînement : vos données nourrissent-elles le modèle ?

C'est le point le plus important, et celui sur lequel les formulations sont les plus glissantes. Méfiez-vous des tournures du type « nous ne vendons pas vos données » — ne pas vendre n'est pas ne pas utiliser.

L'engagement attendu est explicite : les documents ne sont utilisés ni pour l'entraînement, ni pour l'amélioration du service, ni pour aucun traitement autre que la production de votre analyse. Et il figure au contrat, pas sur une page marketing.

Ce qu'on appelle une IA « en système fermé »

L'expression revient de plus en plus dans les cahiers des charges. Elle désigne une architecture où les données ne sortent pas d'un périmètre maîtrisé : pas de transfert vers un pays tiers, pas de réutilisation pour l'entraînement, pas d'accès par des tiers non déclarés. Les documents entrent, l'analyse sort, et rien ne persiste au-delà de ce que prévoit le contrat.

Ce n'est pas un label officiel — aucune certification ne le délivre. C'est une exigence fonctionnelle, à traduire en clauses vérifiables plutôt qu'à accepter comme argument commercial.

Ce que l'acheteur public vous demandera

Sur les marchés sensibles, les questions se déplacent de vos outils vers votre chaîne de traitement. Préparez de quoi répondre à :

• La localisation d'hébergement de vos prestataires de traitement documentaire.
• Vos engagements de confidentialité vis-à-vis des pièces du DCE.
• Votre registre de traitements et la désignation de vos sous-traitants au sens du RGPD.

Être capable de répondre précisément est devenu un élément de crédibilité — parfois un critère noté sur les marchés de données sensibles.

Les 7 questions à poser à un éditeur

À envoyer telles quelles. Les réponses écrites valent mieux qu'une démonstration commerciale.

1. Quel modèle de langage utilisez-vous, et qui l'opère ?
2. Dans quel pays sont hébergées les données ? Quel est le nom de l'hébergeur ?
3. Mes documents servent-ils à l'entraînement ou à l'amélioration de votre service ? Où est-ce écrit au contrat ?
4. Combien de temps les documents sont-ils conservés, et comment obtenir leur suppression ?
5. Quelle est la liste complète de vos sous-traitants ayant un accès technique ?
6. Pouvez-vous fournir un contrat de sous-traitance conforme à l'article 28 du RGPD ?
7. Y a-t-il un transfert de données hors Union européenne, même transitoire ?

La position de Bryte

Pour être cohérent avec ce qui précède, voici nos propres réponses : modèle Mistral, éditeur français ; hébergement en France ; documents jamais utilisés pour l'entraînement, engagement contractuel ; conformité RGPD avec sous-traitants déclarés.

Ce n'est pas un argument accessoire. Sur les marchés publics sensibles, c'est souvent la condition d'entrée — avant même de parler des fonctionnalités.