IA en production sans OpenAI : le guide de survie du DSI européen

# IA en production sans OpenAI : le guide de survie du DSI européen

En 2026, la pression est maximale : vos métiers veulent de l'IA. Vos directions générales regardent les démos. Et dans votre SI, des briques OpenAI s'installent en douce — parfois sans vous. Ce guide ne parle pas de vision. Il parle de ce que vous faites lundi matin pour reprendre la main.

Étape 1 — Cartographiez vos dépendances IA avant qu'elles vous cartographient

Avant toute décision d'architecture, posez-vous une question simple : quelles briques IA tournent déjà dans votre SI, et où résident les données qu'elles traitent ?

Ce n'est pas une question rhétorique. Des éditeurs intégrés de longue date dans vos processus — Cegid côté RH et finance, Amadeus côté gestion voyage et hospitalité — ont commencé à embarquer des modules IA directement dans leurs suites. Le DSI qui n'a pas audité ces intégrations en 2026 a déjà perdu le contrôle d'une partie de ses flux.

Checklist d'audit à mener immédiatement :

• Listez chaque éditeur SaaS actif dans votre SI et demandez-leur explicitement : quel modèle IA sous-jacent utilise votre module ? Hébergé où ? Sous quelle législation ?
• Identifiez les flux de données sortants : vos données métier partent-elles nourrir un modèle tiers, même de façon anonymisée ?
• Vérifiez les clauses de vos contrats SaaS sur l'utilisation des données à des fins d'entraînement. Un silence contractuel sur ce point est une réponse en soi.
• Croisez avec votre registre RGPD : chaque traitement IA doit avoir une base légale, un responsable identifié, une durée de conservation.

L'enjeu n'est pas idéologique. C'est du Cloud Act pur : si votre éditeur SaaS route vos données vers une infrastructure américaine — même via un datacenter européen — une demande des autorités américaines peut contraindre l'éditeur à communiquer ces données sans que vous en soyez informé. En 2026, ce risque est documenté, contentieux à l'appui.

Étape 2 — Qualifiez vos éditeurs sur leur posture de souveraineté IA

Tous les éditeurs ne jouent pas le même jeu. Certains ont fait des choix architecturaux clairs. D'autres ont juste repackagé une API OpenAI avec un logo maison. La différence est critique pour votre conformité.

Ce que vous devez exiger de chaque éditeur IA en qualification :

Sur le modèle sous-jacent

• Quel modèle est utilisé ? Propriétaire, open source, ou API tierce ?
• Si open source : lequel, quelle version, sur quelle infrastructure est-il déployé ?
• L'éditeur est-il en mesure de vous fournir un modèle déployé dans votre propre environnement (on-premise ou cloud souverain européen) ?

Sur la chaîne de traitement

• Vos données transitent-elles par un tiers avant d'atteindre le modèle (orchestration, fine-tuning, RAG) ? Si oui, qui est ce tiers et sous quelle juridiction opère-t-il ?
• L'éditeur propose-t-il une option air-gap ou private deployment pour les données sensibles ?

Sur la conformité réglementaire

• L'éditeur est-il en mesure de produire une documentation conforme à l'AI Act européen (catégorie de risque, documentation technique, logs d'audit) ?
• Pour les secteurs couverts par DORA (finance, assurance) : comment l'éditeur gère-t-il la résilience de sa brique IA et la traçabilité des décisions automatisées ?
• Pour NIS2 : l'éditeur est-il lui-même dans le périmètre NIS2 ? A-t-il notifié une autorité compétente européenne ?

Un éditeur qui ne peut pas répondre à ces questions en moins de 48 heures n'a pas de posture de souveraineté. Il a un PowerPoint.

Étape 3 — Définissez vos zones rouges de données avant de déployer

Toutes vos données ne se valent pas face au risque d'extraterritorialité. Avant de déployer la moindre brique IA en production, segmentez.

La règle des trois zones :

Zone rouge — données à ne jamais externaliser vers un modèle tiers

Données couvertes par le secret professionnel, données de santé, données personnelles sensibles au sens RGPD (article 9), données stratégiques couvertes par votre politique de sécurité (R&D, M&A, données clients grands comptes). Pour ces données, seul un modèle déployé dans votre périmètre de contrôle direct est acceptable.

Zone orange — données externalisables sous conditions strictes

Données métier non sensibles, données agrégées, contenus marketing. Externalisable uniquement vers un éditeur capable de garantir : hébergement en datacenter européen certifié, contrat sous droit européen, absence de sous-traitance vers des entités soumises au Cloud Act, et DPA (Data Processing Agreement) conforme RGPD signé.

Zone verte — données à faible criticité

Données publiques, contenus sans lien avec des personnes physiques ou des processus métier critiques. Ici, la latitude est plus grande — mais documentez quand même le traitement.

Cette segmentation n'est pas une option. C'est ce que votre DPO et votre RSSI doivent co-construire avec vous avant tout déploiement IA.

Étape 4 — Contractualisez la souveraineté, ne la sous-entendez pas

La conformité déclarative ne protège pas. Ce qui protège, c'est ce qui est écrit dans le contrat.

Clauses à exiger systématiquement dans tout contrat IA :

• Clause de localisation des données : mention explicite du ou des pays d'hébergement, avec interdiction contractuelle de transfert hors EEE sans accord préalable écrit.
• Clause d'interdiction d'entraînement : vos données ne peuvent pas être utilisées pour entraîner ou améliorer le modèle de l'éditeur ou d'un tiers.
• Clause d'audit : vous disposez d'un droit d'audit ou de contrôle tiers sur le traitement de vos données, avec délai de réponse contractualisé.
• Clause de réversibilité : en cas de résiliation, format et délai de restitution des données, et garantie de destruction côté éditeur.
• Clause de notification d'incident : alignée sur NIS2 (72 heures pour notification initiale à l'autorité compétente).
• Clause de droit applicable : droit d'un État membre de l'UE, juridiction européenne. Pas de clause compromissoire renvoyant à une juridiction américaine.

Si l'éditeur refuse une ou plusieurs de ces clauses, c'est une information de qualification. Pas une négociation.

Étape 5 — Pilotez le risque IA dans votre gouvernance existante, pas en silo

L'erreur classique en 2026 : créer un « comité IA » parallèle à toutes les instances de gouvernance existantes. Résultat : les décisions IA échappent aux processus de contrôle établis.

Ce que vous devez intégrer, pas créer à côté :

• Dans votre SMSI : chaque modèle IA en production est un actif à inventorier, avec ses dépendances, ses flux de données et son niveau de criticité. Les tests de pénétration doivent couvrir les interfaces IA (injection de prompt, exfiltration via outputs).
• Dans vos processus DORA (si vous êtes dans le périmètre) : les briques IA sont des tiers critiques au sens DORA. Ils doivent figurer dans votre registre des prestataires TIC, avec évaluation de concentration et plan de sortie documenté.
• Dans vos PIA RGPD : tout traitement IA impliquant des données personnelles déclenche une analyse d'impact. En 2026, la CNIL et ses homologues européens ont durci leurs positions sur les IA génératives en contexte professionnel.
• Dans vos tableaux de bord RSSI : ajoutez un indicateur de dépendance IA — part de vos traitements critiques reposant sur un modèle non auditable ou hébergé hors EEE.

Ce que cette démarche change concrètement

Ce guide ne vous demande pas de bannir l'IA de votre SI. Il vous demande de ne pas laisser la dépendance s'installer par défaut, un abonnement SaaS après l'autre, jusqu'à ce que remplacer un éditeur devienne impossible sans tout reconstruire.

Amadeus a investi dans des capacités IA déployables dans des environnements maîtrisés. Cegid documente ses choix d'infrastructure européenne. Datadog, de son côté, est un acteur américain coté à New York — ce que vos contrats et votre cartographie doivent refléter sans ambiguïté, quelles que soient ses qualités techniques.

La souveraineté numérique n'est pas un label. C'est une posture de gouvernance. Et elle commence par les questions que vous posez à vos éditeurs cette semaine.