Qu'est-ce que l'IA souveraine ?
L'IA souveraine désigne des systèmes d'intelligence artificielle dont les données, les modèles, l'infrastructure et les clés de chiffrement restent sous le contrôle de l'organisation qui les utilise, ou d'une juridiction qu'elle choisit. Pour une entreprise québécoise, cela veut dire savoir où sont hébergées les informations, qui peut y accéder et comment les récupérer. iYan est une plateforme de ce type, hébergée au Canada ou sur vos serveurs.
En bref
- Les données, les modèles et les clés de chiffrement restent sous le contrôle de l'organisation.
- On l'évalue par l'hébergement, les accès, la traçabilité et la réversibilité.
- Elle n'interdit pas les modèles externes, elle encadre leur usage.
- Elle aide à documenter les obligations de la Loi 25 sur les renseignements personnels.
Qu'est-ce qui distingue l'IA souveraine d'une IA publique ?
Une IA publique est un service partagé : vos requêtes sont traitées par l'infrastructure du fournisseur, souvent hors du Canada, selon des conditions que vous n'avez pas négociées. L'IA souveraine renverse cette logique. L'organisation décide où les données sont stockées, quels modèles sont autorisés et qui détient les clés.
La souveraineté ne signifie pas l'isolement. Une organisation peut utiliser de bons modèles et garder la maîtrise de ce qui entre et sort de ses systèmes.
- Un lieu d'hébergement choisi et vérifiable
- Un journal d'audit que l'organisation peut consulter
- La possibilité de changer de modèle sans refaire le projet
- Des exports dans des formats ouverts
Pourquoi la souveraineté compte-t-elle pour une organisation québécoise ?
La Loi 25 encadre la collecte, l'utilisation et la communication des renseignements personnels au Québec. Elle exige de connaître les traitements, de désigner une personne responsable de la protection des renseignements personnels et de répondre aux demandes d'accès et de suppression.
Un courriel, un contrat ou un dossier client collé dans un assistant public peut sortir du périmètre de l'entreprise sans laisser de trace. Une PME n'a pas toujours les moyens de le vérifier, et une institution réglementée doit pouvoir le démontrer à un auditeur.
Le risque n'est pas seulement juridique. Dépendre d'un seul fournisseur étranger fixe aussi vos prix, vos conditions et le rythme de votre feuille de route.
Cloud, hybride ou sur site : quelle différence ?
Trois modèles de déploiement coexistent. Le bon choix dépend de la sensibilité de vos données, des compétences internes et du budget d'exploitation, plus que de la tendance du moment.
Le tableau ci-dessous résume les compromis généraux. Il ne remplace pas une évaluation de votre situation.
| Critère | Cloud public | Hybride | Sur site (on-premise) |
|---|---|---|---|
| Lieu des données | Chez le fournisseur, selon ses régions | Partagé : données sensibles sur place, le reste dans le cloud | Sur vos serveurs |
| Exploitation de l'infrastructure | Par le fournisseur | Partagée entre vous et le fournisseur | Par votre équipe ou votre partenaire |
| Contrôle des clés de chiffrement | Variable selon l'offre | Possible sur la partie locale | Entier |
| Mise en route | Rapide | Intermédiaire | La plus longue |
| Preuve pour un auditeur | Dépend des documents du fournisseur | Documentée pour chaque partie | Entièrement sous votre responsabilité |
Quels critères utiliser pour évaluer une plateforme d'IA souveraine ?
Avant de comparer les fonctionnalités, posez des questions sur l'architecture et les engagements. Un fournisseur sérieux répond par écrit et fournit un dossier de sécurité.
Six questions permettent de faire le tri :
- Où sont hébergées les données, les connaissances et les conversations, et peut-on le choisir ?
- Les données servent-elles à entraîner un modèle, pour vous ou pour d'autres clients ?
- Qui détient les clés de chiffrement, et peut-on les changer sans interruption ?
- Quels modèles sont autorisés, et peut-on utiliser des modèles locaux pour le travail sensible ?
- Le journal d'audit est-il infalsifiable et exportable vers un auditeur ou un SIEM ?
- Peut-on repartir avec ses données dans des formats ouverts ?
Comment iYan répond à ces critères ?
iYan est un espace de travail IA conçu pour être installé dans l'infrastructure de l'organisation ou hébergé au Canada. Voici ce qui est en place aujourd'hui, tel que décrit sur nos pages de sécurité et d'entreprise.
Les conversations, les documents et la base de connaissances restent dans le périmètre choisi. Les requêtes sont anonymisées avant d'atteindre un modèle, puis la réponse est restaurée.
- Hébergement au Canada ou sur vos serveurs, avec un mode hybride où seule la passerelle vers les modèles est gérée
- Modèles locaux ou privés pour le travail sensible, et modèles cloud que vous avez approuvés
- Noms, courriels, identifiants et référentiels remplacés par des jetons avant le modèle
- Vos propres clés (BYOK) et chiffrement AES-256-GCM du coffre au repos
- Journal d'audit chaîné par hachage : une ligne modifiée brise la chaîne
- Aucune donnée utilisée pour entraîner un modèle
iYan est-il certifié SOC 2 ou ISO 27001 ?
iYan ne détient pas de certification SOC 2 ni ISO 27001 à ce jour. Ces cadres figurent sur notre feuille de route : les contrôles sont documentés en fonction de ces référentiels, mais nous ne les présentons pas comme acquis.
Un questionnaire de sécurité complet, qu'il soit SIG, CAIQ ou le vôtre, peut être demandé. Nous y répondons sous cinq jours ouvrables.
Questions fréquentes
L'IA souveraine signifie-t-elle forcément des serveurs sur place ?
Non. Une IA souveraine peut être hébergée dans une juridiction choisie, par exemple au Canada, sur les serveurs de l'organisation ou en mode hybride. Ce qui compte est de savoir où sont les données, qui les traite, qui détient les clés de chiffrement, et de pouvoir le démontrer.
L'IA souveraine coûte-t-elle plus cher qu'un chatbot public ?
Elle demande en général plus de préparation qu'un abonnement individuel : évaluation de l'infrastructure, configuration et suivi. Le coût d'exploitation dépend du volume d'usage et des modèles choisis. iYan commence par une évaluation avant de discuter des chiffres, afin que la proposition corresponde à votre contexte.
Les données envoyées à un modèle servent-elles à l'entraîner ?
Chez iYan, non : aucune donnée n'est utilisée pour entraîner un modèle. Pour les modèles cloud que vous approuvez, vérifiez aussi leurs propres conditions, car elles ne sont pas celles d'iYan. Demandez-les par écrit et intégrez la réponse à votre évaluation.
Quelle différence entre IA souveraine et IA locale ?
L'IA locale désigne un modèle exécuté sur votre matériel. L'IA souveraine est plus large : elle couvre la maîtrise des données, des clés, des accès et de la traçabilité. Une IA souveraine peut utiliser des modèles locaux pour les tâches sensibles et des modèles cloud approuvés pour le reste.
Par où commencer un projet d'IA souveraine ?
Commencez par un inventaire des usages actuels, y compris les outils publics utilisés sans cadre. Classez ensuite les données selon leur sensibilité, puis définissez les modèles autorisés et les exigences d'hébergement. Une évaluation initiale permet de choisir le chemin adapté avant d'engager un budget.