La question revient dans presque tous les appels d'offres, souvent sans que personne sache dire ce qu'elle protège exactement. Elle mérite mieux qu'une case à cocher.
Ce que l'hébergement recouvre vraiment
Trois choses distinctes se cachent derrière le mot, et un fournisseur peut satisfaire l'une sans les autres.
La localisation du stockage désigne l'endroit où reposent les conversations et les fichiers. C'est la plus facile à vérifier et la plus souvent mise en avant.
La localisation du traitement désigne l'endroit où les calculs ont lieu. Un bot génératif peut stocker en France et envoyer chaque question à un modèle hébergé ailleurs. Le stockage est alors national, la conversation ne l'est pas.
Le régime juridique de l'entreprise qui exploite le service est le point le plus déterminant et le moins regardé. Une société soumise à une législation extraterritoriale peut se voir demander des données quel que soit l'endroit où se trouvent les serveurs.
Un projet qui ne distingue pas ces trois plans obtiendra des réponses rassurantes et incomplètes.
Les situations où cela devient décisif
Les données de santé. Leur hébergement obéit à un régime spécifique en France, avec une certification exigée des hébergeurs. Un bot d'un établissement de soins, ou même d'un assureur qui reçoit des éléments médicaux dans les conversations, ne peut pas traiter cette question comme une préférence.
Les marchés publics et les opérateurs sensibles. Les cahiers des charges imposent souvent une localisation et parfois une qualification. La question se règle avant la candidature, pas pendant.
Les secteurs à obligation de secret. Avocats, experts-comptables, professions de santé : le secret professionnel s'accommode mal d'un traitement dont la chaîne complète n'est pas connue.
Les conversations qui reçoivent des données sensibles sans les demander. C'est le cas le plus fréquent et le moins anticipé. Un service client d'assurance reçoit des informations médicales, un service de recouvrement des informations financières, un service ressources humaines des informations syndicales ou familiales. Le bot n'a rien demandé, les données sont là.
Les situations où cela ne change rien
Un bot qui affiche des horaires, oriente vers des pages publiques et ne conserve pas les échanges ne gagne rien à un hébergement national. L'exigence ajoute du coût et parfois retire des fonctionnalités, sans réduire un risque qui n'existe pas.
De même, exiger un hébergement français tout en laissant le bot appeler un modèle de langue étranger à chaque question revient à verrouiller la porte d'entrée en laissant la fenêtre ouverte. C'est le montage le plus répandu, et le plus inconfortable à défendre devant une autorité de contrôle.
Les questions à poser au fournisseur
Quatre questions, dont vous devez obtenir les réponses par écrit.
Où sont stockées les conversations, dans quel pays et chez quel opérateur d'infrastructure ? La réponse doit nommer un pays, pas une région commerciale.
Où sont exécutés les traitements, et en particulier les appels aux modèles de langue si le bot est génératif ? Demandez la liste des sous-traitants ultérieurs.
Quelle société est responsable du service, et de quelle nationalité relève-t-elle ? C'est le point qui détermine l'exposition à une législation étrangère.
Les conversations servent-elles à entraîner un modèle, et pouvez-vous le refuser ? La réponse par défaut varie selon les offres, et l'option de refus n'est pas toujours activée d'origine.
Comment trancher sans surinvestir
Classez vos flux plutôt que votre projet. Le bot qui répond sur les horaires et celui qui traite les réclamations n'ont pas le même besoin, même s'ils partagent la même fenêtre.
Si un seul flux justifie l'exigence, deux options existent : soumettre tout le projet au régime le plus strict, ce qui est simple et coûteux, ou séparer les parcours, ce qui demande plus de conception et coûte moins cher à l'usage. Le choix dépend surtout de la probabilité que d'autres flux sensibles arrivent plus tard, et cette probabilité est presque toujours sous-estimée.
Les alternatives quand l'exigence est forte
Trois montages permettent de réduire l'exposition sans renoncer aux capacités récentes.
Le modèle exécuté en Europe chez un fournisseur soumis au droit européen. L'offre existe et progresse, avec des écarts de performance qui se réduisent. Vérifiez que le contrat porte bien sur le lieu d'exécution et pas seulement sur le lieu de facturation.
Le modèle auto-hébergé, exécuté sur votre propre infrastructure ou celle d'un hébergeur qualifié. C'est la seule configuration qui garantit qu'aucune donnée ne quitte le périmètre. Elle demande des compétences internes et un budget matériel, et se justifie surtout pour des volumes importants ou des données très sensibles.
Le découpage du parcours : les demandes courantes passent par un bot à scénarios entièrement local, les demandes complexes basculent vers un humain sans jamais atteindre un modèle externe. C'est le montage le plus simple à défendre, et il suffit dans beaucoup de cas.
Ce qu'il faut écrire, quelle que soit l'option retenue
Une note de deux pages, tenue à jour, qui décrit le trajet d'une conversation : ce qui est envoyé, à qui, où c'est stocké, combien de temps, et qui peut y accéder.
Ce document sert trois fois. Il rend possible la réponse à une demande d'accès. Il constitue la base du registre des traitements. Et il permet de répondre en quelques minutes à un client, un partenaire ou un auditeur qui pose la question, au lieu de rouvrir le dossier auprès du fournisseur.
Son absence est le meilleur indicateur d'un projet qui n'a pas traité le sujet, quelle que soit la qualité de l'hébergement retenu.
Commentaires
No comments yet