IA pour le secteur public — Nuage souverain et conformité réglementaire

De quoi il s'agit

Le déploiement de l'IA au sein des organisations du secteur public européen — ministères, systèmes de santé, administrations fiscales, agences proches de la défense — opère sous une contrainte de souveraineté qui n'a pratiquement aucun équivalent dans le secteur privé : la résidence des données doit être imposée au niveau de l'infrastructure par la loi, et non par simple politique interne, et tout modèle d'IA qui influence une décision affectant un citoyen peut lui-même être qualifié de système à haut risque au titre de l'AI Act européen. Ces deux contraintes façonnent ensemble un schéma d'architecture distinct : le « sovereign-cloud-first » côté SAP, avec des capacités d'IA cantonnées à ce qui peut légalement s'exécuter à l'intérieur de cette frontière, plutôt qu'à ce que la région par défaut de l'éditeur propose.

Pourquoi c'est important

• Les tenants BTP/Datasphere hyperscaler par défaut (AWS eu-west-1, Azure West Europe) satisfont le RGPD mais échouent aux exigences HDS françaises et BSI C5 allemandes — un angle mort de la plupart des propositions SAP standard.
• Deux coentreprises souveraines nommées (SAP on Bleu avec Capgemini/Orange ; Delos Cloud avec Arvato/Bertelsmann/Microsoft) correspondent directement aux décisions de déploiement France vs. Allemagne.
• L'explicabilité est une exigence dure, pas une option : les agents Joule doivent exposer leur chaîne de raisonnement pour toute décision affectant un citoyen.

Points clés

• L'IA du secteur public européen obéit à une double contrainte : résidence des données imposée par la loi au niveau de l'infrastructure, plus les obligations du règlement IA pour tout système influençant une décision concernant un citoyen.
• Les tenants BTP et Datasphere par défaut tournent sur des régions hyperscaler (AWS Irlande, Azure Pays-Bas) — conformes RGPD pour un traitement standard, insuffisants là où s'appliquent des règles de souveraineté nationale.
• Les offres souveraines comme SAP sur Bleu (France) ou Delos Cloud (Allemagne) existent précisément pour garder les charges SAP dans un périmètre juridiquement reconnu.
• Dimensionner la capacité IA à ce qui peut légalement tourner dans ce périmètre, pas à ce que la région par défaut de l'éditeur propose.
• La gouvernance de modèle au titre de l'Article 9-49 de l'AI Act est une véritable ligne d'effort : 200 à 800 jours-personne par système à haut risque — à budgéter et planifier explicitement, ce n'est pas une case à cocher.
• Les plateformes souveraines échangent la fraîcheur des fonctionnalités contre la sécurité juridique : Delos Cloud ou SAP sur Bleu accusent généralement un à plusieurs cycles de retard sur le BTP hyperscaler standard pour les nouvelles capacités IA.
• La conformité RGPD et les normes nationales d'hébergement (HDS, BSI C5) sont des barres séparées — franchir l'une n'implique pas franchir l'autre.
• La résidence des données et la classification de risque de l'AI Act sont deux problèmes distincts : un système peut tourner entièrement dans un périmètre souverain et rester un système à haut risque de l'annexe III non documenté et non conforme.

Termes employés sur cette page

Agent reliability

La constance, le coût, la sûreté et la conformité aux politiques d'un agent à travers des exécutions répétées.

HDS (Hébergement de Données de Santé)

Certification française d'hébergement des données de santé requise pour toute plateforme stockant ou traitant des données de santé françaises — plus stricte que le RGPD de base, une barrière que SAP sur Bleu est spécifiquement positionné pour satisfaire.

BSI C5

Catalogue de critères de conformité cloud computing de l'Office fédéral allemand de la sécurité de l'information (BSI) — une norme d'attestation que les organismes publics allemands exigent pour certaines classifications de charge cloud ; satisfaite via Azure Allemagne ou Delos Cloud, pas par une région hyperscaler par défaut seule.

ANSSI

Agence nationale de la sécurité des systèmes d'information — l'agence française de cybersécurité nationale dont SAP sur Bleu suit les exigences pour les charges du secteur public français et de données de santé.

Cloud souverain

Un déploiement cloud opéré sous les contrôles légaux, humains et d'infrastructure propres à une juridiction, de sorte que la résidence des données et les règles d'accès gouvernemental soient imposées techniquement et organisationnellement, pas seulement contractuellement.

Annexe III (AI Act)

La liste des cas d'usage de systèmes d'IA à haut risque dans l'AI Act européen — incluant les systèmes qui influencent des décisions affectant des individus dans des contextes de secteur public — qui déclenchent les obligations de documentation, supervision et surveillance des Articles 9-49, effectives au 2027-12-02 suite à l'Omnibus numérique.

Sources

1. Regulation (EU) 2024/1689 — EU AI Act full text
2. SAP on Bleu — sovereign cloud for France
3. SAP BTP Privacy and Security — data residency
4. BSI C5 — Cloud Computing Compliance Criteria Catalogue
5. SAP Datasphere — Help Portal
6. SAP Datasphere — official product page
7. European Commission — Cloud sovereignty policy
8. How to Connect S4HANA Public Cloud With SAP Datasphere — SAP Community (Technology Blog Posts by Members)
9. S/4HANA Public Cloud Integration with SAP Datasphere — SAP Community (Enterprise Architecture Blog Posts)
10. Leveraging AI and Google Solutions for automating flatfile upload into SAP datasphere — SAP Community (Technology Blog Posts by Members)
11. Google Vertex AI triggering calculations / ML in SAP Data Warehouse Cloud — SAP Community (Technology Blog Posts by SAP)
12. Federated Machine Learning using SAP Datasphere & Google Cloud Vertex AI 2.0 — SAP Community (Technology Blog Posts by SAP)
13. Federated Machine Learning using SAP Data Warehouse Cloud and Google Cloud Vertex AI — SAP Community (Technology Blog Posts by SAP)