AI Act : pour Sprinklr, la nationalité du fournisseur d’IA est un faux débat

Faut-il cesser de se soucier de la nationalité de son fournisseur d’IA ? C’est la direction que prend Philippe Peter, Senior Director EMEA chez Sprinklr, dans une tribune publiée par ZDNet France. Son texte prend position sur l’AI Act, le règlement européen sur l’intelligence artificielle. Mais c’est une opinion signée par un acteur du secteur, pas une analyse neutre : voici ce qu’elle dit, et les questions qu’elle laisse ouvertes.

Une thèse construite sur deux « faux débats »

Selon Philippe Peter, deux sujets dominent les conseils d’administration à mesure que l’AI Act entre en application : la gouvernance et la souveraineté. Il juge ces préoccupations légitimes, mais traitées de façon superficielle par les entreprises.

Il pointe deux réflexes. Le premier : vouloir exercer un contrôle total sur chaque interaction avec l’IA. Le second : se focaliser à l’excès sur le pays où se trouve le siège social des fournisseurs de logiciels. Aucun des deux, écrit-il, ne suffit dans la pratique à maîtriser l’ensemble des risques.

Le titre ajoute un second reproche : les entreprises se tromperaient aussi d’échéance. Nous y revenons plus bas.

Son alternative tient en deux idées : une gouvernance « modulable » et une véritable autonomie technique des données. Notons déjà que la tribune parle de « nombreux dirigeants » sans citer d’exemple, de chiffre ni d’enquête. Le constat de départ reste donc une affirmation de l’auteur.

Contrôle humain : un interrupteur ou un variateur ?

Philippe Peter reconnaît que vouloir qu’un humain vérifie chaque décision de l’IA est « légitime » et « compréhensible ». Cette volonté découle, selon lui, d’un manque de confiance ou d’incertitudes sur la technologie.

Mais il y voit un effet contre-productif. Son exemple : un client qui veut simplement consulter le solde de sa facture. Faire valider chaque réponse du robot par un humain ajoute des délais inutiles, frustre les clients et épuise les employés. Pire, écrit-il, cela finit par « vider le centre de contact de sa substance ».

Sa proposition est une gouvernance en variateur plutôt qu’en interrupteur :

• un agent d’IA doit mériter son autonomie au terme de tests rigoureux ;
• les garde-fous sont renforcés ou assouplis selon le risque réel de chaque tâche ;
• les cas à haut risque sont toujours transmis à un humain, via un mécanisme prévu dès la conception, avec l’historique complet de l’échange.

Le raisonnement est cohérent, mais l’exemple choisi est le plus favorable à sa thèse : une simple consultation de facture. La tribune ne dit pas qui classe les tâches par niveau de risque, ni sur quels critères. Pour une PME, c’est pourtant la vraie question : qui décide qu’une tâche est « peu risquée », et qui en porte la responsabilité si l’agent se trompe ?

Souveraineté : le siège social ne fait pas tout

Sur la souveraineté, l’auteur rappelle que, dans des pays comme la France, la souveraineté des données est une obligation dans des secteurs tels que la banque, les services financiers et les télécommunications.

Il affirme ensuite que la souveraineté d’une entreprise ne se résume ni au lieu où un modèle a été entraîné, ni au pays où le fournisseur paie ses impôts sur les sociétés. Il ajoute que des contrats conclus avec des filiales locales ne peuvent pas « réécrire le droit international ».

Une nuance s’impose ici. La tribune ne dit pas que la nationalité du fournisseur n’a aucune importance. Elle dit que se focaliser dessus peut créer un faux sentiment de sécurité et laisser des infrastructures essentielles exposées à des exigences réglementaires qui comptent vraiment. Le hook « faux débat » est donc plus tranché que le texte lui-même.

Pour Philippe Peter, une grande partie de la « véritable » souveraineté est technique. Si les données propriétaires sur vos clients et vos prompts sont protégés localement avant d’être transmis à un modèle, vos données en clair restent dans votre périmètre. En cas de panne externe, de changement de politique ou de différend géopolitique, vos processus essentiels côté client ne sont pas interrompus. Il admet lui-même que cela n’élimine pas complètement les risques, mais estime que cela réduit fortement l’exposition.

Le piège du fournisseur unique

L’auteur voit dans le recours à un seul fournisseur d’IA un « piège stratégique ». Si celui-ci change ses conditions commerciales, rencontre des problèmes de performance ou se heurte aux autorités européennes, l’entreprise captive n’a aucune solution de repli.

Sa réponse : orchestrer les modèles de façon dynamique, grâce à une couche de gouvernance centralisée. Les tâches seraient réparties entre des moteurs européens à code source ouvert, des modèles spécialisés par domaine et des plateformes mondiales. Si un modèle présente un risque de non-conformité ou des performances décevantes, le trafic bascule vers un autre moteur sans perturber les applications destinées aux clients. Selon lui, la liberté technique de changer de moteur à volonté est la forme la plus aboutie de souveraineté numérique.

L’échéance de 2027, plus proche qu’il n’y paraît

C’est le second volet du titre. Selon Philippe Peter, la plupart des entreprises se concentrent sur des exigences déjà en vigueur, comme les obligations de transparence : informer un client qu’il échange avec un robot. Or, écrit-il, la plupart des exigences applicables aux systèmes à haut risque n’entreront en vigueur qu’en décembre 2027.

Il en tire une consigne : faire de la capacité d’audit une priorité. L’entreprise devrait pouvoir démontrer :

• à quelles données l’IA a eu accès ;
• pourquoi elle a pris une décision donnée ;
• comment son raisonnement s’est construit ;
• à quel moment précis un humain est intervenu.

Son avertissement porte sur le calendrier. Intégrer a posteriori une journalisation des décisions en temps réel dans des systèmes existants prend du temps, et ne doit pas être reporté aux quelques mois avant la date butoir. Considérer 2027 comme lointain serait, dit-il, une « grave erreur de calcul ».

Cette date est celle citée par l’auteur. La tribune ne renvoie pas au texte du règlement : avant de planifier quoi que ce soit, une PME a intérêt à vérifier elle-même le calendrier et à savoir si ses usages relèvent ou non de la catégorie « haut risque ». La tribune ne le précise pas.

Ce qu’il faut garder en tête en la lisant

Le statut du texte compte. Il s’agit d’une tribune d’opinion, signée par un dirigeant d’un acteur commercial du secteur. Cela ne la disqualifie pas : les arguments peuvent être justes. Mais ils sont présentés sans chiffre, sans étude et sans exemple d’entreprise.

La tribune ne dit pas non plus qui fournirait la « couche de gouvernance centralisée » qu’elle recommande, ni si l’entreprise de l’auteur en propose une. Ce n’est pas une accusation : c’est une question que tout lecteur peut légitimement se poser devant un plaidoyer pour une architecture technique.

Les idées de fond se traduisent en questions concrètes, qu’une PME ou un indépendant peut poser à ses fournisseurs :

• Où mes données en clair sont-elles protégées avant d’atteindre le modèle ?
• Si ce fournisseur tombe en panne ou change ses conditions, que devient mon service client ?
• Puis-je changer de modèle sans refaire mes processus ?
• Pourrais-je reconstituer, après coup, ce que l’IA a fait et quand un humain est intervenu ?

Reste le désaccord de fond, que la tribune ne tranche pas : si la technique protège les données, le droit applicable au fournisseur pèse-t-il autant que l’auteur le suggère, ou davantage ? À chaque entreprise d’en juger selon son secteur et ses obligations.

Sources

• Philippe Peter, senior director EMEA chez Sprinklr : « Les entreprises européennes se trompent de débat sur l’AI Act - mais aussi d’échéance » (ZDNet France)