En 1883, Auguste Kerckhoffs publie dans le Journal des sciences militaires une règle qui tient encore debout tout système sécurisé : un chiffre ne doit pas dépendre du secret de sa méthode. On doit pouvoir la remettre à l'ennemi sans dommage.
Publiez la méthode. Protégez la clé.
Cent quarante-trois ans plus tard, avec l'IA, nous faisons l'inverse.
Nous gardons la méthode secrète, parce qu'un éditeur a appelé ça un moat. Et nous cédons la clé sans y penser : chaque fichier client, chaque contrat, chaque bout de code collé chez un autre.
La dépendance juridique
En juin dernier, devant la commission d'enquête du Sénat, Microsoft France s'est vu demander s'il pouvait garantir qu'aucune donnée française ne parte aux autorités américaines sans feu vert français. Sous serment : « Non, je ne peux pas le garantir. » Cela n'est jamais arrivé, a-t-il ajouté. Pour l'instant.
Ce n'est pas un scandale, et ce n'est pas un procès. C'est une juridiction — et elle a un nom : le CLOUD Act. Une loi de 2018 qui contraint un fournisseur au siège américain à livrer les données qu'il contrôle, où qu'elles soient. Une région Paris ou Francfort n'y change rien : l'obligation suit l'entreprise, pas le serveur.
La question n'est pas où vivent vos données. C'est qui peut être contraint de les remettre.
La dépendance commerciale
Et la dépendance n'est pas que juridique. Un modèle qu'on loue peut être déprécié, retarifé, réorienté — sans préavis, sans juge. Ses arbitrages sont ceux de son éditeur, pas les vôtres. Ce n'est pas un reproche : un fournisseur optimise pour ses actionnaires, c'est son métier. Mais on n'audite pas une incitation qu'on ne voit pas.
La dernière fois, j'appelais ça Intentional Coding : reprendre la main sur la façon dont le logiciel se construit. La souveraineté, c'est la même idée un étage au-dessus : sur l'endroit où vit votre savoir.
Retour d'expérience, pas manifeste
Je fais tourner ma propre stack : modèles à poids ouverts sur mon matériel, aucun cloud dans la boucle. Ce qui m'a surpris, c'est à quel point c'est devenu ordinaire.
Ce que les textes sur la souveraineté omettent, je le dis d'abord : l'auto-hébergement n'est pas moins cher. Il faut les ingénieurs, les mises à jour, les failles à corriger soi-même. Sous un volume réel, l'API gagne — et prétendre l'inverse fait perdre un débat qu'on devrait gagner.
Ce qui reste est plus étroit, et plus solide : sur une tâche bien définie, un modèle entraîné sur vos données peut égaler un modèle bien plus gros. Pas sur tout. Sur votre sujet.
C'est le point. Votre excellence vit dans vos données, votre corpus, votre façon de travailler : c'est la clé. L'architecture, les contrôles, la preuve que ça marche : c'est le chiffre. Le publier ne coûte rien et achète de la confiance.
Partagez la méthode. Protégez le savoir-faire.
Où placez-vous la frontière — et savez-vous où dorment vos données ce soir ?
Sources
- Auguste Kerckhoffs, « La cryptographie militaire », Journal des sciences militaires, 1883 — texte intégral libre sur Gallica (BnF).
- Audition de Microsoft France devant la commission d'enquête sénatoriale sur la commande publique et la souveraineté numérique, 18 juin 2025. Compte rendu public sur senat.fr.
- CLOUD Act (Clarifying Lawful Overseas Use of Data Act), États-Unis, 2018.
- ANSSI, référentiel SecNumCloud : cyber.gouv.fr
Je fais tourner une stack IA souveraine et j'écris sur ce qui tient vraiment en production. Les désaccords sont bienvenus en commentaire — c'est la seule revue de code gratuite qui existe.
Top comments (0)