DEV Community: Emanuele Sparacca

AI Sovereignty: Share the Method, Protect the Know-How

Emanuele Sparacca — Wed, 22 Jul 2026 11:33:08 +0000

In 1883, Auguste Kerckhoffs published a rule in the Journal des sciences militaires that still holds every secure system together: a cipher must not depend on its method being secret. You should be able to hand that method to your enemy without harm.

Publish the method. Protect the key.

A hundred and forty-three years later, we do the opposite with AI.

We keep the method secret, because a vendor called it a moat. And we hand over the key without thinking: every client file, every contract, every piece of proprietary code pasted into someone else's model.

Last June, before a French Senate committee of inquiry, Microsoft France was asked whether it could guarantee that French data would never reach US authorities without French authorisation. Under oath, the answer was: "No, I cannot guarantee it." It has never happened, he added. So far.

This is not a scandal, and it is not an accusation. It is a jurisdiction, and it has a name: the CLOUD Act. A 2018 law that compels a US-headquartered provider to hand over data it controls, wherever that data sits. A Paris or Frankfurt region changes nothing: the obligation follows the company, not the server.

It is not about where your data lives. It is about who can be compelled to hand it over.

And legal dependency is not the only kind. A model you rent can be deprecated, repriced, retuned — no notice, no court required. Its judgement calls are its vendor's, not yours. That is not a grievance: a vendor optimises for its shareholders, that is the job. But you cannot audit an incentive you cannot see.

Last time I called the answer Intentional Coding: taking command of how software gets built. Sovereignty is the same idea one floor up: command over where your knowledge lives.

Field report, then, not manifesto.

I run my own stack: open-weight models on my own hardware, no cloud model in the loop. What surprised me is how ordinary that has become.

And the part most sovereignty pieces leave out, so I say it first: self-hosting is not cheaper. You need the engineers, the updates, the vulnerabilities that are now yours to patch. Below real volume an API wins on cost, and pretending otherwise is how you lose an argument you should win.

What remains is narrower, and stronger: on a well-defined domain task, a model tuned on your data can match a far larger one. Not on everything. On your thing.

Which is the point. Your excellence lives in your data, your corpus, your way of working: that is the key. The architecture, the controls, the proof that it works: that is the cipher. Publishing it costs nothing and buys trust.

Share the method. Protect the know-how.

Where do you draw that line — and do you know where your data sleeps tonight?

AISovereignty #CloudAct #NIS2 #Cybersecurity #IntentionalCoding

Sources:

• Auguste Kerckhoffs, "La cryptographie militaire", Journal des sciences militaires, 1883 — full text free on Gallica (BnF).

• Microsoft France before the French Senate committee of inquiry into public procurement and digital sovereignty, 18 June 2025. Public transcript: senat.fr (hearing held in French; the quote is translated).

• CLOUD Act (Clarifying Lawful Overseas Use of Data Act), United States, 2018.

• ANSSI, SecNumCloud framework: cyber.gouv.fr

Souveraineté IA : partagez la méthode, protégez le savoir-faire

Emanuele Sparacca — Tue, 21 Jul 2026 11:59:20 +0000

En 1883, Auguste Kerckhoffs publie dans le Journal des sciences militaires une règle qui tient encore debout tout système sécurisé : un chiffre ne doit pas dépendre du secret de sa méthode. On doit pouvoir la remettre à l'ennemi sans dommage.

Publiez la méthode. Protégez la clé.

Cent quarante-trois ans plus tard, avec l'IA, nous faisons l'inverse.

Nous gardons la méthode secrète, parce qu'un éditeur a appelé ça un moat. Et nous cédons la clé sans y penser : chaque fichier client, chaque contrat, chaque bout de code collé chez un autre.

La dépendance juridique

En juin dernier, devant la commission d'enquête du Sénat, Microsoft France s'est vu demander s'il pouvait garantir qu'aucune donnée française ne parte aux autorités américaines sans feu vert français. Sous serment : « Non, je ne peux pas le garantir. » Cela n'est jamais arrivé, a-t-il ajouté. Pour l'instant.

Ce n'est pas un scandale, et ce n'est pas un procès. C'est une juridiction — et elle a un nom : le CLOUD Act. Une loi de 2018 qui contraint un fournisseur au siège américain à livrer les données qu'il contrôle, où qu'elles soient. Une région Paris ou Francfort n'y change rien : l'obligation suit l'entreprise, pas le serveur.

La question n'est pas où vivent vos données. C'est qui peut être contraint de les remettre.

La dépendance commerciale

Et la dépendance n'est pas que juridique. Un modèle qu'on loue peut être déprécié, retarifé, réorienté — sans préavis, sans juge. Ses arbitrages sont ceux de son éditeur, pas les vôtres. Ce n'est pas un reproche : un fournisseur optimise pour ses actionnaires, c'est son métier. Mais on n'audite pas une incitation qu'on ne voit pas.

La dernière fois, j'appelais ça Intentional Coding : reprendre la main sur la façon dont le logiciel se construit. La souveraineté, c'est la même idée un étage au-dessus : sur l'endroit où vit votre savoir.

Retour d'expérience, pas manifeste

Je fais tourner ma propre stack : modèles à poids ouverts sur mon matériel, aucun cloud dans la boucle. Ce qui m'a surpris, c'est à quel point c'est devenu ordinaire.

Ce que les textes sur la souveraineté omettent, je le dis d'abord : l'auto-hébergement n'est pas moins cher. Il faut les ingénieurs, les mises à jour, les failles à corriger soi-même. Sous un volume réel, l'API gagne — et prétendre l'inverse fait perdre un débat qu'on devrait gagner.

Ce qui reste est plus étroit, et plus solide : sur une tâche bien définie, un modèle entraîné sur vos données peut égaler un modèle bien plus gros. Pas sur tout. Sur votre sujet.

C'est le point. Votre excellence vit dans vos données, votre corpus, votre façon de travailler : c'est la clé. L'architecture, les contrôles, la preuve que ça marche : c'est le chiffre. Le publier ne coûte rien et achète de la confiance.

Partagez la méthode. Protégez le savoir-faire.

Où placez-vous la frontière — et savez-vous où dorment vos données ce soir ?

Sources

Auguste Kerckhoffs, « La cryptographie militaire », Journal des sciences militaires, 1883 — texte intégral libre sur Gallica (BnF).
Audition de Microsoft France devant la commission d'enquête sénatoriale sur la commande publique et la souveraineté numérique, 18 juin 2025. Compte rendu public sur senat.fr.
CLOUD Act (Clarifying Lawful Overseas Use of Data Act), États-Unis, 2018.
ANSSI, référentiel SecNumCloud : cyber.gouv.fr

Je fais tourner une stack IA souveraine et j'écris sur ce qui tient vraiment en production. Les désaccords sont bienvenus en commentaire — c'est la seule revue de code gratuite qui existe.

Le Vibe Coding est mort. Place à l'Intentional Coding.

Emanuele Sparacca — Thu, 16 Jul 2026 07:16:40 +0000

Quand j'avais seize ans, une lecture d'été a laissé en moi une marque qui ne s'est jamais effacée. C'était de la philosophie, pas du code : l'essai d'Alexandre Koyré sur notre passage « du monde de l'à-peu-près à l'univers de la précision ».

Sa thèse ne m'a plus quitté. Pendant l'essentiel de notre histoire, nous avons vécu dans un monde de l'« à-peu-près », de l'approximatif. La science, et presque tout ce qu'elle a bâti, n'est devenue possible qu'en franchissant le seuil d'un univers de mesure et de précision.

Bien des années ont passé. Les fondations apprises cet été-là n'ont pas bougé.

Le marketing de l'IA rêve d'une adoption universelle, et je comprends pourquoi : cela fait croître ses revenus. Mais il fait aussi quelque chose de réellement bon : il démocratise la créativité et la met entre plus de mains que jamais.

Je ne retire rien à cette part honnête de la mission. Mais la réalité technique est plus triste : un outil conçu pour « aider » a discrètement laissé trop de choses derrière lui. Trop de détails, et pas seulement techniques : philosophiques, sociaux et éthiques aussi. Nous ne pouvons plus les ignorer sans en tirer les leçons qui nous font grandir.

La bonne nouvelle : beaucoup d'équipes apprennent déjà, vite. Elles ont compris que l'IA est un extraordinaire couteau suisse : entre les mains d'un MacGyver expérimenté, il résout un nombre étonnant de problèmes. L'humain reste au centre et dirige l'outil, comme cela a toujours été le cas.

Mais la prochaine leçon attend déjà : quel niveau de détail devons-nous vraiment exiger de ce que nous demandons ?

Un croquis archétypal d'une maison peut suffire à l'imaginer, à la planifier, voire à s'y projeter. Le « vibe » suffit pour rêver.

Il ne suffit pas pour construire.

On ne coule pas des fondations « à-peu-près ». On ne « vibe-code » pas un mur porteur. Même l'inventeur du terme trace cette limite : Andrej Karpathy, qui a forgé le « vibe coding », parle désormais du métier sérieux comme d'« une discipline d'ingénierie ». Pendant ce temps, des agents IA ont effacé des bases de données de production qu'on leur avait interdit de toucher, et des applications « vibe-codées » ont exposé les données de leurs utilisateurs : c'est exactement ce que sanctionne l'article 32 du RGPD.

Et puisque la logique rigoureuse n'est toujours pas un domaine que l'IA maîtrise, nous devrions peut-être prêter un peu plus d'attention à l'ordre et à la méthode avec lesquels nous posons les fondations de cette maison.

C'est ce que j'ai commencé à appeler l'Intentional Coding (le codage intentionnel).

L'IA garde toute sa place dans le processus. L'Intentional Coding redemande simplement de la méthode, appuyée sur deux idées anciennes et très humaines :

FSOP, un état d'esprit d'optimisation full-stack : les bonnes pratiques (sécurité, exactitude, tests, maintenabilité) par défaut à chaque couche, plutôt que rajoutées à la fin.
Une discipline façon ITIL : la rigueur de cycle de vie, l'ordre et la responsabilité que la gestion des services informatiques nous enseigne discrètement depuis des décennies.

Intentionnel, parce que vous choisissez la structure que vous construisez, à chaque couche. Rien n'est laissé au hasard.

L'à-peu-près est un merveilleux endroit pour rêver. C'est un terrible endroit pour construire.

Où votre équipe place-t-elle la frontière entre l'IA comme copilote et l'IA comme auteur, et qui est responsable quand cette frontière est franchie ?

Les preuves sont déjà là :

Veracode (rapport 2025 sur la sécurité du code GenAI) : le code généré par IA introduit une faille du Top 10 OWASP dans ~45 % des tests.
METR (étude contrôlée, juillet 2025) : les développeurs expérimentés étaient 19 % plus lents sur des bases de code matures avec l'IA, alors qu'ils se prévoyaient plus rapides.
CodeRabbit (décembre 2025, 470 pull requests) : les PR co-écrites par IA comportaient ~1,7× plus de problèmes et 2,74× plus de failles XSS.
GitClear (analyse pluriannuelle) : le copier-coller a dépassé pour la première fois le code refactorisé ; la duplication a fortement augmenté.

Sources : Veracode 2025 GenAI Code Security Report · METR (juil. 2025) · CodeRabbit (déc. 2025) · GitClear (2025).

Vibe Coding Is Dead. Welcome to Intentional Coding.

Emanuele Sparacca — Wed, 15 Jul 2026 17:59:18 +0000

When I was sixteen, a summer book left a mark on me that never faded. It was philosophy, not code: Alexandre Koyré's essay on our passage "from the world of the approximate to the universe of precision."

His thesis stayed with me. For most of history we lived in a world of "more or less" and "roughly." Science, and nearly everything it built, became possible only when we crossed into a universe of measurement and precision.

Many years have passed. The foundations I learned that summer have not moved.

AI marketing wants universal adoption, and I understand why: it grows revenue. But it also does something genuinely good: it democratizes creativity and puts it into more hands than ever.

I won't take anything away from that honest part of the mission. But the technical reality is sadder: a tool built to "help" has quietly left too much behind. Too many details, and not only technical ones: philosophical, social, and ethical ones too. We can no longer ignore them without drawing the lessons that let us grow.

The good news: many teams are already learning, fast. They understand AI as an extraordinary Swiss Army knife: in the hands of an expert MacGyver, it solves an astonishing number of problems. The human stays at the center, directing the tool, as it has always been.

But the next lesson is already waiting: how detailed must the thing we ask for actually be?

An archetypal sketch of a house may be enough to imagine it, to plan it, even to picture yourself living in it. The vibe is enough to dream.

It is not enough to build.

You don't pour foundations "more or less." You don't vibe-code the load-bearing wall. Even the term's own inventor draws that line: Andrej Karpathy, who coined vibe coding, now calls the serious craft "an engineering discipline." Meanwhile, AI agents have wiped production databases they were told not to touch, and vibe-coded apps have shipped with user data wide open.

And since rigorous logic is still not a domain AI has mastered, perhaps we should pay a little more attention to the order and the method with which we lay the foundations of this house.

That is what I have started to call Intentional Coding.

AI still belongs in the process. Intentional Coding just asks for method again, built on two old, very human ideas:

• FSOP, a full-stack optimization mindset: best practice (security, correctness, tests, maintainability) as the default at every layer, instead of bolted on at the end.
• ITIL-style discipline: the lifecycle rigor, order, and accountability IT service management has quietly taught us for decades.

Intentional, because you choose the structure you're building, at every layer. Nothing is left to chance.

The approximate is a wonderful place to dream. It is a terrible place to build.

Where does your team draw the line between AI as copilot and AI as author, and who's accountable when it's crossed?

The approximate is a terrible place to build—especially when compliance, data sovereignty, and security are on the line.

I am currently building a Sovereign European, AI-assisted GRC (Governance, Risk, and Compliance) and Cybersecurity platform designed precisely for teams that cannot afford to "vibe-code" their security posture.

If you are a CTO, CISO, or Engineering Leader navigating European compliance and AI security, let’s connect:

Follow me on LinkedIn for updates on our journey and early beta access.

Join our private waitlist contact@praesidai.fr