Réponse directe. Mon dossier de décision pour une entreprise IA européenne ne part ni du siège ni d’une marque. Il note l’entité qui signe et le service fourni. Il suit aussi le trajet des données, les dépendances et les responsabilités. Enfin, il fixe les preuves attendues et les conditions de sortie. Cette page est une note de méthode datée. Ce n’est pas un classement ou un test. Elle ne choisit pas de fournisseur. Le cadre d’ENISA sert à examiner plusieurs couches d’un système d’IA (ENISA). La Commission présente le règlement européen sur l’IA selon une approche fondée sur les risques (Commission européenne).
Sources officielles vérifiées le 20 octobre 2026.
Ce que je consigne avant d’envisager un fournisseur
Je commence par le workflow concerné. Je note aussi les preuves à conserver. La nationalité déclarée d’une société reste une donnée du dossier. Elle ne décrit pas tout le service acheté.
Mon dossier contient au minimum :
- l’entité contractante et les autres entités impliquées.
- le service fourni, y compris l’assistance et les composants utilisés.
- le trajet des données, des journaux et des sauvegardes.
- les dépendances techniques et les sous-traitants.
- les responsables du workflow, de sa surveillance et de son arrêt.
- les preuves à obtenir avant le pilote.
- les modalités d’export, de révocation des accès et de suppression.
Cette méthode ne transforme pas une adresse européenne en preuve sur le service. Elle oblige à rattacher chaque affirmation à un document et à un périmètre précis.
Qu’est-ce qu’une entreprise IA européenne dans ce dossier ?
J’emploie ici une définition pratique. Une entreprise peut être établie en Europe. Elle peut signer par une entité donnée. Son service peut aussi dépendre d’autres groupes ou systèmes. Le dossier sépare donc l’identité juridique et le produit acheté. Il sépare aussi les flux de données et la chaîne de responsabilité.
La Commission lie l’approche européenne de l’IA à l’excellence et à la confiance (Commission européenne). Elle indique aussi que les AI Factories utilisent la puissance de calcul d’EuroHPC. Elles soutiennent le développement et l’innovation en IA en Europe (Commission européenne). Ces faits donnent un contexte européen. Ils ne prouvent rien sur un fournisseur donné.
Pour une décision, « européenne » est donc un champ du dossier parmi d’autres. La question utile reste simple. Quelle entité fournit quoi ? Quelles sont ses dépendances et ses responsabilités ?
Pourquoi le siège ne suffit-il pas ?
Le siège indique où une société est établie. Il ne documente pas à lui seul les régions de traitement, les sauvegardes, les accès du support, les composants ou les sous-traitants.
Le cadre d’ENISA examine les pratiques de cybersécurité sur plusieurs couches d’un système d’IA (ENISA). Je reprends ce mode de lecture dans mon dossier. Je n’en fais pas une certification ou une preuve de conformité. Je ne le présente pas comme une approbation de ma grille par ENISA.
La table suivante est ma grille de collecte. Elle sert à relier une question à une pièce vérifiable.
| Question à documenter | Élément demandé | Point à consigner |
|---|---|---|
| Quelle entité signe et quelles autres parties interviennent ? | Contrat, identité des entités, rôle de chaque partie. | La chaîne de responsabilité. |
| Où vont les données, journaux et sauvegardes ? | Schéma de flux, lieux pertinents, règles de conservation. | Le périmètre traité et conservé. |
| Quels sous-traitants et composants interviennent ? | Liste à jour, fonction de chaque partie, notification des changements. | Les dépendances du service. |
| Quelles mesures peuvent être examinées ? | Documents, contrôles, rapports ou attestations adaptés au cas. | La preuve et son périmètre. |
| Comment arrêter le service et récupérer les éléments utiles ? | Formats d’export, restitution, révocation, suppression prévue. | La procédure de sortie. |
Quelles preuves je demande avant un pilote
Dans ma méthode, une preuve doit être datée et liée au service acheté. La personne chargée de la vérifier doit pouvoir la lire. Une phrase générale ne remplace pas une pièce du contrat ou une pièce technique.
Avant l’utilisation de données réelles, je demande :
- un schéma du workflow, des systèmes connectés et des flux de données.
- la liste des entités, sous-traitants, infrastructures et lieux pertinents.
- les règles de conservation, de suppression, d’accès du support et d’usage des données.
- les éléments de sécurité adaptés au cas ainsi que les procédures d’incident et de sortie.
Je relie ensuite chaque preuve à une question du dossier. Le cadre d’ENISA aide à examiner plusieurs couches d’un système d’IA. Il ne certifie ni le fournisseur ni la méthode présentée ici (ENISA).
Pour formaliser le périmètre et les pièces attendues, j’utilise aussi ce cahier des charges pour un projet d’IA.
Comment je cartographie les données et les dépendances
Je dessine le trajet de chaque type de données dans le workflow. Je note son origine et le composant qui la reçoit. J’ajoute les journaux, les sauvegardes et les accès du support. Je note enfin le système qui reçoit la sortie. Le document sépare les opérations, les accès humains, les connecteurs et les tests.
Pour chaque sous-traitant ou dépendance, je consigne :
- sa fonction dans le service.
- les données concernées.
- les lieux pertinents.
- la procédure de notification d’un changement.
- les options prévues pour l’acheteur.
Cette cartographie reste liée au contrat et au schéma technique. Elle sert à rendre les dépendances visibles dans la décision.
Quelle limite je pose pour le règlement européen sur l’IA
Le règlement européen sur l’IA est le règlement (UE) 2024/1689, et son cadre suit une approche fondée sur les risques selon la Commission (Commission européenne).
Je ne classe pas ici le système du lecteur. Je n’en déduis aucune obligation et je ne donne pas d’avis juridique (Commission européenne). Pour un cas précis, il faut partir des sources officielles. Il faut ensuite demander une revue aux personnes qualifiées (Commission européenne).
Dans mon dossier, je me limite à consigner les faits nécessaires à cette revue :
- la décision ou l’action influencée par le workflow.
- les parties qui fournissent, déploient, configurent, utilisent et surveillent ses composants.
- les personnes susceptibles d’être affectées par une sortie.
- les traces, validations humaines et voies de contestation prévues.
Ces questions préparent l’examen du cas. Elles ne constituent ni une qualification réglementaire ni une conclusion de conformité (Commission européenne).
Acheter, faire réaliser ou construire : qui porte quoi ?
Je ne tranche pas la forme de la solution avant d’avoir réparti les responsabilités. La grille ci-dessous note ce que l’équipe garde ou confie. Elle note aussi la preuve liée à chaque engagement.
| Domaine | Responsabilité à attribuer | Élément à conserver |
|---|---|---|
| Données | Autoriser les données, suivre leur trajet et gérer les accès. | Schéma de flux, lieux pertinents, règles de conservation et de suppression. |
| Gouvernance | Autoriser, surveiller et arrêter le workflow. | Rôles nommés, validations, traces et procédure d’arrêt. |
| Exploitation | Maintenir la configuration, les accès et la documentation. | Responsables, instructions et historique des changements. |
| Dépendances | Tenir l’inventaire des composants et des parties. | Fonction de chaque dépendance et notification des changements. |
| Sortie | Récupérer les éléments utiles et fermer les accès. | Test d’export, restitution, révocation et suppression prévue. |
Cette répartition constitue le relevé de responsabilité. Elle ne produit ni score ni palmarès.
Comment je teste la sortie avant de m’engager
Je traite la sortie comme une étape du pilote. Le test porte sur les données, les configurations, les instructions, les accès et la suppression prévue au contrat.
Checklist de sortie
- Décrire le workflow, son responsable et le résultat attendu.
- Définir les données autorisées et interdites.
- Cartographier les systèmes, les lieux pertinents et les sous-traitants.
- Définir la validation humaine et les conditions d’arrêt.
- Obtenir les preuves prévues avant l’utilisation de données réelles.
- Exporter les données et les configurations dans les formats documentés.
- Révoquer les accès et demander la suppression prévue au contrat.
- Consigner les éléments que l’équipe ou un autre fournisseur peut reprendre.
Je consigne le résultat observé dans le dossier. Si une étape ne peut pas être faite, je la note comme une dépendance non vérifiée.
FAQ
Une entreprise européenne garantit-elle que les données restent en Europe ?
Non. Le lieu du siège ne documente pas à lui seul les régions de traitement, les sauvegardes, les accès du support, les composants ni les sous-traitants. Dans ma méthode, je demande un schéma de flux, les lieux pertinents, la liste des parties et les engagements contractuels.
Le règlement IA impose-t-il de choisir un fournisseur européen ?
La page de la Commission citée ici présente le règlement européen sur l’IA selon une approche fondée sur les risques (Commission européenne). Elle n’énonce pas de règle générale imposant le choix d’un fournisseur européen (Commission européenne). Cette réponse ne constitue pas un avis juridique (Commission européenne).
Comment vérifier les sous-traitants et les dépendances ?
Dans ma méthode, je demande une liste à jour, la fonction de chaque partie, les données concernées, les lieux pertinents et la procédure de notification des changements. Je relie ensuite chaque dépendance au schéma technique et au contrat.
Que faut-il préparer pour changer de fournisseur ?
Je prépare les formats d’export, la restitution des configurations et des instructions, la révocation des accès et la suppression prévue au contrat. J’exécute ce test sur le périmètre du pilote et j’en consigne le résultat.
Ce dossier ne compare pas les fournisseurs. Il garde une décision datée. Elle couvre l’entité engagée, les données, les dépendances, les responsables, les preuves et la sortie.