La souveraineté des données est le principe selon lequel les données sont régies par les lois et réglementations du pays ou de la juridiction où elles se trouvent, ainsi que l’objectif pratique de conserver un contrôle réel sur les gouvernements, les tribunaux et les fournisseurs qui peuvent y accéder. Elle est étroitement liée à la résidence des données, mais n’est pas identique : la résidence concerne le lieu physique où se trouvent les données, tandis que la souveraineté concerne qui détient l’autorité juridique sur celles-ci.
La distinction est importante pour l’IA car les requêtes, les fichiers téléversés et les registres d’usage de l’IA contiennent régulièrement des données personnelles et confidentielles. Des données peuvent être stockées dans le pays tout en restant exposées à une loi de divulgation étrangère qui s’applique à la société mère étrangère d’un fournisseur de cloud, ou être acheminées vers un modèle d’IA hébergé dans une autre juridiction. La souveraineté demande aux organisations de regarder au-delà du lieu de stockage pour considérer toute la chaîne de contrôle juridique : la loi applicable, les sous-traitants, les fournisseurs de modèles et qui peut contraindre l’accès.
Les facteurs réglementaires et politiques de la souveraineté des données comprennent le régime de transfert du RGPD dans l’UE et au Royaume-Uni, la PIPL et la loi sur la sécurité des données de la Chine, le Digital Personal Data Protection Act de l’Inde, la loi de localisation de la Russie, ainsi qu’un ensemble croissant d’obligations gouvernementales de relocalisation et de classification des données. Les règles sectorielles dans les services financiers, la santé et le secteur public ajoutent des attentes supplémentaires quant au lieu où peuvent résider les données réglementées.
Pour les organisations qui encadrent l’usage de l’IA par leurs employés, la souveraineté des données s’applique aussi à la couche de surveillance elle-même. Un outil de gouvernance ou de DLP qui capture les requêtes traite précisément le contenu sensible visé par les règles ; la juridiction propre à l’outil, ses sous-traitants et ses contrôles d’accès font donc partie de l’évaluation de la souveraineté. Les organisations devraient cartographier les flux de données d’IA, privilégier le stockage et le traitement en région, exiger des sous-traitants divulgués et conserver des registres qui attestent du contrôle qu’elles revendiquent.