Souverain de conception, pas de slogan
Pourquoi un labo indépendant construit toute sa stack sur une infrastructure qu'il contrôle, et ce que la souveraineté coûte réellement en termes d'ingénierie.
Chaque éditeur vend de la souveraineté désormais. Le mot a tellement dérivé de son sens qu’il couvre désormais n’importe quoi hébergé dans une juridiction dont le drapeau vous plaît. Nous l’employons dans un sens plus strict : vous êtes souverain d’un système quand vous pouvez l’exploiter, l’auditer, le reconstruire et l’arrêter sans demander la permission de personne.
Cette définition a des conséquences. Elle exclut la commodité avant d’exclure les fournisseurs.
Ce que cela signifie concrètement
Concrètement, une infrastructure souveraine repose sur quatre engagements non négociables : les données restent là où vous les posez sans sous-traitant dans le chemin ; la piste d’audit est locale et physique ; chaque système est reproductible depuis un dépôt Git sur du matériel que vous pouvez toucher ; et chaque composant a un chemin de sortie documenté avant son adoption.
Pour nous, une infrastructure souveraine, c’est quatre engagements :
- Les données restent là où vous les avez posées. Aucun sous-traitant dans le chemin de requête sans décision explicite, et vous savez le nommer.
- La piste d’audit est locale. Journaux, prompts, documents : si un régulateur ou un client demande où cette donnée vit physiquement, la réponse est une baie, pas une région.
- Reconstruire est une commande, pas un projet. Tout ce que nous opérons est décrit en code et reproductible depuis un dépôt Git sur du matériel que l’on peut toucher.
- La sortie est conçue à l’entrée. Si un composant disparaît demain, le chemin de migration est documenté avant l’adoption du composant.
Rien de tout cela n’est exotique. Les opérateurs réseau carrier-grade travaillent ainsi depuis des décennies. Ce qui a changé, c’est que l’outillage convient enfin aux petites équipes : Talos Linux pour un Kubernetes déclaratif, Ansible pour le métal, GitOps pour le cycle de vie.
Ce que cela coûte
La souveraineté échange du labeur opérationnel contre du contrôle : vous patchez vos propres hyperviseurs, possédez l’astreinte de 3 h du matin pour un disque en fin de vie, et maintenez la rotation TLS et le capacity planning qu’une plateforme managed absorberait. Le compromis vaut le coup pour les charges qui comptent : données de planification, télémétrie, identité client. Pas pour tout.
L’honnêteté exige l’étiquette de prix. La souveraineté échange du labeur opérationnel contre du contrôle. Vous patcherez vos propres hyperviseurs. Vous posséderez l’astreinte de 3 h du matin quand un disque décidera de prendre sa retraite avant l’heure. Vous maintiendrez la rotation TLS, les restaurations de sauvegarde et le capacity planning qu’une plateforme managée absorberait invisiblement.
Notre position est que ce compromis vaut le coup pour les charges de travail qui comptent : données de planification, télémétrie de sécurité, tout ce qui touche à l’identité d’un client. Pour le reste, le pragmatisme est une qualité, pas un renoncement. Le savoir-faire, c’est de tracer la ligne délibérément au lieu de l’hériter d’un deck marketing.
Pourquoi cela compte pour l’IA
Les grands modèles de langage rendent la souveraineté urgente : les équipes collent contrats, identifiants et données clients dans des chats externes avec pour seule protection un accord de sous-traitance. La réponse : inférence locale pour les documents sensibles, passerelle d’assainissement devant toute API externe, et évaluations reproductibles versionnées comme tout artefact.
Les grands modèles de langage ont déplacé les lignes. Des équipes collent désormais contrats, identifiants et données clients dans des fenêtres de chat hébergées on ne sait où, et la réponse conformité est un accord de sous-traitance que personne ne lit.
Les mêmes quatre engagements s’appliquent, presque inchangés :
- Inférence locale pour les documents sensibles, avec des poids de modèle que l’on peut épingler et auditer.
- Une passerelle d’assainissement devant toute API externe, masquant les identifiants avant l’envoi.
- Des campagnes d’évaluation reproductibles, avec prompts et sorties versionnés comme n’importe quel artefact.
C’est le raisonnement derrière les produits que nous construisons chez Cardinal Codes, et c’est le fil que vous trouverez dans chaque article de ce blog : les décisions d’infrastructure comme décisions de souveraineté.
Bienvenue dans les notes de terrain.