On-premise ou cloud souverain : héberger votre outil IA de formation

Dans une grande organisation, la question posée à un éditeur d'outil IA de formation n'est pas seulement de savoir ce que le produit sait faire. C'est de savoir où il tourne. La réponse détermine qui peut techniquement accéder aux traitements, quelles juridictions s'appliquent et ce que la DSI devra intégrer à son plan de sécurité. Voici les options réellement disponibles et ce qui les distingue.

Trois niveaux d'hébergement possibles

Les architectures proposées sur le marché se rangent en trois familles, du plus mutualisé au plus cloisonné.

• Le SaaS mutualisé : l'éditeur exploite une plateforme partagée entre ses clients. Le niveau d'isolation est logique, pas physique. La localisation des serveurs devient le premier critère d'acceptabilité.
• L'environnement dédié : la même plateforme, mais sur une instance réservée à une seule organisation. Le cloisonnement est plus fort, l'exploitation reste chez l'éditeur.
• Le déploiement on-premise : la solution tourne dans l'infrastructure de l'entreprise. Les flux ne sortent pas du périmètre, et l'intégration aux politiques de sécurité internes est directe.

Aucune de ces options n'est meilleure dans l'absolu. Le bon niveau est celui qui correspond à la sensibilité des contenus traités et aux engagements déjà pris par l'organisation.

Ce que le cloud mutualisé ne couvre pas

Un hébergement mutualisé en Union européenne répond à la majorité des exigences RGPD. Il ne répond pas à trois situations particulières.

La première est le cloisonnement physique, exigé par certaines organisations des secteurs financier, santé, défense ou énergie, et par les opérateurs d'importance vitale. La deuxième est l'auditabilité complète de la chaîne : quand l'audit interne doit pouvoir inspecter l'infrastructure elle-même, un environnement partagé ne le permet pas. La troisième tient aux groupes internationaux soumis à plusieurs juridictions, pour lesquels la question n'est plus seulement technique mais contractuelle.

Où tournent réellement les traitements IA

C'est l'angle mort le plus fréquent des dossiers de sécurité. Le stockage et l'inférence sont deux sujets distincts. Un outil peut stocker les contenus dans un centre de données européen tout en envoyant chaque requête à un modèle hébergé ailleurs. Du point de vue du RGPD, ce transit est un transfert de données à examiner.

Trois questions suffisent à lever le doute :

• où sont stockés les documents importés et les données apprenants
• où s'exécute le modèle qui traite ces contenus
• quels sous-traitants interviennent dans la chaîne, et sous quelle juridiction

Une réponse qui ne distingue pas ces trois points n'est pas une réponse.

Comparer les options d'infrastructure

La dernière ligne est celle que les dossiers sous-estiment le plus. Un déploiement interne transfère à la DSI l'exploitation, les mises à jour et la supervision.

L'architecture hybride en pratique

Choisir l'on-premise ne signifie pas renoncer à l'intégration. Le schéma le plus courant sépare la production des contenus de leur diffusion : les modules sont produits dans l'environnement sécurisé, puis exportés vers le LMS interne au format SCORM 2004, SCORM 1.2, xAPI, cmi5 ou H5P, avec une gestion centralisée des accès.

L'outil IA n'est alors pas une brique isolée à la marge du système d'information. Il s'insère dans une chaîne existante, et c'est le LMS déjà en place qui reste le point d'entrée des apprenants.

Ce que la DSI doit vérifier

• La localisation du stockage et celle de l'inférence, séparément.
• La juridiction applicable, écrite au contrat et pas seulement annoncée.
• La liste des sous-traitants qui interviennent dans la chaîne de traitement.
• Les modalités de sortie : formats d'export et récupération des contenus en fin de contrat.
• La charge d'exploitation réelle en cas de déploiement interne.

Où EdBuild AI se situe

EdBuild AI propose un hébergement en France et un déploiement on-premise pour les organisations qui l'exigent, avec une technologie 100 % française. L'intégration au système existant passe par les exports SCORM 1.2, SCORM 2004, xAPI, cmi5 et H5P vers le LMS déjà en place.

Le choix entre plateforme hébergée et déploiement interne se tranche sur le niveau de cloisonnement attendu, pas sur les fonctionnalités : le produit et les formats d'export sont les mêmes. Les autres critères d'achat à appliquer sont détaillés dans notre article sur les critères de choix d'un outil auteur IA.

Questions fréquentes sur le déploiement

Un hébergement en France suffit-il pour un grand compte ?

Dans la plupart des cas oui, à condition que l'inférence reste également dans l'Union européenne et que la juridiction soit précisée au contrat. Le déploiement interne devient nécessaire quand un cloisonnement physique est exigé.

Le déploiement on-premise limite-t-il les fonctionnalités ?

Non sur les formats d'export et l'intégration au LMS. Il déplace en revanche la charge d'exploitation et de mise à jour vers la DSI de l'entreprise.

Peut-on démarrer en SaaS puis basculer en interne ?

C'est un schéma courant : une première phase hébergée pour valider l'usage, puis un déploiement interne quand le périmètre s'étend à des contenus plus sensibles.

Que deviennent les documents importés dans l'outil ?

C'est un sujet distinct de l'hébergement, traité dans notre article sur le traitement des documents sources.

À retenir

L'hébergement d'un outil IA de formation se décide sur trois questions : où sont stockées les données, où tournent les traitements, et qui exploite la plateforme. Le SaaS européen couvre la majorité des besoins, l'environnement dédié renforce le cloisonnement, l'on-premise le rend total au prix d'une charge DSI réelle. Choisissez le niveau qui correspond à vos contenus, pas celui qui rassure le plus sur le papier.

Pour confronter ces options à votre architecture, vous pouvez demander une démonstration entreprise à notre équipe.