L'IA souveraine pour les Ministères de la défense

Derrière chaque opération se tient une administration qui compte parmi les plus grandes du pays. Un ministère de la défense recrute, forme, paie, affecte et déplace des personnes, achète et entretient des équipements, gère des infrastructures, des contrats et des budgets, et en répond devant une cour des comptes et un parlement. La majeure partie de ce travail tourne sur des systèmes antérieurs à internet, et une bonne part sur des réseaux classifiés qui ne doivent jamais le toucher, ce qui explique que le back-office ait eu peu d'IA, ou un usage clandestin sur des copies non classifiées.

Le problème de données est celui de toute grande organisation, rendu plus difficile par la classification. Qui est où, qualifié pour quoi et disponible quand vit dans des systèmes RH, de formation, médicaux et d'unité qui ne s'accordent pas. Exigences, contrats, livraisons et maintenance sont dans des outils séparés avec des tableurs pour jointures. Et chaque décision sur une personne, un contrat ou un budget doit être prise par un officier responsable et expliquée ensuite, si bien que l'automatisation doit s'arrêter là où commence l'appréciation.

Un ministère de la défense est accrédité comme un tout, et la plateforme est conçue pour être accréditée une fois. Elle tourne isolée du réseau sur le réseau classifié avec des modèles open-weight servis localement et des mises à jour par le canal accrédité, et la même pile tourne connectée dans un cloud souverain national ou dans les centres de données du ministère pour le parc non classifié. Une seule plateforme du service d'assistance à l'enclave signifie une seule évaluation, un seul jeu de preuves et un seul modèle de gouvernance pour chaque agent.

Le contrôle est appliqué là où les données sont utilisées. La classification est une métadonnée de premier rang appliquée à la recherche, si bien que rien n'est servi au-dessus de l'habilitation du lecteur, même dans le même réseau. Les agents agissent sous des identités délimitées avec des droits par système et par action, et chaque action est attribuée. Le journal d'audit, les décisions de politique et l'inventaire des modèles qui en résultent sont les preuves pour l'autorité de sécurité, la cour des comptes, ISO 27001 et le règlement IA, produites en faisant tourner la plateforme plutôt que rédigées pour la revue.