Comment lire une fiche outil
Chaque fiche déplie quatre axes : l'entité juridique
(qui contracte avec vous, qui détient le contrôle ultime),
l'infrastructure (cloud providers, datacenters),
les sous-traitants (qui d'autre traite vos données pour le compte de l'éditeur),
et les transferts hors UE (vers où, avec quelle base légale RGPD).
Le décalage entre l'entité signataire des conditions et l'entité qui détient le contrôle
capital est le premier signal souveraineté. Pour ChatGPT, le contrat passe par l'Irlande
(OpenAI Ireland Ltd.) mais le contrôle reste à San Francisco (OpenAI OpCo, LLC, Delaware).
Le DPA prévoit explicitement des transferts intra-groupe vers les États-Unis.
Le score de souveraineté, en clair
Le score sur 10 agrège quatre facteurs publics et auditables :
conformité RGPD +3 ·
open source +2 ·
hosting EU/FR +5 ·
juridiction UE +1 ·
total capé à 10
Un outil US sans hosting EU et sans open source est mécaniquement à zéro. Ce n'est pas une
attaque éditoriale : c'est l'arithmétique du critère souveraineté tel que le posent
Schrems II et le RGPD post-2020. Code de la formule :
/assets/sovereignty-score.js.
Pourquoi ça compte (et pour qui)
Trois publics sont directement concernés. Les DSI et RSSI de PME qui doivent
documenter leurs sous-traitants RGPD et démontrer la base légale de tout transfert hors UE.
Les dirigeants de secteurs régulés (santé, finance, défense, secteurs OIV/OSE)
pour qui le CLOUD Act est un risque de conformité immédiat.
Et plus largement, toute organisation qui intègre l'IA générative dans des workflows manipulant
des données personnelles, des secrets industriels ou des informations stratégiques. L'arrêt
Schrems II (CJUE, juillet 2020) a invalidé le Privacy Shield précisément parce que le
FISA Section 702 et le CLOUD Act offraient aux autorités US un accès incompatible avec
les protections RGPD. Ce diagnostic n'a pas changé.
Méthodologie et limites
Sourcing manuel exclusivement : aucun scraping, aucun LLM en production. Toutes les sources
sont ouvertes humainement (Privacy Policy, DPA, sub-processors list, Trust Center, registre légal)
et marquées verified=true dans data/souverainete-sources.json.
Un validator scripts/validate-souverainete.js bloque toute publication si une source
référencée n'a pas été vérifiée.
Limites assumées : certaines URL (sub-processors lists, trust portals) ne sont accessibles
qu'authentifié — elles sont marquées « to-verify-by-human » et complétées
manuellement. Re-vérification systématique tous les six mois (les URLs vivantes peuvent muter
ou disparaître). Toute approximation est explicite dans la fiche, jamais masquée.