Quel assistant IA peut lire des plans couverts par l'ITAR, des documents marqués Diffusion Restreinte ou des spécifications de biens à double usage ? La réponse dépend du niveau de la donnée, pas du modèle. Une API grand public convient à la documentation publique. Un cloud français ou une offre qualifiée SecNumCloud convient à l'interne sensible. Les données ITAR ou à double usage poussent vers des serveurs internes, la Diffusion Restreinte vers le système d'information homologué au titre de l'instruction interministérielle n° 901, et le classifié vers un réseau isolé sans internet.
Cet article s'adresse au dirigeant, au DSI ou au responsable sécurité d'un sous-traitant du spatial, de l'aéronautique ou de la défense. Il donne un arbre de décision par niveau de donnée, résume ce que disent les textes (II 901, guide ANSSI d'architecture DR, exception de chiffrement de l'ITAR, règlement européen 2021/821 sur le double usage) et détaille ce que cela impose à l'architecture d'un assistant documentaire. Tensoria a déployé des assistants sur modèles ouverts pour un grand groupe du spatial : ce qui suit vient de ce terrain, et des textes.
Points clés à retenir
- Le niveau de la donnée décide de l'hébergement : publique, interne sensible, ITAR ou double usage, Diffusion Restreinte, classifié
- L'exception de chiffrement de l'ITAR (22 CFR 120.54(a)(5)) couvre le stockage et le transport chiffrés de bout en bout, pas le traitement par un modèle qui doit lire le texte en clair
- Le règlement (UE) 2021/821 compte la transmission électronique de technologies listées hors de l'Union comme une exportation
- SecNumCloud qualifie l'offre d'un prestataire ; l'homologation au titre de l'II 901 porte sur votre système et reste la décision de votre autorité
- Au-delà de l'interne sensible : modèle, embeddings et reranking locaux, aucune télémétrie, index cloisonnés par programme et par habilitation, journal local, mises à jour hors ligne
À lire avant le reste
Cet article n'est pas un avis juridique. La qualification d'une donnée (ITAR, EAR, double usage, Diffusion Restreinte, classifié) relève de votre responsable export et de votre officier de sécurité, pas de l'équipe qui construit l'assistant. Tensoria déploie dans le cadre que vous définissez : l'homologation reste celle de votre système, prononcée par votre autorité d'homologation. Les textes cités ici évoluent ; vérifiez toujours la version en vigueur avant de vous appuyer dessus.
L'arbre de décision : du niveau de la donnée à l'hébergement
La question « quel assistant IA a le droit de lire nos plans ? » se règle dans cet ordre : d'abord le niveau de la donnée, ensuite l'hébergement envisageable, enfin le modèle. Le tableau ci-dessous résume ce que nous voyons comme envisageable à chaque niveau. « Envisageable » ne veut pas dire « autorisé » : c'est le point de départ de la discussion avec la sécurité et l'export, pas sa conclusion.
| Niveau de la donnée | Exemples | Hébergement envisageable | Qui valide |
|---|---|---|---|
| Publique | Plaquettes, normes publiées, documentation commerciale | API grand public, cloud français, serveurs internes : tout est ouvert | DSI |
| Interne sensible | Procédures, accords RH, offres, savoir-faire non contrôlé | API sous contrat entreprise (sans réutilisation des données), cloud français, SecNumCloud, serveurs internes | DSI, RSSI |
| ITAR, EAR ou double usage non classifié | Plans, spécifications, rapports d'essais d'un programme sous licence d'export | Serveurs internes ; cloud français ou SecNumCloud seulement si le schéma (clés, localisation, accès des personnels) est validé par l'export | Responsable export, RSSI |
| Diffusion Restreinte | Documents portant la mention DR, échanges avec un donneur d'ordre étatique | Serveurs internes du SI homologué DR, le plus souvent sans sortie internet ; un cloud seulement si l'autorité d'homologation l'accepte | Officier de sécurité, autorité d'homologation |
| Classifié | Informations relevant du secret de la défense nationale | Réseau isolé sans internet, système dédié homologué au niveau requis | Officier de sécurité, autorité d'homologation |
Deux règles pratiques découlent de ce tableau. Un corpus mélangé prend le niveau de son document le plus sensible, sauf si on le découpe en périmètres séparés. Et le premier assistant utile n'est pas forcément celui qui lit les plans : un premier périmètre au niveau « interne sensible » (procédures, RH, qualité) se déploie plus vite et prépare le terrain pour les niveaux suivants.
Qualifier la donnée avant de choisir le modèle
Dans un sous-traitant du spatial ou de la défense, la même armoire documentaire contient des documents de niveaux très différents : une procédure d'achat, une note RH, une spécification client sous licence ITAR, un échange marqué Diffusion Restreinte. L'erreur classique est de commencer par le choix du modèle (« Mistral ou Llama ? ») alors que le choix de l'hébergement, et donc d'une bonne partie de l'architecture, dépend du classement des documents.
Ce classement existe souvent déjà, mais dans des endroits différents : le responsable export tient la liste des données techniques sous licence et des programmes concernés, l'officier de sécurité connaît les documents marqués et les personnes habilitées, la DSI connaît les droits d'accès des espaces documentaires. Le travail de cadrage consiste à croiser ces trois sources pour obtenir une carte du corpus par niveau. Notre guide pour mener un projet IA en PME détaille cette phase de cadrage de façon plus générale.
Ce qui rend la question pressante, c'est que l'usage existe déjà, sans cadre : des ingénieurs collent des extraits de spécifications dans un assistant grand public pour reformuler un rapport ou comparer deux versions. C'est le sujet de notre article sur la shadow IA et les documents d'entreprise. Sur des données sous contrôle export, ce geste peut constituer un transfert non autorisé.
Niveau 1 et 2 : données publiques et internes sensibles
Pour la documentation publique, aucune contrainte particulière : une API grand public fait l'affaire. Pour l'interne sensible (procédures qualité, accords d'entreprise, offres commerciales, savoir-faire non contrôlé), le critère est contractuel : où les données sont traitées, si elles servent à entraîner les modèles, combien de temps elles sont conservées, quel droit s'applique au fournisseur.
À ce niveau, un cloud français ou une offre qualifiée SecNumCloud donne de bonnes garanties sans imposer de matériel. Une API sous contrat entreprise peut aussi convenir si la DSI et le RSSI acceptent ses conditions. Nous comparons ces options dans Microsoft Copilot ou IA souveraine française. Pour un sous-traitant de la défense, il y a un argument de plus pour viser d'emblée une architecture qui pourra descendre aux niveaux suivants : le jour où l'assistant doit lire un dossier de programme, vous ne voulez pas tout refaire.
Niveau 3 : ITAR, EAR et biens à double usage
Ce que l'ITAR change pour une entreprise française
L'ITAR (International Traffic in Arms Regulations) encadre les articles et données techniques de défense d'origine américaine ; l'EAR encadre les biens américains à double usage, les biens commerciaux et certains biens militaires moins sensibles. Une entreprise française qui reçoit des données techniques ITAR d'un client ou d'un fournisseur américain les détient dans le cadre d'une autorisation qui précise qui peut y accéder (entités, pays, parfois nationalités). Tout transfert hors de ce cadre, y compris vers un prestataire informatique, peut constituer une réexportation ou un retransfert soumis à autorisation.
L'exception de chiffrement : 22 CFR 120.54(a)(5)
Le texte de l'ITAR, à la section 120.54 du titre 22 du Code of Federal Regulations, liste les activités qui ne constituent pas une exportation. Le paragraphe (a)(5) vise l'envoi, le transport ou le stockage de données techniques non classifiées, à plusieurs conditions cumulatives : les données sont chiffrées de bout en bout ; le chiffrement repose sur des modules cryptographiques conformes à la norme FIPS 140 (ou un autre moyen cryptographique d'une robustesse au moins comparable à l'AES-128) avec une gestion des clés conforme aux recommandations du NIST ; les données ne sont pas envoyées sciemment à une personne située dans un pays visé à la section 126.1 (liste qui inclut aujourd'hui la Russie), ni stockées dans un tel pays, ni envoyées depuis l'un d'eux. Le texte définit le chiffrement de bout en bout : la donnée ne doit jamais être en clair entre l'émetteur et le destinataire prévu, et le moyen de déchiffrement ne doit être fourni à aucun tiers, ce qui exclut en pratique l'hébergeur ou le fournisseur cloud. Le destinataire doit être l'émetteur lui-même ou une personne autorisée à recevoir ces données. À l'inverse, la section 120.56 traite comme une diffusion (« release ») le fait de donner à une personne étrangère la clé ou le moyen d'accès qui lui permet de lire ces données en clair, et le fait de les faire apparaître en clair hors des États-Unis.
Ces conditions correspondent au texte en vigueur en novembre 2026 (paragraphe issu de la réorganisation de l'ITAR de 2022, modifié depuis, en dernier lieu en septembre 2026) ; faites-les confirmer par votre responsable export avant de bâtir une architecture dessus.
Ce que cette exception implique pour un assistant IA
L'exception est taillée pour le stockage et le transport : un coffre de fichiers chiffré, une sauvegarde, un échange de pièces. Elle ne couvre pas bien le traitement par un modèle de langage, pour une raison simple : pour répondre, le modèle doit lire le texte en clair. Si le modèle tourne chez un fournisseur, la donnée y est déchiffrée, et la condition de bout en bout ne tient plus. On revient alors à la question de fond : le fournisseur, ses serveurs et ses personnels entrent-ils dans le cadre de votre autorisation d'export ?
Conséquences concrètes :
- Pour un fournisseur cloud : les clés doivent rester chez vous (chiffrement côté client, module matériel de sécurité que vous contrôlez), la localisation des serveurs et des sauvegardes doit être connue et contractuelle, et l'accès des personnels du fournisseur aux données en clair doit être exclu ou compatible avec l'autorisation. Pour l'étape d'inférence, ce dernier point est le plus difficile à garantir hors de vos murs.
- Pour un sous-traitant qui développe l'assistant : ses ingénieurs n'ont pas besoin de voir vos données ITAR pour construire le système. Le développement se fait sur un corpus représentatif non contrôlé, l'évaluation sur les vraies données est lancée par vos équipes dans votre périmètre, et les journaux restent chez vous.
- Pour l'architecture : c'est ce qui pousse la plupart des projets ITAR vers des serveurs internes, avec un modèle ouvert installé localement. Le sujet n'est pas la confiance dans un fournisseur donné, c'est la simplicité de la démonstration : aucune donnée ne sort, il n'y a rien à justifier.
Le règlement européen 2021/821 sur les biens à double usage
Côté européen, le règlement (UE) 2021/821 soumet à autorisation l'exportation des biens à double usage listés à son annexe I (article 3). Son article 2 définit l'exportation de façon large : elle inclut la transmission de logiciels ou de technologies par voie électronique, y compris par télécopie, téléphone ou courrier électronique, vers une destination située hors du territoire douanier de l'Union. Un document qui décrit une technologie listée, envoyé dans une requête à un modèle hébergé hors de l'Union, pose donc la question d'une autorisation. À l'intérieur de l'Union, les transferts sont libres pour la plupart des biens, à l'exception de ceux de l'annexe IV.
Pour un assistant documentaire, la lecture pratique est la même que pour l'ITAR : savoir où la requête est traitée. Un modèle sur vos serveurs ou chez un hébergeur français règle la question de la localisation ; il reste celle des accès, que votre responsable export apprécie programme par programme.
Niveau 4 : Diffusion Restreinte, II 901 et homologation
Ce que fixe l'instruction interministérielle n° 901
L'instruction interministérielle n° 901 du 28 janvier 2015, publiée par le SGDSN et l'ANSSI, fixe les règles de protection des systèmes d'information sensibles, dont ceux qui traitent des informations portant la mention Diffusion Restreinte. Elle s'applique aux administrations et aux entreprises qui traitent ce type d'informations, notamment dans le cadre de contrats avec l'État. Son principe central : un système d'information sensible doit être homologué avant sa mise en service. L'homologation est la décision, prise par une autorité désignée dans votre organisation, d'accepter les risques résiduels du système au vu d'un dossier de sécurité et d'une analyse de risques.
Un assistant IA qui lit des documents DR n'échappe pas à cette règle : soit il est installé dans un système déjà homologué DR et son ajout passe par la procédure de maintien de l'homologation, soit il constitue un nouveau système à homologuer. Dans les deux cas, le dossier doit décrire le modèle, ses composants, ses flux, ses journaux et sa procédure de mise à jour. C'est un travail à prévoir dans le planning du projet, pas à la fin.
Le guide ANSSI d'architecture des systèmes DR
L'ANSSI publie un guide de recommandations pour les architectures des systèmes d'information sensibles ou Diffusion Restreinte (version 1.2). Il traite du cloisonnement du système, de son interconnexion éventuelle avec internet par une passerelle maîtrisée, de l'administration depuis des postes dédiés, du chiffrement des flux qui traversent des réseaux non maîtrisés avec des produits adaptés, et de la journalisation. Nous n'en reprenons pas ici le détail : la version et les recommandations applicables à votre cas sont à lire avec votre RSSI. Ce qu'il faut retenir pour un assistant IA, c'est que tout flux sortant du système DR (appel d'API, téléchargement de modèle, télémétrie d'une bibliothèque) devient un point à justifier dans le dossier d'homologation.
SecNumCloud : ce que la qualification règle, et ce qu'elle ne règle pas
SecNumCloud est une qualification délivrée par l'ANSSI à des offres d'hébergement cloud (infrastructure, plateforme ou logiciel) qui respectent un référentiel d'exigences techniques et organisationnelles, dont des critères de protection vis-à-vis des lois extra-européennes. Pour les données internes sensibles, c'est une garantie forte et lisible. Pour la Diffusion Restreinte, ce n'est pas un passe-droit : la qualification porte sur l'offre du prestataire, l'homologation porte sur votre système. C'est votre autorité d'homologation qui décide si un hébergement SecNumCloud est acceptable pour vos informations DR, au vu de votre analyse de risques. Dans ses recommandations de juillet 2024 pour l'hébergement des SI sensibles dans le cloud, l'ANSSI oriente les systèmes DR vers des offres qualifiées SecNumCloud internes, communautaires ou privées sur infrastructure dédiée, pas vers une offre mutualisée. Ce n'est qu'une recommandation : posez la question explicitement à votre RSSI avant de choisir.
La réponse la plus simple reste souvent de placer l'assistant dans le SI DR existant, sur des serveurs internes, sans sortie internet. Le matériel nécessaire pour un modèle ouvert de taille moyenne tient dans une baie ou sur une machine de bureau dédiée ; nous détaillons une option dans notre article sur le DGX Spark en entreprise.
Niveau 5 : informations classifiées et réseau isolé
Les informations classifiées relèvent d'un autre régime : celui de la protection du secret de la défense nationale, organisé par l'instruction générale interministérielle n° 1300 (IGI 1300). Depuis la réforme entrée en vigueur le 1er juillet 2021 (IGI 1300 approuvée par l'arrêté du 9 août 2021), le niveau Confidentiel Défense a disparu et les niveaux sont Secret et Très Secret. Retenez que le traitement d'informations classifiées se fait sur des systèmes dédiés, homologués au niveau requis, le plus souvent physiquement isolés de tout réseau ouvert.
Un assistant IA y reste possible : un modèle ouvert ne demande aucune connexion pour fonctionner. Les contraintes portent sur l'exploitation. Les modèles, les dépendances et les mises à jour arrivent par un support contrôlé, après vérification. Les personnes qui interviennent sur le système doivent être habilitées au niveau requis ; un prestataire non habilité livre des paquets que vos équipes installent, et n'intervient pas lui-même dans le périmètre. Le déploiement en réseau isolé est décrit plus en détail dans notre article sur le déploiement d'une IA on-premise en aéronautique sécurisée, que nous ne répétons pas ici.
Ce que cela impose à l'architecture d'un assistant documentaire
À partir du niveau ITAR, les exigences convergent. Ce sont elles que nous appliquons quand nous déployons l'agent IA souverain de Tensoria chez un client de la défense ou du spatial.
| Composant | Exigence | Point à vérifier |
|---|---|---|
| Modèle de langage | Modèle ouvert servi localement (vLLM, Ollama ou équivalent) | Licence des poids compatible avec l'usage, aucun appel à une API externe |
| Embeddings et reranking | Modèles ouverts locaux, pas de service tiers | Le texte des documents passe par ces modèles : un embedding distant est une fuite comme une autre |
| Télémétrie | Aucune donnée d'usage envoyée à l'extérieur | Désactivation explicite dans chaque composant (interface, base vectorielle, bibliothèques), contrôlée par un test sans réseau |
| Cloisonnement | Un index par programme ou par niveau, droits hérités des sources | Nationalité et besoin d'en connaître appliqués avant la recherche, pas filtrés dans la réponse |
| Journal | Qui a demandé quoi, quels documents ont été servis, conservé localement | Accessible au RSSI et à l'officier de sécurité, durée de conservation fixée avec eux |
| Mises à jour | Paquets livrés hors ligne, signés et vérifiés | Procédure de retour arrière, validation sur le jeu d'évaluation avant mise en production |
Modèle ouvert local, embeddings et reranking locaux
On pense spontanément au modèle de langage, et on oublie la chaîne de recherche. Or un assistant documentaire envoie le texte de chaque document au modèle d'embeddings au moment de l'indexation, et le texte des passages candidats au modèle de reranking à chaque question. Si l'un de ces deux modèles est appelé par API, tout le corpus sort, morceau par morceau. Les trois modèles doivent donc tourner sur place. Le choix du serveur d'inférence est détaillé dans vLLM ou Ollama pour un modèle ouvert en entreprise, et l'approfondissement technique des modèles locaux sur ianas.fr.
Aucune télémétrie, vérifiée et pas seulement configurée
Beaucoup de composants open source envoient par défaut des statistiques d'usage ou vérifient les mises à jour au démarrage, et certaines bibliothèques tentent de télécharger un modèle manquant depuis un dépôt public. Rien de malveillant, mais dans un système DR chaque flux sortant doit être justifié. La méthode qui tient en audit : désactiver la télémétrie composant par composant, puis démarrer et faire tourner l'ensemble sur une machine sans aucun accès réseau, et vérifier que tout fonctionne. Les interfaces auto-hébergées n'ont pas toutes le même comportement sur ce point ; nous les comparons dans LibreChat, AnythingLLM, Onyx : quel assistant auto-hébergé.
Cloisonnement par programme et par habilitation
Dans un sous-traitant qui travaille sur plusieurs programmes, un ingénieur habilité sur le programme A n'a pas à voir les spécifications du programme B, et une personne d'une nationalité non couverte par une licence ITAR ne doit pas recevoir de données de ce programme. La bonne pratique est de séparer physiquement les index par programme et par niveau, et de n'interroger que les index auxquels l'utilisateur a droit, d'après les droits du système documentaire source. Un filtre appliqué après coup sur la réponse ne suffit pas : le modèle aurait déjà lu le passage interdit, et pourrait le paraphraser.
Journal local et mise à jour hors ligne
Le journal répond aux questions d'un audit de sécurité : qui a posé quelle question, quand, quels documents ont été servis, quelle version du modèle a répondu. Il reste dans le périmètre et se conserve selon la durée fixée avec le RSSI. Les mises à jour suivent le même principe : une nouvelle version du modèle ou des composants arrive sous forme de paquet vérifié, passe d'abord sur le jeu d'évaluation, puis entre en production avec une possibilité de retour arrière. La méthode d'évaluation est décrite dans évaluer un RAG : Ragas, Langfuse ou notation binaire.
Ce que nous avons appris dans le spatial
Tensoria a construit pour un grand groupe du spatial deux assistants conversationnels, l'un sur un corpus RH, l'autre sur un corpus technique, avec des modèles ouverts installés sur les serveurs internes du groupe, puis les a repris en RAG agentique hébergé sur un cloud français. Ce que nous en retenons ici : quand le modèle, la recherche et l'évaluation sont ouverts et remplaçables dès le départ, changer d'hébergement ne demande pas de tout reconstruire. Le récit complet est dans notre retour d'expérience sur un assistant IA pour les ingénieurs du spatial.
Par où commencer quand on est sous-traitant de la défense
- Faire la carte du corpus par niveau, avec le responsable export, l'officier de sécurité et la DSI. Le résultat tient sur une page : quels espaces documentaires, à quel niveau, avec quels droits.
- Choisir un premier périmètre utile au niveau le plus bas possible : procédures qualité, retours d'expérience non contrôlés, documentation RH. On y valide la qualité des réponses et l'adoption sans ouvrir de dossier d'export.
- Associer la sécurité dès la conception : le RSSI et l'officier de sécurité ont un droit de veto, et ils ont raison. Leur donner le schéma des flux, la liste des composants et la procédure de mise à jour dès le départ évite de tout reprendre au moment de l'homologation.
- Mener un pilote mesuré de quatre à six semaines sur un corpus, avec une mesure de départ et un jeu de questions écrit par les métiers. C'est le format de l'agent IA souverain déployé chez vous : le socle est installé dans votre environnement, au niveau d'hébergement que vous avez fixé.
- Étendre périmètre par périmètre, chaque nouveau niveau ayant son propre déploiement, ses index et son journal.
L'architecture qui sert au premier périmètre est la même que celle du réseau isolé : modèle local, recherche locale, journal local. Monter d'un niveau consiste à déplacer et cloisonner, pas à reconstruire. C'est aussi ce que font les industriels qui ont publiquement présenté leurs projets, comme nous le racontons dans IA souveraine ou ChatGPT pour l'aéronautique.
Questions fréquentes
Pour aller plus loin
- Agent IA souverain déployé chez vous : le socle Tensoria installé sur vos serveurs, en réseau isolé ou sur cloud français.
- Un assistant IA pour les ingénieurs du spatial : retour d'expérience terrain, de l'on-premise au RAG agentique.
- Déployer une IA on-premise en aéronautique sécurisée : GPU, réseau isolé, habilitations, mises à jour.
- Annexe 22 et IA en laboratoire pharmaceutique : la même logique de qualification appliquée à un autre secteur réglementé.
- Sécurité des données et IA en PME : la checklist RGPD et souveraineté pour les niveaux non contrôlés.
- IA et spatial à Toulouse : l'écosystème NewSpace et les usages de l'IA dans la filière.
- IA souveraine : hébergement en France, modèles ouverts et architecture maîtrisée.
- Guide du projet IA en PME : cadrage, choix du premier cas d'usage, mesure.
