Dernièrement, un ami m'a demandé : « qu'est-ce que je dois faire signer à mes clients pour être autorisé légalement à analyser leurs données confidentielles à l'aide d'un LLM, en fonction des types d'hébergement qui s'offrent à moi ? ».

Il travaille dans une entreprise sous-traitante industrielle. Contrairement à ma note du mois de juin, cette fois il ne s'agit pas de Données de santé (DDS), ni de PII, mais de secrets industriels. D'après ce que j'ai compris, le sujet est surtout contractuel.

Pour la suite de cette note, j'appelle Verdier Industries (nom fictif) l'entreprise de mon ami, afin d'incarner mes propos.

Dans cette note, je veux être très pratique : je souhaite générer des exemples de documents légaux à faire signer aux clients de Verdier Industries en fonction des options suivantes :

• a. LLM en SaaS hors UE
• b. LLM en SaaS en Europe hors France
• c. LLM en SaaS en France
• d. LLM installé sur une machine virtuelle avec GPU, louée chez Scaleway, OVH, etc.
• e. LLM installé sur un serveur physique dans ses locaux

Idéalement, je souhaite pouvoir facilement comparer ces documents légaux et analyser l'impact que cela aura sur la relation commerciale.
Lesquels risquent de faire peur à ses clients ou au contraire de les rassurer.

Avant d'entrer dans le détail, une précision sur le terme « accès à un LLM ». Si je simplifie, un LLM s'utilise de deux façons très différentes :

• via une interface de chat, dans un navigateur ou une application : c'est le cas de ChatGPT, Claude, Le Chat (Mistral AI), etc. Une personne écrit un message, le modèle répond. Ces noms désignent des interfaces de chat, pas le modèle qui est derrière. Les modèles portent d'autres noms.
• via une API : une sorte de porte d'entrée technique qui permet à un logiciel d'envoyer des demandes au modèle automatiquement, sans qu'un humain tape dans une fenêtre de chat. Quelques exemples de modèles connus au mois de septembre 2026 : GPT-5.6 Sol, Claude Sonnet 5, DeepSeek 4.1 Flash.

Dans cette note, je ne traite que du second cas, l'accès par API.
La raison : c'est le modèle LLM qui est très difficile à héberger soi-même, pas l'interface de chat.
Un LLM a besoin de serveurs puissants, équipés de GPU coûteux. Une fois qu'on dispose d'un accès au modèle, héberger une interface de chat comme Open WebUI ou LibreChat est plutôt facile, car ces services fonctionnent sur des machines modestes.

Autrement dit, les cinq options ci-dessous décrivent surtout où et comment on accède au modèle, pas comment on l'affiche à l'écran.

Une dernière précision : cette note traite uniquement des questions légales. Je compte publier une autre note pour tout ce qui concerne les estimations de coût d'hébergement pour chacune de ces options.

Je détaille les cinq options d'accès à un LLM

J'ai fait le choix de découper les offres commerciales réellement disponibles pour chacune de ces options par localisation du traitement des données, et non pas par juridiction du fournisseur.

J'ai indiqué la juridiction du fournisseur dans le tableau de synthèse en fin de section. Je tiens à préciser que cette question de juridiction n'est pas anecdotique pour les clients.

Solutions SaaS

Un service SaaS, ici, veut dire que le modèle est fourni et exécuté par un tiers : les données de Verdier Industries et de ses clients partent chez le fournisseur, qui renvoie une réponse. Contrairement aux solutions IaaS, Verdier Industries n'a donc pas besoin d'un administrateur système, interne ou externe, pour gérer le serveur qui fait tourner le modèle, ni pour s'occuper du modèle.

LLM en SaaS hors UE (a)

Lieu de traitement des données : hors de l'Union européenne.

Les offres les plus courantes en API directe chez des producteurs de LLM sont :

• OpenAI,
• Anthropic
• et Google Gemini

On trouve aussi des AI providers comme Deepinfra ou Together AI.

LLM en SaaS en Europe hors France (b)

Lieu de traitement des données : dans l'UE, mais le fournisseur n'est pas français.

Côté américain, l'endpoint européen d'OpenAI traite les données en Irlande (Dublin). Attention, le contrat reste conclu avec une entité américaine : OpenAI reste donc soumis au Cloud Act.

On y trouve aussi des acteurs européens comme :

• IONOS et leur offre AI Model Hub
• ou STACKIT et leur offre AI Model Serving

mais ces deux acteurs offrent un accès seulement à des modèles peu puissants.

LLM en SaaS en France (c)

Lieu de traitement des données : en France.

Les offres portées par une entité française sont :

• Mistral AI
• OVHcloud avec AI Endpoints
• Scaleway avec Generative APIs

En septembre 2026, Mistral AI et OVHcloud ne proposent que des modèles très peu puissants, bien loin derrière GLM-5.2 ou DeepSeek V4 Flash 0731 proposé par Scaleway.

Les acteurs américains peuvent aussi traiter dans des data centers en France, à condition de choisir explicitement un déploiement mono-région :

• AWS avec Bedrock
• Azure avec Azure OpenAI
• Google Cloud avec Vertex AI
• Together AI avec leur offre Dedicated inference, tuned for production

Pour tous ces acteurs, le contrat reste conclu avec une entité américaine : ils restent donc soumis au Cloud Act.

Solutions IaaS en France (d)

Une machine virtuelle avec GPU louée, c'est de l'IaaS : seule l'infrastructure est louée, le modèle LLM est installé et administré par un informaticien administrateur système de Verdier Industries. Le fournisseur n'a donc pas accès à l'OS de la machine virtuelle, donc pas aux données traitées.

Nuance : sur une machine virtuelle, l'hébergeur contrôle l'hyperviseur et pourrait en théorie accéder à la mémoire de la VM, ce qui n'est pas le cas sur un serveur bare metal.

• Quelques acteurs français :
  • Scaleway, offres GPU Instances
  • OVH, offres Cloud GPU
  • Outscale, offres GPU NVIDIA
  • Cloud Temple
• Acteurs américains dans leur datacenter en France soumis au Cloud Act :
  • Together AI, offres GPU clusters
  • AWS, offres Accelerated computing Amazon EC2 instance types
  • Azure, offres GPU accelerated VM size series
  • Google Cloud, offres accelerator-optimized

Sur site, un serveur dans les locaux de Verdier Industries (e)

Le serveur est dans les locaux de Verdier Industries : aucun tiers n'intervient, ni pour la machine, ni pour le modèle.

L'informaticien administrateur système de Verdier Industries doit prendre en charge l'installation, sur ce serveur, de logiciels comme vLLM, Ollama ou llama.cpp permettant d'instancier des LLM.

À ce coût matériel, DeepSeek V4 Flash me dit qu'il faut ajouter la facture d'électricité : un serveur 8x H100 ou H200 consomme de l'ordre de 10 kW au niveau informatique et 14 kW au niveau de l'installation, refroidissement inclus, soit de l'ordre de 15 000 à 30 000 € par an à pleine charge selon le prix du kWh.

Concrètement, un tel serveur ne peut pas être placé dans une pièce de bureaux : il faut une alimentation électrique dédiée, un refroidissement dimensionné et une pièce isolée acoustiquement.

Tableau de synthèse

Option	Fournisseur	Pays de l'entité	Datacenter	Résidence UE	Exposition CLOUD Act
SaaS hors UE	OpenAI	États-Unis	États-Unis	Non	Oui
SaaS hors UE	Anthropic	États-Unis	États-Unis	Non	Oui
SaaS hors UE	Google	États-Unis	États-Unis	Non	Oui
SaaS hors UE	Deepinfra	États-Unis	États-Unis	Non	Oui
SaaS hors UE	Together AI	États-Unis	États-Unis	Non	Oui
SaaS Europe hors France	OpenAI	États-Unis	UE (Irlande)	Oui	Oui
SaaS Europe hors France	IONOS	Allemagne	UE	Oui	Non
SaaS Europe hors France	STACKIT	Allemagne	UE	Oui	Non
SaaS en France	Mistral AI	France	France	Oui	Non
SaaS en France	Scaleway	France	France	Oui	Non
SaaS en France	OVHcloud	France	France	Oui	Non
SaaS en France	AWS	États-Unis	France	Oui	Oui
SaaS en France	Microsoft	États-Unis	France	Oui	Oui
SaaS en France	Google	États-Unis	France	Oui	Oui
SaaS en France	Together AI	États-Unis	France	Oui	Oui
IaaS	Scaleway	France	France	Oui	Non
IaaS	OVHcloud	France	France	Oui	Non
IaaS	Outscale	France	France	Oui	Non
IaaS	Cloud Temple	France	France	Oui	Non
IaaS	Together AI	États-Unis	France	Oui	Oui
IaaS	AWS	États-Unis	France	Oui	Oui
IaaS	Microsoft	États-Unis	France	Oui	Oui
IaaS	Google	États-Unis	France	Oui	Oui
Sur site	—	Auto-hébergé	Locaux de Verdier Industries	Oui	Non

Les 6 situations contractuelles

À partir de toutes les options d'hébergement d'un LLM listées précédemment, voici la liste de toutes les situations contractuelles.
Le classement va du plus simple à opérer (SaaS hors UE) au plus difficile (serveur sur site).

Cas	Option	Exposition des données à un tiers	Transfert hors UE	Cloud Act
1	(a) SaaS hors UE	Oui	Oui	Oui
2	(b/c) SaaS datacenter en UE ou FR, entité US	oui	Non	Oui
3	(b/c) SaaS datacenter en UE ou FR, entité UE	oui	Non	Non
4	(d) IaaS US avec datacenter en FR	non	Non	Oui
5	(d) IaaS FR avec data center en FR	non	Non	Non
6	(e) sur site	aucun tiers	Non	Non

Liste des démarches administratives à effectuer pour chaque situation contractuelle

Je pars de la situation suivante : Verdier Industries a déjà 50 clients sous contrat, il décide de réaliser les démarches légales auprès de ses clients afin d'être autorisé à envoyer des données confidentielles de ses clients à son LLM à travers la solution qu'il a retenue. Quels sont les documents à produire, envoyer au client, faire signer, etc.

Hypothèse générale : les contrats clients interdisent la divulgation des données confidentielles à un tiers sans accord écrit. Un avenant signé est donc nécessaire.

J'ai dressé la liste des étapes de ces procédures administratives avec l'aide de DeepSeek V4.1 Flash.

Cas 1 - SaaS hors UE

Procédure pas à pas :

1. Verdier Industries demande à son fournisseur (par exemple OpenAI) les documents suivants et les rassemble :
   • son accord de confidentialité ;
   • son engagement de non-entraînement et de rétention zéro ;
   • son DPA (Data Processing Agreement, accord de traitement des données), si données personnelles ;
   • ses CCT (Clauses Contractuelles Types), si données personnelles ;
   • la liste de ses sous-traitants ultérieurs ;
   • ses certifications et attestations de sécurité : SOC 2 Type II (attestation) et ISO/IEC 27001 (certification), et le cas échéant ISO/IEC 27017, 27018, 27701 et 42001, SecNumCloud ou HDS.
2. Verdier Industries rédige un avenant type au contrat client, structuré en articles :
   • article 1 : autorisation de divulgation des données à un tiers ;
   • article 2 : confidentialité ;
   • article 3 : acceptation du risque Cloud Act ;
   • article 4, si données personnelles : autorisation de sous-traitance (article 28.2 du RGPD) et annexe des CCT.
3. Verdier Industries joint à l'avenant les documents obtenus à l'étape 1.
4. Verdier Industries envoie le dossier à chaque client.
5. Le client signe l'avenant et le renvoie.
6. Verdier Industries archive l'avenant signé et ses pièces jointes par client.

Selon ce que prévoit le contrat client pour le RGPD :

• Si le contrat contient une autorisation générale, par exemple : « Le client autorise Verdier Industries à recourir à des sous-traitants ultérieurs. Verdier Industries informe le client par écrit au moins 30 jours à l'avance, et le client peut s'opposer à cette modification. » Alors, pour le RGPD, Verdier envoie une simple notification, et si le client ne s'oppose pas dans les 30 jours, le nouveau sous-traitant est accepté, sans signature.
• Si le contrat contient une autorisation spécifique, par exemple : « Verdier Industries ne peut confier les données à un sous-traitant ultérieur qu'après accord écrit préalable du client. » Alors Verdier doit faire signer l'avenant pour le RGPD aussi.
• Dans les deux cas, ces clauses ne couvrent ni les secrets industriels ni le risque Cloud Act : pour ces deux points, l'avenant doit être signé.

Cas 2 - SaaS datacenter en UE ou FR, entité US

Les données sont traitées dans l'UE, mais le fournisseur est une entité américaine : il reste soumis au Cloud Act. Comme il n'y a pas de transfert hors UE, les CCT ne sont pas nécessaires.

Procédure pas à pas :

1. Verdier Industries demande à son fournisseur (par exemple l'endpoint européen d'OpenAI) les documents suivants et les rassemble :
   • son accord de confidentialité ;
   • son engagement de non-entraînement et de rétention zéro ;
   • son DPA (Data Processing Agreement, accord de traitement des données), si données personnelles ;
   • la liste de ses sous-traitants ultérieurs ;
   • ses certifications et attestations de sécurité : SOC 2 Type II (attestation) et ISO/IEC 27001 (certification), et le cas échéant ISO/IEC 27017, 27018, 27701 et 42001.
2. Verdier Industries rédige un avenant type au contrat client, structuré en articles :
   • article 1 : autorisation de divulgation des données à un tiers ;
   • article 2 : confidentialité ;
   • article 3 : acceptation du risque Cloud Act ;
   • article 4, si données personnelles : autorisation de sous-traitance (article 28.2 du RGPD).
3. Verdier Industries joint à l'avenant les documents obtenus à l'étape 1.
4. Verdier Industries envoie le dossier à chaque client.
5. Le client signe l'avenant et le renvoie.
6. Verdier Industries archive l'avenant signé et ses pièces jointes par client.

Pour le RGPD :

• Si le contrat contient une autorisation générale de sous-traitance : une notification avec droit d'opposition suffit, sans signature.
• S'il exige un accord écrit au cas par cas : l'avenant doit être signé.
• Dans les deux cas, la confidentialité des secrets industriels et le risque Cloud Act imposent une signature.

Cas 3 - SaaS datacenter en UE ou FR, entité UE

Les données sont traitées dans l'UE par une entité européenne : ni transfert hors UE, ni exposition au Cloud Act.

Procédure pas à pas :

1. Verdier Industries demande à son fournisseur (par exemple Scaleway) les documents suivants et les rassemble :
   • son accord de confidentialité ;
   • son engagement de non-entraînement et de rétention zéro ;
   • son DPA (Data Processing Agreement, accord de traitement des données), si données personnelles ;
   • la liste de ses sous-traitants ultérieurs ;
   • ses certifications et attestations de sécurité : SOC 2 Type II (attestation) et ISO/IEC 27001 (certification), et le cas échéant ISO/IEC 27017, 27018, 27701 et 42001, SecNumCloud ou HDS.
2. Verdier Industries rédige un avenant type au contrat client, structuré en articles :
   • article 1 : autorisation de divulgation des données à un tiers ;
   • article 2 : confidentialité ;
   • article 3, si données personnelles : autorisation de sous-traitance (article 28.2 du RGPD).
3. Verdier Industries joint à l'avenant les documents obtenus à l'étape 1.
4. Verdier Industries envoie le dossier à chaque client.
5. Le client signe l'avenant et le renvoie.
6. Verdier Industries archive l'avenant signé et ses pièces jointes par client.

Pour le RGPD :

• Si le contrat contient une autorisation générale de sous-traitance : une notification avec droit d'opposition suffit, sans signature.
• S'il exige un accord écrit au cas par cas : l'avenant doit être signé.
• Dans les deux cas, la confidentialité des secrets industriels impose une signature.

Cas 4 - IaaS US avec datacenter en FR

L'infrastructure est louée chez un hébergeur américain. L'hébergeur n'accède pas au contenu des données, mais il reste soumis au Cloud Act.

Procédure pas à pas :

1. Verdier Industries demande à son hébergeur (par exemple AWS) les documents suivants et les rassemble :
   • son accord de confidentialité ;
   • son engagement de non-accès au contenu des données hébergées : mémoire vive, volumes de stockage et snapshots des machines virtuelles, sauf demande écrite de Verdier Industries ou réquisition d'une autorité judiciaire ou administrative compétente ;
   • son DPA (Data Processing Agreement, accord de traitement des données), si données personnelles ;
   • la liste de ses sous-traitants ultérieurs ;
   • ses certifications et attestations de sécurité : SOC 2 Type II (attestation) et ISO/IEC 27001 (certification), et le cas échéant ISO/IEC 27017 et 27018.
2. Verdier Industries rédige un avenant type au contrat client, structuré en articles :
   • article 1 : autorisation d'héberger les données sur une infrastructure tierce ;
   • article 2 : Verdier Industries garantit que l'hébergeur n'a pas accès au contenu des données, son accès étant limité à l'infrastructure nécessaire à l'hébergement, hors réquisition d'une autorité judiciaire ou administrative compétente ;
   • article 3 : acceptation du risque Cloud Act ;
   • article 4, si données personnelles : autorisation de sous-traitance (article 28.2 du RGPD).
3. Verdier Industries joint à l'avenant les documents obtenus à l'étape 1.
4. Verdier Industries envoie le dossier à chaque client.
5. Le client signe l'avenant et le renvoie.
6. Verdier Industries archive l'avenant signé et ses pièces jointes par client.

Pour le RGPD :

• Si le contrat contient une autorisation générale de sous-traitance : une notification avec droit d'opposition suffit, sans signature.
• S'il exige un accord écrit au cas par cas : l'avenant doit être signé.
• Dans les deux cas, la confidentialité des secrets industriels et le risque Cloud Act imposent une signature.

L'engagement de non-accès demandé à l'hébergeur peut être rédigé ainsi :

L'hébergeur s'engage à ne pas accéder au contenu des données hébergées, en particulier à la mémoire vive, aux volumes de stockage et aux snapshots des machines virtuelles, sauf demande écrite de Verdier Industries ou réquisition d'une autorité judiciaire ou administrative compétente. En cas de réquisition, l'hébergeur en informe Verdier Industries dans les meilleurs délais, sauf si la loi lui interdit de le faire.

Cas 5 - IaaS FR avec data center en FR

L'infrastructure est louée chez un hébergeur français ou européen : ni transfert hors UE, ni exposition au Cloud Act.

Procédure pas à pas :

1. Verdier Industries demande à son hébergeur (par exemple Scaleway) les documents suivants et les rassemble :
   • son accord de confidentialité ;
   • son engagement de non-accès au contenu des données hébergées : mémoire vive, volumes de stockage et snapshots des machines virtuelles, sauf demande écrite de Verdier Industries ou réquisition d'une autorité judiciaire ou administrative compétente ;
   • son DPA (Data Processing Agreement, accord de traitement des données), si données personnelles ;
   • la liste de ses sous-traitants ultérieurs ;
   • ses certifications et attestations de sécurité : SOC 2 Type II (attestation) et ISO/IEC 27001 (certification), et le cas échéant ISO/IEC 27017 et 27018, SecNumCloud ou HDS.
2. Verdier Industries rédige un avenant type au contrat client, structuré en articles :
   • article 1 : autorisation d'héberger les données sur une infrastructure tierce ;
   • article 2 : Verdier Industries garantit que l'hébergeur n'a pas accès au contenu des données, son accès étant limité à l'infrastructure nécessaire à l'hébergement, hors réquisition d'une autorité judiciaire ou administrative compétente ;
   • article 3, si données personnelles : autorisation de sous-traitance (article 28.2 du RGPD).
3. Verdier Industries joint à l'avenant les documents obtenus à l'étape 1.
4. Verdier Industries envoie le dossier à chaque client.
5. Le client signe l'avenant et le renvoie.
6. Verdier Industries archive l'avenant signé et ses pièces jointes par client.

Pour le RGPD :

• Si le contrat contient une autorisation générale de sous-traitance : une notification avec droit d'opposition suffit, sans signature.
• S'il exige un accord écrit au cas par cas : l'avenant doit être signé.
• Dans les deux cas, la confidentialité des secrets industriels impose une signature.

L'engagement de non-accès demandé à l'hébergeur peut être rédigé ainsi :

L'hébergeur s'engage à ne pas accéder au contenu des données hébergées, en particulier à la mémoire vive, aux volumes de stockage et aux snapshots des machines virtuelles, sauf demande écrite de Verdier Industries ou réquisition d'une autorité judiciaire ou administrative compétente. En cas de réquisition, l'hébergeur en informe Verdier Industries dans les meilleurs délais, sauf si la loi lui interdit de le faire.

Cas 6 - Hébergement sur site

Le serveur est dans les locaux de Verdier Industries : aucun tiers n'intervient.

• Aucun document à obtenir d'un tiers.
• Aucun avenant à faire signer : les données ne quittent pas les locaux et ne sont divulguées à personne.
• Pour rassurer le client, Verdier Industries peut l'informer que le traitement se fait en interne, sans sous-traitant ultérieur.

Liste des différences entre les situations contractuelles

Différences entre cas 2 et cas 1

• Les données restent dans l'UE : les CCT ne sont plus nécessaires.
• Le reste est identique, notamment le risque Cloud Act.

Différences entre cas 3 et cas 2

• Le fournisseur est une entité européenne : plus de risque Cloud Act.
• L'article 3 de l'avenant (acceptation du risque Cloud Act) disparaît.
• Le reste est identique.

Différences entre cas 4 et cas 3

• Le fournisseur ne traite plus les données : l'hébergeur n'accède pas au contenu, et l'avenant le garantit (article 2).
• L'engagement de non-entraînement et de rétention zéro disparaît.
• L'article 1 de l'avenant devient une autorisation d'héberger, et non plus une autorisation de divulgation.
• Le risque Cloud Act réapparaît, car l'hébergeur est américain.

Différences entre cas 5 et cas 3

• Le fournisseur ne traite plus les données : l'hébergeur n'accède pas au contenu, et l'avenant le garantit (article 2).
• L'engagement de non-entraînement et de rétention zéro disparaît, remplacé par un engagement de non-accès au contenu.
• L'article 1 de l'avenant devient une autorisation d'héberger, et non plus une autorisation de divulgation.
• Les certifications attendues sont allégées : plus de 27701 ni 42001, qui n'ont plus de sens quand le fournisseur ne traite pas les données.
• Le reste est identique : ni transfert hors UE, ni risque Cloud Act.

Différences entre cas 5 et cas 4

• L'hébergeur est français ou européen : plus de risque Cloud Act.
• L'article 3 de l'avenant (acceptation du risque Cloud Act) disparaît.
• Le reste est identique.

Différences entre cas 6 et cas 5

• Aucun tiers n'intervient : plus de documents à obtenir ni d'avenant à signer.
• Il ne reste qu'une information au client, sans sous-traitant ultérieur.

Ce que je retiens

En travaillant cette note, je m'attendais, naïvement, à ce que le cas 5 — un LLM installé sur une machine virtuelle avec GPU louée chez un hébergeur français, dans un data center français — soit indolore contractuellement, c'est-à-dire qu'il n'exige aucun avenant aux contrats clients, mais ce n'est pas le cas.

En réalité, l'infrastructure reste louée à un tiers. Les contrats clients interdisent la divulgation des données confidentielles à un tiers sans accord écrit, et même si l'hébergeur n'accède pas au contenu, le fait de lui confier l'infrastructure qui porte les données déclenche quand même la signature.

Gagner en souveraineté réduit le nombre d'articles et la gravité du risque, mais ne ramène pas le travail contractuel à zéro.

Mon regard de praticien de terrain

Comme dans ma note du mois de juin sur les données de santé, je termine cette note avec un sentiment partagé.
Je suis un praticien de terrain : j'administre les serveurs, je gère les données de mes propres mains. En lisant tout cet édifice contractuel, je sais qu'il s'agit d'une convention humaine — ce que l'on nomme le constructivisme juridique, il me semble — souvent assez éloignée de la logique et de la pratique du terrain.

C'est un exercice d'analyse que j'aime beaucoup, mais qui m'est difficile. Il me crée une dissonance cognitive. D'un côté, je pense en praticien : je vois ce qu'on pourrait faire techniquement, concrètement, physiquement, pour renforcer la sécurité des données. De l'autre, ces protections juridiques sanctionnent devant un juge, mais ne protègent pas la donnée physiquement. C'est une protection par la sanction, pas une protection réelle. Ma culture hacker est de protéger pour de vrai, pas par le droit. Je crois que c'est là la source de ma dissonance, et parfois de mon énervement.

J'y trouve régulièrement de l'incohérence, parfois une forme d'hypocrisie, un peu comme un jeu de théâtre. Je ne dis pas que cela ne sert à rien — sans doute que ce cadre protège. Peut-être que mon regard de praticien me rend trop sensible à ce qui sépare la théorie juridique du terrain.

#JaiÉcouté l'épisode "Faut-il vraiment culpabiliser en regardant YouTube en 4K ?" de la Chaine YouTube Le Réveilleur.

Cette vidéo traite de l'impact climatique du numérique. Quelles sont les émissions de gaz à effet de serre dans le monde ? Et en France ? Comment ces émissions sont-elles réparties entre terminaux, réseaux et centres de données ? Quel est l'impact de l'audiovisuel ? Du streaming ? De cette chaîne YouTube en particulier ? Comment cet impact se compare à d'autres loisirs ?

source

Je recommande vivement !

Liens vers les sources de la vidéo :

• https://lereveilleur.com/climat-et-numérique/

#JaiLu :

• Livre VS liseuse : que privilégier ? (Écologie et rémunération de l’auteur)

#JaiDécouvert de nombreuses informations intéressantes au sujet de Cloud Nubo dans les slides Nubo - A French government sovereign cloud du FOSDEM 2025.

---

#JaiDécouvert la fondation OpenInfra qui gouverne, entre autres, le projet OpenStack.

---

#JaiDécouvert l'existance des projets : Airship, Starlingx, Zuul. Je ne les ai pas étudiés.

Dans le cadre de ma mission à la DINUM, #JaiDécouvert les clouds internes dédiés aux services sensibles de l'État : π (Pi), Cloud Nubo.

Ce cloud interne se décline en deux offres :

• Nubo, opérée par la Direction générale des Finances publiques (DGFiP), adaptée à l’hébergement de données sensibles,
• π (Pi), opérée par le Ministère de l'Intérieur, adaptée à l’hébergement de données sensibles jusqu’au niveau Diffusion restreinte.

source

"Nubo" signifie "Nuage" en esperanto.
Cloud Nubo ne doit pas être confondu avec la coopérative Nubo qui propose, elle aussi, des offres de services "cloud".

En consultant le profil LinkedIn de Renaud Chaillat, je découvre que le projet Cloud Nubo a été lancé en 2015 et s'appuie sur une expérience de 14 ans dans ce domaine, débutée en 2001.

(source)

Ressources que j'ai trouvées intéressantes sur ce sujet :

• Les pages 11 pages de "Le Cloud pour les administrations"
• Circulaire n° 6282-SG du 5 juillet 2021 relative à la doctrine d’utilisation de l’informatique en nuage par l’État
• Le cloud souverain a encore du mal à faire son chemin

#JaiDécouvert le référentiel SecNumCloud de l'ANSSI, qui définit les règles de sécurité que doivent respecter les Cloud providers pour obtenir le Visa de sécurité ANSSI.

Élaboré par l’Agence nationale de la sécurité des systèmes d’information (ANSSI), le référentiel SecNumCloud propose un ensemble de règles de sécurité à suivre garantissant un haut niveau d’exigence tant du point de vue technique, qu’opérationnel ou juridique.

... en conformité avec le droit européen.

Les solutions ayant passé avec succès la qualification obtiennent le Visa de sécurité ANSSI.

... L’obtention du Visa permet … de répondre aux exigences de la doctrine « cloud au centre » de l’État imposant aux administrations le recours à des solutions SecNumCloud pour l’hébergement de données qualifiées de sensibles.

source

Voici la documentation de ce référentiel : https://cyber.gouv.fr/sites/default/files/document/secnumcloud-referentiel-exigences-v3.2.pdf

J'ai consulté la liste des 8 prestataires SecNumCloud qualifiés. J'ai identifié Outscale, OVH (les offres OVH WMWare et OVH Bare Metal Pod), mais les 6 autres me sont totalement inconnues.

J'ai appris que le 8 janvier 2025, Scaleway a annoncé son entrée dans le processus de qualification SecNumCloud.

Voici la liste officielle des prestataires en cours de qualification.

#JaiDécouvert Cloud Pi Native (https://github.com/cloud-pi-native)

Hier, j'ai écouté l'épisode 238 - La fin des ERP libres ? du podcast "Libre à vous".

Dans cet épisode, #JaiDécouvert ce que sont les "Plateforme de Dématérialisation Partenaire" (PDP) et le Portal Public de Facturation (PPF).

L’objectif principal du portail public de facturation était d'offrir un accès à la facturation électronique pour toutes les entreprises françaises. Pour l'État, il s'agissait d'un outil essentiel pour optimiser la généralisation des factures électroniques et ainsi accélérer la transformation digitale des entreprises.

Voici les arguments qui poussaient le gouvernement à mettre en oeuvre cette obligation :

• faciliter la gestion financière des entreprises au quotidien ;
• simplifier les déclarations de TVA ;
• lutter contre la fraude fiscale.

source

Je pense que ce nouveau système va simplifier tout le système de déclaration de TVA, voir la note 2025-02-03_1718 à ce sujet.

C'est peut-être pour cela que l'administration ne corrige pas la "dette fonctionnelle" à ce niveau. Peut-être que les PDP et le PPF va rendre tout cela obsolète 🤔.

Il y a quelques mois, j'avais identifié Amazon Quantum Ledger Database qui pourrait servir pour créer un Consent Management Provider.
Aujourd'hui, #JaiDécouvert le mode de rétention "Compliance" de Scaleway Object Storage.

When this mode is set, an object version cannot be overwritten or deleted by any user. If the Compliance mode is configured for an object, then its retention mode cannot be changed, and its retention period cannot be shortened. In other words, it ensures that an object version cannot be overwritten or deleted for the duration of the retention period. Note

Note : When the compliance mode is enabled, it is only possible to overwrite it or delete an object once the object lock expires or upon deleting your Scaleway account.

source

« La suppression du compte » est une action radicale !

Je pense que cette fonctionnalité est une alternative minimaliste à Amazon Quantum Ledger Database.

Cette fonctionnalité pourrait servir de base pour créer un Plateforme de Dématérialisation Partenaire pour Dolibarr ou tout autre logiciel libre de facturation 🤔.

#JaiDécouvert Vast.ai (https://vast.ai/) :

Vast.ai is the market leader in low-cost cloud GPU rental.
Use one simple interface to save 5-6X on GPU compute.

J'aimerais faire des Benchmarks de Inference Engines sur le serveur suivant à 14 $ par mois, qui contient une RTX 4090 avec 24 GB de Ram.

Article Wikipedia : https://en.wikipedia.org/wiki/DigitalOcean

Article Wikipedia : https://fr.wikipedia.org/wiki/Amazon_Web_Services

Article wikipedia : https://fr.wikipedia.org/wiki/Scaleway

Outscale appartient à Dassault Système.

Article Wikipedia : https://fr.wikipedia.org/wiki/Outscale

Site officiel : https://www.clever-cloud.com/

Podcast : https://www.clever-cloud.com/podcast/

Cloud Nubo est un Cloud providers de l'état Français.

"Nubo" signifie "Nuage" en esperanto.

Voir note : Je découvre Cloud Nubo.

---

(source)

---

Ressources :

• Nubo : The French government sovereign cloud
• Les pages 11 pages de "Le Cloud pour les administrations"
• Circulaire n° 6282-SG du 5 juillet 2021 relative à la doctrine d’utilisation de l’informatique en nuage par l’État
• Le cloud souverain a encore du mal à faire son chemin

Site officiel : https://vast.ai/

Article Wikipedia : https://fr.wikipedia.org/wiki/Microsoft_Azure

Article Wikipédia : https://fr.wikipedia.org/wiki/Hyperscale

Un hyperscaler, c'est un cloud provider qui a atteint une échelle qu'aucun acteur traditionnel ne peut répliquer sans un investissement industriel comparable : des millions de serveurs, des dizaines de régions dans le monde, un catalogue de centaines de services. Les trois principaux — Amazon Web Services, Microsoft Azure et Google Cloud — concentrent à eux seuls environ deux tiers du marché mondial IaaS/PaaS.

Le mot vient de "hyperscale", c'est-à-dire la capacité à ajouter massivement de la puissance de calcul, presque sans limite.

Différence avec "cloud provider"

"Cloud provider" est le terme large et neutre : il couvre aussi bien les hyperscalers que Scaleway, OVH ou Hetzner. "Hyperscaler" ajoute une distinction d'échelle et de position dominante. Autrement dit, tous les hyperscalers sont des cloud providers, mais l'inverse n'est pas vrai.

Je note que le terme porte aussi une connotation : il présente la domination de ces acteurs comme un fait de nature ("hyper" échelle) plutôt que comme un enjeu de concentration de marché. Un angle qui compte dès qu'on parle de souveraineté numérique et d'alternatives.

D'où vient le mot

• Fin des années 1990 : "hyperscale" apparaît pendant la bulle Internet, appliqué au matériel et aux data centers qui encaissent la charge en ajoutant des serveurs (scale out) plutôt qu'en musclant une seule machine (scale up) (Invisory).

• Années 2000 : le sens glisse vers le logiciel et l'architecture, porté par l'ouverture du premier data center hyperscale de Google à The Dalles (Oregon) en 2006 et le lancement d'AWS la même année (Ocient, IBM).

• Début des années 2010 : usage encore confiné aux milieux professionnels et aux analystes (Gartner, Synergy Research), pour distinguer les géants du cloud des acteurs plus petits. Quand j'étais chez Scaleway vers 2017, le terme n'était pas encore courant, même en interne chez un cloud provider.

• 2023-2024 : popularisation grand public, portée par l'IA générative (ChatGPT, LLM) et la question des infrastructures GPU à très grande échelle (Britannica).