vos prompts n'ont rien à faire en virginie — le cas de l'inférence souveraine ue

Pensez à ce que votre organisation envoie réellement à une API de LLM. Des projets de contrats avant signature. Des notes de patients à résumer. Des réclamations clients, du code source, des mémos de conseil d'administration, des dossiers RH. Les prompts ne sont pas de la télémétrie — c'est un flux en direct du texte le plus sensible que votre entreprise produit, sérialisé en JSON et expédié vers la région où votre fournisseur termine. Pour la plupart des entreprises européennes, cette région est la Virginie du Nord.

Cela devrait vous déranger plus que ça ne le fait.

deux lois qui ne peuvent pas être obéies ensemble

Le problème structurel est connu de chaque DPO et régulièrement balayé. Le CLOUD Act américain oblige les fournisseurs US à remettre les données en leur possession, garde ou contrôle quel que soit l'endroit où elles sont stockées. La région Francfort d'un fournisseur d'inférence américain est une couverture de réconfort : les données sont en Allemagne, l'obligation légale est à Washington. Le RGPD, lui, interdit exactement ce type de divulgation aux autorités de pays tiers hors des canaux légaux propres (article 48).

Un sous-traitant sous contrôle américain qui traite des données personnelles européennes vit en permanence entre ces deux obligations. Quand elles entrent en conflit, c'est vous — le responsable de traitement — qui portez le risque de conformité.

La Cour de justice nous a déjà dit comment ça finit. Schrems II (2020) a invalidé le Privacy Shield précisément parce que le droit de la surveillance américain n'offre aux personnes concernées européennes aucun recours effectif. Le cadre qui lui succède subit la même attaque juridique, pour les mêmes raisons, et toute équipe juridique sait qu'un mécanisme de transfert invalidé deux fois n'est pas une fondation — c'est un compte à rebours. Les clauses contractuelles types ne guérissent rien non plus : des engagements de papier ne peuvent pas surclasser une loi qui lie le fournisseur chez lui.

Les prompts montent encore les enjeux. Contrairement à une sauvegarde de base de données, un prompt est du texte en clair par nécessité — le GPU doit le lire pour répondre. Vous ne pouvez pas vous en sortir par le chiffrement ; vous pouvez seulement choisir la juridiction que le texte en clair traverse.

ce que « souverain ue » veut dire ici — précisément

« Souverain » est devenu un autocollant que les hyperscalers américains posent sur une région. Nous l'utilisons pour dire quelque chose de vérifiable. Sur le tiers Souverain UE d'ElephantPool :

• Machines UE attestées uniquement. Vos requêtes routent exclusivement vers des machines physiquement situées dans l'UE — attestées ou sous contrat direct — jamais vers le pool général. Le routage est imposé par le scheduler, pas par une promesse dans un PDF.
• Zéro transfert, parce qu'il n'y a rien à transférer. Prompts et complétions sont traités en RAM, jamais écrits sur disque, jamais utilisés pour l'entraînement, et ne quittent jamais le territoire de l'UE. Aucun mécanisme de transfert n'est nécessaire quand aucun transfert n'a lieu.
• Opérateur européen, droit européen. Le réseau est opéré par De Buck Technologies, société belge, sous juridiction belge. Pas de maison mère américaine, pas d'exposition CLOUD Act par construction.
• Un DPA standard, prêt pour votre check-list article 28 et votre prochain audit — pas une négociation sur mesure.

Et parce que tout tourne sur des modèles à poids ouverts — Qwen3.8, GLM-5.2, DeepSeek V4-Flash et compagnie — il n'y a pas non plus de fournisseur de modèle boîte noire en amont de vos données. Vous pouvez inspecter exactement ce qui traite votre texte.

qui en a réellement besoin

Si vous construisez un chatbot de loisir, franchement, hébergez-le n'importe où. L'inférence souveraine UE est pour les charges où « probablement bon » n'est pas une réponse :

• Santé — notes cliniques et communication patient sont des données de catégorie spéciale (article 9) ; un sous-traitant américain est un constat d'audit en attente.
• Juridique — le secret professionnel ne survit pas au contact d'un tiers assignable dans une autre juridiction.
• Finance — DORA et les régulateurs nationaux demandent de plus en plus où l'inférence a lieu, pas seulement où les données sont « stockées ».
• Secteur public — plusieurs États membres interdisent désormais tout net les sous-traitants hors UE pour les données des citoyens. Ce n'est pas une tendance à couvrir ; c'est la réalité des marchés publics.

la souveraineté sans la taxe de souveraineté

L'objection habituelle est le prix : les clouds souverains européens facturent une prime salée pour le drapeau. Le pool distribué d'ElephantPool inverse cela — du matériel communautaire et de flotte efficace à travers l'Europe, un partage 80/20 au lieu de marges de datacenter, et des prix au token qui passent sous les clouds souverains à environ la moitié de leurs tarifs. La conformité et le coût dans la même direction, pour une fois.

Vos prompts sont l'enregistrement le plus honnête de votre activité qui existe. Gardez-les sous un système juridique qui vous répond.