Données robotiques souveraines : pourquoi le stockage dans l’UE ne suffit pas

Un jeu de données de démonstrations humaines repose sur une baie de serveurs à Francfort. Chaque image, chaque relevé de force, chaque pose de la main est stockée sur des disques qui ne quittent jamais le sol allemand. Le marketing du fournisseur qualifie cela d’hébergé dans l’UE, et techniquement c’est le cas. Un tribunal des États-Unis peut malgré tout en ordonner la production intégrale.

Cette phrase résume tout le propos de cet article. Où les données reposent physiquement et qui les contrôle juridiquement sont deux questions distinctes. Le secteur de la robotique a commencé à traiter la première comme si elle tranchait la seconde. Ce n’est pas le cas.

Cet écart porte un nom en droit et repose sur un mécanisme dans les faits. Il compte davantage pour les données d’entraînement robotique que pour presque tout autre type de données, car ces données sont constituées des visages, des domiciles, des voix et des mains de personnes réelles. Voici pourquoi le stockage dans l’UE n’équivaut pas à la souveraineté sur le jeu de données, et ce qu’exige réellement cette différence.

La résidence concerne les octets, la souveraineté concerne le contrôle

La résidence des données est une affirmation d’ordre géographique : les octets sont stockés dans une région donnée. La souveraineté des données est une affirmation d’ordre juridictionnel : la loi de quel État peut contraindre, inspecter ou bloquer les données, et quelle entité juridique doit s’y conformer. Les deux vont souvent de pair, si bien qu’on les confond. Elles se dissocient dès l’instant où la société qui contrôle les données relève d’un système juridique situé hors de la région où résident les octets.

Prenons le cas ordinaire. Un fabricant de robots européen achète un jeu de données de démonstration à un fournisseur dont le siège est en Californie. Le fournisseur héberge, judicieusement, l’ensemble dans un centre de données de Francfort afin de satisfaire la clause de résidence du client. Les disques sont en Allemagne. Le conseil d’administration, la constitution de la société et le contrôle juridique ultime se trouvent aux États-Unis. Demandez quelle loi atteint le jeu de données et la réponse est : les deux, et l’une d’elles peut l’emporter sur l’autre.

Le mécanisme : le CLOUD Act

Le Clarifying Lawful Overseas Use of Data Act des États-Unis, le CLOUD Act, a été adopté en 2018. Il énonce clairement qu’un prestataire soumis à la juridiction américaine doit produire les données en sa « possession, sous sa garde ou sous son contrôle » lorsqu’il reçoit une injonction judiciaire valide, quel que soit le lieu où ces données sont stockées. L’emplacement du serveur ne constitue pas un moyen de défense. Le déclencheur est le contrôle, non la géographie.

Ainsi, un fournisseur de données dont le siège est aux États-Unis ne peut honnêtement promettre à un client européen qu’un jeu de données échappe à la portée américaine. Il peut promettre la résidence dans l’UE. Il ne peut pas promettre la juridiction UE, car sa propre société mère peut être contrainte de livrer les données qu’elle contrôle, où que tournent les disques. Une clause de résidence et une garantie de juridiction se ressemblent dans un contrat mais ne sont pas le même instrument.

Il ne s’agit pas d’antiaméricanisme. Le point est structurel, non moral : une entité juridique est atteignable par le système juridique dont elle relève. Un fournisseur européen détenant des données aux États-Unis soulèverait la préoccupation inverse pour un acheteur américain.

Pourquoi cela mord plus fort pour les données d’entraînement robotique

La plupart des débats sur la gouvernance des données portent sur des tableurs et des fichiers journaux. Les données de démonstration robotique sont d’une autre nature. Pour apprendre à un robot à travailler dans une cuisine, on enregistre une personne travaillant dans une cuisine : son visage, son appartement, sa voix sur le canal audio, l’articulation exacte de ses mains. Au titre du Règlement général sur la protection des données, l’essentiel de ces données relève des données personnelles, et une partie constitue des données biométriques, qui appartiennent à une catégorie particulière assortie de conditions plus strictes.

Cela change les enjeux. Le jeu de données n’est pas seulement un actif propriétaire, il porte les droits juridiques des personnes qui y sont enregistrées. Le GDPR régit la base légale de sa capture, le consentement obtenu, l’anonymisation appliquée et la capacité d’honorer une demande de suppression des années plus tard. Un responsable de traitement situé hors de l’UE complique chacune de ces obligations, car les personnes à qui appartiennent les données sont protégées par un régime auquel le responsable ne répond pas au premier chef.

L’EU AI Act ajoute une deuxième couche. Il attache des obligations aux données servant à entraîner les systèmes d’IA, notamment des devoirs de tenue de registres et de provenance pour les jeux de données d’entraînement. Un acheteur incapable de documenter d’où provient chaque démonstration, et sur quelle base légale elle a été capturée, hérite d’une lacune de conformité qu’il n’a pas créée. La provenance cesse d’être un simple atout pour devenir une exigence d’approvisionnement.

Autour de l’AI Act s’articule un cadre plus large de gouvernance des données : l’EU Data Governance Act pour les intermédiaires de données de confiance, et l’EU Data Act pour le contrôle et la portabilité des données. Tous deux présument que l’entité responsable relève de la juridiction UE.

La résidence vous dit où les données dorment. La souveraineté vous dit à la loi de qui elles répondent lorsque quelqu’un vient les réclamer. Pour un jeu de données constitué des visages et des mains de personnes réelles, seule la seconde question protège l’acheteur.

Ce qu’exigent de véritables données robotiques souveraines

Si des serveurs de l’UE sont nécessaires mais non suffisants, qu’est-ce qui complète le tableau ? Trois conditions, et elles se cumulent.

Contrôle par une société de l’UE. L’entité juridique qui possède et traite le jeu de données devrait elle-même relever de la juridiction UE par la structure de la société, de sorte qu’aucune société mère étrangère ne puisse être contrainte de le produire. C’est la condition que la résidence seule ne peut fournir.

Consentement et provenance capturés à la source. Chaque démonstration devrait arriver avec une base légale, un consentement documenté de la personne enregistrée, et un relevé de provenance qui l’accompagne. Rétro-ajouter le consentement à un corpus moissonné est quasi impossible. Le capturer au moment de l’enregistrement est simple.

Une chaîne de traitement qui ne passe jamais par un responsable hors UE. L’annotation, le stockage et la livraison devraient rester au sein d’entités relevant de la même juridiction. Une seule étape d’annotation externalisée, confiée à un sous-traitant ultérieur sous contrôle étranger, peut rouvrir l’exposition que la structure était censée refermer.

La juridiction s’invite sur la fiche technique

Pendant des années, le vocabulaire de la souveraineté a vécu dans les argumentaires de vente et survivait rarement au contact d’une évaluation technique. Cela change à mesure que la robotique européenne monte en échelle. L’International Federation of Robotics recense un parc opérationnel mondial de robots industriels chiffré en millions d’unités, dont l’Europe représente une part majeure. À mesure que les programmes humanoïdes passent du laboratoire à la ligne de production, les jeux de données qui sous-tendent leurs politiques tombent sous le même examen que tout autre intrant réglementé.

Un OEM européen qui répond devant ses propres régulateurs, comités d’entreprise et clients ne peut traiter la provenance de ses données d’entraînement comme le problème d’un autre. Si le comportement d’un robot déployé venait à être mis en cause, « nous avons acheté les données et elles étaient stockées à Francfort » est une réponse plus faible que « les données ont été capturées avec un consentement UE, par une entité contrôlée depuis l’UE, avec une provenance pour chaque séquence ».

Rien de tout cela ne rend l’hébergement dans l’UE sans valeur. La résidence est une exigence réelle et un point de départ nécessaire. L’erreur consiste à la lire comme un point d’arrivée. Un jeu de données est souverain lorsque la loi qui le régit et l’entité qui le contrôle se trouvent au même endroit que la promesse faite aux personnes qui y sont enregistrées. Pour les données d’entraînement robotique, construites une démonstration humaine à la fois à partir de visages réels et de mains réelles, cette cohérence n’est pas un détail de conformité. C’est la différence entre un jeu de données qu’un fabricant de robots européen peut déployer et un jeu qu’il ne peut qu’admirer.