SAP - IA souveraine
IA pour SAP en déploiement souverain : SecNumCloud et modèles hébergés chez vous
En bref
Pour garder une IA sur SAP dans un périmètre souverain, deux options existent : un hébergement sur site, ou un cloud qualifié SecNumCloud par l'ANSSI. Dans les deux cas, un modèle ouvert interroge S/4HANA en lecture seule et sans envoi de données vers une API étrangère. Le copilote natif de SAP reste pertinent pour les cas standards, la couche souveraine sert aux données sensibles.
Beaucoup d'industriels français sont sur SAP ECC ou déjà sur S/4HANA, parfois via RISE with SAP. Ils veulent de l'IA pour interroger leurs données, mais se heurtent à une question de conformité : où sont traitées les données, et qui peut y accéder juridiquement ? Pour la défense, l'aéronautique, la santé ou les opérateurs d'importance vitale, la réponse ne peut pas être « chez un hyperscaler américain, avec les garanties contractuelles standard ».
SecNumCloud, le référentiel de l'ANSSI, répond en partie à cette question pour l'hébergement. Cette page explique comment combiner ce référentiel, ou un hébergement sur site, avec une couche d'IA sur SAP, et ce qu'il faut vérifier avant de se lancer.
Pourquoi la souveraineté change l'architecture
Les données d'un SAP industriel contiennent des nomenclatures, des prix, des contrats, des données de qualité et de personnel. Les envoyer à un service d'IA généraliste hébergé hors de l'Union pose des risques de confidentialité et d'exposition à des législations extraterritoriales comme le Cloud Act. Le référentiel SecNumCloud, dans ses versions récentes, intègre précisément des exigences de protection contre ces accès extra-européens.
Pour l'IA, cela signifie que le modèle de langage, la base vectorielle et les journaux doivent tous se trouver dans le périmètre protégé, pas seulement la base SAP. Une architecture qui garde SAP chez vous mais appelle une API d'IA externe casse la chaîne de souveraineté.
- Modèle de langage hébergé dans le même périmètre que SAP
- Base vectorielle et index documentaire dans ce même périmètre
- Journaux de requêtes conservés selon votre politique, pas celle d'un tiers
- Aucune dépendance à une API d'IA hors périmètre pour les données sensibles
Deux voies : sur site ou cloud qualifié SecNumCloud
Sur site, vous contrôlez tout, y compris l'accès physique, mais vous portez l'exploitation des GPU. Chez un fournisseur dont l'offre est qualifiée SecNumCloud, plusieurs acteurs français ou en coentreprise proposent aujourd'hui de l'infrastructure ou du calcul GPU. À vérifier précisément : la qualification porte sur une offre et un périmètre donnés, pas sur le fournisseur en général, et SAP lui-même n'est pas automatiquement couvert par cette qualification.
Le bon réflexe est de demander au fournisseur le périmètre exact de la qualification, la version du référentiel et la liste des sous-traitants. Nous ne revendiquons aucune qualification : notre architecture permet à votre organisation de la mettre en oeuvre dans son périmètre, la responsabilité de conformité reste la vôtre.
Cas d'usage sur S/4HANA
Les cas typiques portent sur les données de MM (achats et stocks), SD (ventes), PP (production), QM (qualité) et FI/CO (finance et contrôle de gestion). Interroger en français « quelles commandes d'achat ont plus de dix jours de retard sur des articles critiques ? » ou « quel est l'écart de coût standard sur cet ordre de fabrication ? » devient direct, sans passer par un développement ABAP ou une requête Query.
Un deuxième usage est la documentation et l'analyse du code spécifique : les développements Z accumulés sur ECC sont une difficulté majeure des migrations vers S/4HANA. Un modèle hébergé en local peut résumer ce que fait un programme ou un exit, sans sortir le code de votre périmètre.
Accès aux données et habilitations
Trois voies d'accès sont possibles : services OData ou API exposés par S/4HANA, vues CDS, ou lecture sur une réplique de la base. Les vues CDS et les API ont l'avantage de porter la logique métier et une partie des contrôles d'autorisation. Une réplique est plus simple pour l'analytique mais demande de recréer les règles d'habilitation côté IA.
Quelle que soit la voie, l'accès est en lecture seule par défaut, la requête exécutée est affichée à l'utilisateur et tracée. Les écritures, par exemple la création d'une demande d'achat, ne se font qu'avec une validation humaine et en passant par les API et BAPI standard.
Quand le copilote SAP suffit
SAP propose son propre assistant, Joule, et des fonctions d'IA intégrées dans BTP. Pour des scénarios standards, sur des données déjà dans le cloud SAP, et si votre politique de conformité l'autorise, ces fonctions sont plus simples à activer et à maintenir. Nous le disons clairement : si vos exigences de souveraineté sont satisfaites par l'offre SAP, une couche tierce n'est pas nécessaire.
La couche souveraine prend son sens quand les données ne peuvent pas quitter votre périmètre, quand vous êtes sur un ECC qui ne bénéficiera pas des fonctions récentes, ou quand vous souhaitez interroger SAP en même temps que d'autres sources (GED, MES, fichiers qualité).
Démarche recommandée
Commencez par classer vos données selon leur sensibilité, puis choisissez le périmètre d'hébergement en conséquence. Un diagnostic de quelques semaines suffit généralement à cartographier les flux, la version SAP, le mode d'hébergement actuel et les cas d'usage prioritaires. Un pilote sur un domaine unique, par exemple achats et stocks, permet de mesurer la valeur avant d'investir dans des GPU.
Impliquez tôt votre RSSI et votre DPO, ainsi que l'intégrateur SAP : ils connaissent les contraintes d'autorisation et d'exploitation que nous devons respecter.
Questions fréquentes
SecNumCloud suffit-il à rendre une IA sur SAP conforme ?
Non. SecNumCloud qualifie une offre d'hébergement dans un périmètre précis. La conformité de votre traitement dépend aussi de la finalité, des accès, de l'architecture applicative et de votre analyse RGPD.
Peut-on utiliser une IA souveraine sur SAP ECC ?
Oui. La lecture se fait via réplique de base ou interfaces existantes. C'est même un cas fréquent, car les fonctions d'IA récentes de SAP visent surtout S/4HANA et le cloud SAP.
Le modèle est-il entraîné sur nos données SAP ?
Dans la plupart des cas, non. On utilise la récupération d'informations au moment de la question, avec un modèle ouvert inchangé. Un ajustement fin n'est envisagé que pour un besoin précis et avec votre accord.
Faut-il des GPU sur site ?
Pas forcément. Vous pouvez louer du calcul GPU chez un fournisseur dont l'offre est qualifiée SecNumCloud, à condition de vérifier le périmètre exact de la qualification.
Joule ou une IA souveraine : comment choisir ?
Si vos données peuvent rester dans le cloud SAP et si les scénarios standards vous suffisent, Joule est plus simple. Sinon, une couche hébergée chez vous couvre mieux les données sensibles et les sources hors SAP.
Guides associés
IA pour Sage X3 : interroger son ERP en français, sans sortir les données
Ajoutez de l'IA à Sage X3 sans exporter vos données : questions en français, analyses stock et production, déploiement sur site, lecture seule par défaut.
CegidIA pour Cegid : interroger vos données de gestion sans les exposer
IA pour Cegid : interroger vos données financières et de gestion en français, hébergées chez vous, avec traçabilité, RGPD et facture électronique.
DivaltoIA pour Divalto : exploiter les données de votre ERP, hébergées chez vous
IA pour Divalto Infinity : posez vos questions de gestion commerciale, stocks et production en français, avec un modèle hébergé chez vous et lecture seule.
Infor M3IA pour Infor M3 : interroger l'ERP via les API MI, avec un modèle hébergé chez vous
IA pour Infor M3 : accès via API MI et ION, questions en français sur commandes, stocks et OF, modèle ouvert hébergé chez vous, lecture seule et traçable.
ERP aéronautique et défenseIA pour ERP aéronautique et défense : déploiement sur site, sans fuite de données
IA sur l'ERP d'un sous-traitant aéronautique ou défense : traçabilité EN 9100, nomenclatures, non-conformités, hébergement souverain sur site, sans fuite de données.
MES et qualité en usineIA pour le MES et la qualité en usine : exploiter les données d'atelier
IA sur les données MES et qualité d'une usine : non-conformités, SPC, AMDEC, traçabilité, rendement. Déploiement sur site, en lecture seule, sans export de données.
Mettre l'IA au service de votre ERP
Réservez un diagnostic IA ERP gratuit. Nous cartographions le flux de données, le modèle et le lieu d'hébergement, et vous disons franchement si l'IA n'est pas le bon outil.
Réserver un diagnostic gratuit