Informatique confidentielle et IA : ce que protège un TEE et où sont ses limites

Qu’est-ce que l’informatique confidentielle ?

L’informatique confidentielle protège les données pendant leur traitement. Le chiffrement pendant la transmission et sur le support de stockage existe depuis longtemps ; dans la mémoire vive des serveurs classiques, en revanche, les données sont en clair. Le Confidential Computing Consortium, un regroupement placé sous l’égide de la Linux Foundation, décrit l’informatique confidentielle comme la protection des données en cours d’utilisation grâce à un calcul dans un environnement d’exécution de confiance (Trusted Execution Environment, TEE) matériel et attesté.

Un TEE est une zone isolée que le processeur protège. Le système d’exploitation, l’hyperviseur et les administrateurs du serveur ne voient de l’extérieur que des données chiffrées. Pour l’IA, cela signifie : le modèle calcule dans cet environnement, et l’exploitant du centre de données ne doit pas avoir accès aux entrées ni aux réponses. On parle d’inférence confidentielle.

Comment fonctionne l’inférence confidentielle ?

1. Environnement protégé sur le processeur : un environnement virtuel confidentiel, par exemple avec Intel TDX, isole la mémoire vive.
2. GPU protégé : les GPU récents, par exemple la génération Hopper de NVIDIA, disposent d’un mode d’informatique confidentielle. NVIDIA le décrit comme une protection du code et des données y compris vis-à-vis du propriétaire de l’ordinateur ou du service cloud. Intel souligne qu’un GPU seul n’est pas un TEE complet : il s’appuie sur l’environnement protégé du processeur.
3. Attestation : avant que les données ne circulent, le matériel fournit un rapport signé sur le firmware et les logiciels chargés. Votre système ou un service de vérification le compare à des valeurs attendues. Ce n’est qu’ensuite que les clés sont libérées. Pour les systèmes avec GPU, Intel recommande une attestation commune du processeur et du GPU.
4. Chemin chiffré : la requête reste chiffrée jusque dans l’environnement protégé ; elle n’y est en clair qu’à cet endroit.

Que permet cette protection ?

• Accès par l’exploitant : les administrateurs et l’hyperviseur du prestataire ne voient aucun contenu. Cela réduit un risque que l’hébergement classique ne règle que par contrat.
• Vérifiabilité : l’attestation montre quel logiciel tourne et rend les modifications détectables.
• Choix des modèles : un prestataire peut exploiter des modèles pour de nombreux clients sans consulter leurs contenus.

Où sont les limites ?

L’informatique confidentielle déplace la confiance, elle ne la supprime pas. Concrètement :

• Matériel et firmware : vous faites confiance au fabricant des processeurs et des GPU, à son firmware et à ses clés de signature.
• Canaux auxiliaires : des travaux de recherche ont montré que les TEE peuvent être attaqués par des canaux auxiliaires, par exemple Intel SGX. Intel reflète ces avis de sécurité dans l’attestation : un rapport peut signaler qu’une configuration supplémentaire ou un durcissement du logiciel est nécessaire. L’attestation est une preuve de sécurité importante, mais pas une preuve complète.
• Périmètre de confiance : la protection n’existe que si le prétraitement et le post-traitement s’exécutent dans le même périmètre : connexion, recherche dans les documents, journaux, caches, recherche web et outils connectés. Si l’un d’eux se trouve à l’extérieur, il voit le texte en clair.
• Mise en œuvre : un matériel évalué en dit peu sur le logiciel concret du prestataire. Demandez une évaluation indépendante de la mise en œuvre.
• Droit : les données restent personnelles. L’accord de traitement des données, la base légale et l’analyse d’impact restent nécessaires. Si un service protégé par un TEE transmet des contenus identifiables à un prestataire situé dans un pays tiers, le matériel ne supprime ni le caractère personnel des données ni les obligations du chapitre V du RGPD (transferts hors UE).

Quelles questions poser à un prestataire ?

Question	Pourquoi elle compte
Le processeur et le GPU sont-ils protégés ?	un GPU seul n’est pas un TEE complet
L’attestation a-t-elle lieu avant la libération des clés, et pouvez-vous vérifier le rapport vous-même ?	sinon, vous faites confiance au prestataire, pas au matériel
Le prétraitement et le post-traitement s’exécutent-ils dans le même périmètre de confiance ?	du texte en clair à l’extérieur annule la protection
Comment le prestataire gère-t-il les avis de sécurité et les mises à jour du firmware ?	de nouveaux canaux auxiliaires sont régulièrement découverts
Existe-t-il une évaluation indépendante de la mise en œuvre concrète ?	les certificats matériels ne couvrent pas le logiciel
Où le prestataire est-il établi, et relève-t-il du droit d’un pays tiers ?	ordre juridique et contrats restent des questions distinctes

Les autorités de contrôle évaluent elles aussi le flux de données concret. Nous n’avons connaissance d’aucune validation générale de la technologie TEE par une autorité de protection des données (état : octobre 2026).

Et avec basebox ?

basebox suit une autre approche : la plateforme et le modèle d’IA tournent sur un serveur dans votre établissement ou dans notre cloud, au centre de données München-Ost (Munich). Avec le serveur, le matériel reste chez vous et, sans contrat d’exploitation, basebox n’a aucun accès à vos données. Dans le cloud, chaque organisation dispose de son propre environnement virtuel et de sa propre gestion des comptes ; l’accès de notre personnel d’exploitation est limité à l’exploitation et journalisé. C’est un autre choix d’architecture que l’inférence confidentielle chez un fournisseur de modèles ; le bon choix dépend de la personne à qui vous voulez confier le traitement. Les détails figurent sur la page Sécurité et dans les questions sur la sécurité.