Hybridation souveraine et maîtrise du cloud pour l’IA locale
L’hybridation devient le nouveau fondement d’une stratégie cloud maîtrisée.
Elle permet d’articuler innovation et souveraineté, en combinant environnements hors ligne, locaux et cloud selon la criticité des usages.
Articulation des couches IA souveraines – NOMAD, Ollama/Mistral, AnythingLLM, MuBrain, Foundry Local, Homelab.
1. Contexte et enjeux
Pour les données sensibles, les activités réglementées ou les processus critiques, le cloud hybride permet d’articuler plusieurs environnements sans avoir à choisir entre innovation et maîtrise.
Le cloud hybride ne se réduit ni à une déclinaison restreinte du cloud public ni au simple recours à plusieurs fournisseurs.
Il constitue avant tout un moyen de garder la maîtrise de l’architecture et des dépendances technologiques.
2. Architecture souveraine
Couche
Rôle
Composants
1 — Connaissance
Serveur de connaissance souverain
NOMAD, Kiwix, Kolibri, ProtoMaps
2 — Moteur IA
Inférence locale gouvernée
Ollama + Mistral, Foundry Local
3 — Interface & Agents
Usage et mémoire longue
AnythingLLM, MuBrain
4 — Infrastructure
Socle matériel et réseau
Homelab Ubuntu + Docker, NAS, VLAN, Firewall
3. Garanties et conformité
Localisation des données et certifications (HDS, SecNumCloud)
Audit et journalisation (scripts SLM Ollama/Mistral)
4. Gouvernance et exploitation
L’hybridation souveraine permet d’utiliser les hyperscalers pour les usages non sensibles tout en garantissant que les données critiques, les modèles et les agents restent sous contrôle local.
Runbook IA souveraine :
Audit quotidien des journaux Ollama
Instantané des modèles et corpus NOMAD
Mise à jour mensuelle Foundry Local et Docker
Revue trimestrielle de conformité AI Act / RGPD
5. Synthèse
L’hybridation souveraine devient le fondement d’une stratégie cloud maîtrisée.
Elle permet d’accéder à l’innovation des hyperscalers tout en conservant la maîtrise des données, des modèles, des agents et des dépendances.
Comparaison stratégique, technique et opérationnelle de trois briques d'IA souveraine :NOMAD, SLM Ollama + Mistral (gouvernance technique Windows) et AnythingLLM — puis la manière de les combiner.
Trois briques complémentaires pour une IA souveraine, locale et gouvernée.
🧭 Synthèse stratégique
Ces trois solutions ne sont pas de même nature : elles occupent des couches différentes d'une même architecture.
NOMAD est une plateforme souveraine hors ligne complète, pensée comme un serveur de connaissance autonome.
SLM Ollama + Mistral est un moteur d'inférence local gouverné : scripts PowerShell d'export, de déploiement et d'audit, orientés DevOps, portabilité et conformité.
AnythingLLM est un assistant IA local prêt à l'emploi, orienté utilisateurs finaux et productivité.
Solution 100 % hors ligne, pensée pour la résilience, la souveraineté et la continuité d'activité.
Fournit un serveur complet : IA locale (Ollama), recherche documentaire (RAG avec Qdrant), Wikipédia hors ligne, cartes, e‑learning, bibliothèque, outils de données.
Forces
Indépendance totale d'Internet : Kiwix (Wikipédia), Kolibri (e‑learning), ProtoMaps (cartes).
Souveraineté forte : aucune télémétrie, licence Apache 2.0.
Industrialisation : export de configuration, déploiement automatisé sur PC cible, audit de sécurité, gestion des modèles, journalisation.
Gouvernance NPU : détection du NPU et configuration de repli. Précision : l'inférence Ollama s'exécute sur CPU ou GPU ; l'accélération NPU passe par un runtime dédié comme Microsoft Foundry Local.
Application clé en main, orientée productivité personnelle et professionnelle.
Version bureau pour Windows, macOS et Linux, et version Docker pour un usage serveur.
Forces
Configuration minimale : on installe, on choisit un modèle, on travaille.
Agents personnalisés via un éditeur visuel.
Assistant de réunion (transcription et résumé en local).
RAG documentaire local (« Document Knowledge »).
Collecte web et recherche intégrées (à désactiver en mode souverain strict).
Choix du modèle selon le matériel ; fournisseur Ollama ou Microsoft Foundry Local (CPU/GPU/NPU, Windows 11 24H2 minimum).
Open source (licence MIT), multi‑utilisateur possible en version Docker.
Limites
Moins souverain qu'un serveur hors ligne complet (NOMAD).
Moins industrialisé qu'Ollama/Mistral pour la gouvernance.
Dépend du système hôte (pas un serveur autonome en version bureau).
Télémétrie anonyme activée par défaut : à désactiver dans les paramètres (ou via DISABLE_TELEMETRY=true en Docker) pour respecter un principe « zéro télémétrie ».
Important : une IA locale facilite la conformité, elle ne la garantit pas. Les obligations de l'AI Act dépendent du rôle (fournisseur ou déployeur) et du niveau de risque du cas d'usage, pas du lieu d'exécution du modèle.
🎯 Quelle brique selon votre priorité ?
Souveraineté totale et résilience → NOMAD
Serveur autonome, hors ligne et complet, adapté à un contexte comme celui d'Andorre.
Gouvernance technique, conformité et industrialisation → Ollama + Mistral
Scripts PowerShell, audit, portabilité, gestion d'un parc Windows.
Productivité immédiate et agents personnalisés → AnythingLLM
Assistant de réunion, RAG, agents, multi‑OS, pour les usages quotidiens.
🔮 La combinaison : souveraineté + gouvernance + productivité
L'écosystème souverain complet associe les trois briques :
NOMAD comme serveur de connaissance hors ligne ;
Ollama + Mistral comme moteur IA gouverné et industrialisé ;
AnythingLLM comme interface utilisateur productive et agents.
Vidéo — l'architecture combinée :
🗺️ Carte stratégique de l'IA souveraine 2026–2027
Lecture géopolitique, industrielle et technologique, appliquée à un contexte andorran et européen (homelab, souveraineté, NPU, Ollama, AnythingLLM, mémoire structurée).
1. Les trois blocs de souveraineté IA
🇺🇸 Bloc américain — souveraineté par le calcul et les modèles
Doctrine : domination par les modèles fondamentaux, les GPU, les NPU et les agents.
Tendances : agents autonomes comme standard de productivité ; NPU généralisés dans les PC (Intel Core Ultra, AMD Ryzen AI, Qualcomm Snapdragon X, Apple Silicon) ; IA locale grand public (Foundry Local, Apple Intelligence sur l'appareil).
Risques : dépendance au calcul, licences opaques, concentration extrême.
🇨🇳 Bloc chinois — souveraineté par l'intégration verticale
Doctrine : contrôle de toute la chaîne (modèles, calcul, cloud, données).
Tendances : diffusion mondiale de modèles ouverts (Qwen, DeepSeek) ; calcul national (Huawei Ascend) ; IA intégrée aux super‑applications.
Risques : confiance internationale limitée, sanctions et contrôles à l'export.
🇪🇺 Bloc européen — souveraineté par la régulation et l'industrie
Acteurs : Mistral AI, Aleph Alpha, SiPearl, EuroHPC, OVHcloud, Scaleway ; en Suisse, le modèle ouvert Apertus.
Doctrine : IA transparente, auditée, conforme (AI Act, RGPD).
Tendances : essor des SLM locaux (petits modèles de langage) ; adoption d'Ollama en entreprise ; processeurs HPC européens (SiPearl Rhea).
Risques : fragmentation, déficit de puissance de calcul, lenteur d'adoption.
2. Les quatre piliers de l'IA souveraine
Calcul souverain — NPU généralisés (modèles de 3 à 14 milliards de paramètres en local), GPU locaux pour homelab et PME, edge AI et mini‑datacenters personnels.
Limiter les actions des agents AnythingLLM : bac à sable, validation humaine, télémétrie désactivée.
Constituer un corpus souverain : NOMAD + Kiwix + Kolibri + graphe de connaissance.
Versionner modèles et corpus : instantanés Ollama et Docker.
🏛️ Plan de gouvernance IA souveraine — Andorre / homelab (2026–2027)
Ce plan s'appuie sur une architecture réelle (NOMAD + Ollama/Mistral + AnythingLLM + graphe de connaissance + Foundry Local), sur les scripts de gouvernance SLM publiés sur ce blog, sur les exigences européennes (AI Act, NIS2, DORA, RGPD) et andorranes (loi 29/2021 qualifiée de protection des données personnelles), et sur les contraintes d'un homelab souverain (hors ligne, résilience, auditabilité, portabilité). Il est structuré comme un document COMEX/DSI, adapté à un mini‑datacenter souverain.
1. 🎯 Objectifs stratégiques
Garantir une IA souveraine, sans dépendance au cloud.
Appliquer les exigences de l'AI Act et du RGPD dès la conception, même en environnement personnel.
Industrialiser l'IA locale via les scripts de gouvernance SLM (export, déploiement, audit).
Sécuriser les modèles, les corpus et les agents.
Structurer la connaissance locale (NOMAD + graphe de connaissance).
Assurer la résilience en cas de perte d'Internet.
2. 🧩 Architecture de référence (quatre couches)
Couche
Rôle
Composants
1 — Connaissance
Serveur de connaissance souverain
NOMAD (Kiwix, Kolibri, ProtoMaps), corpus documentaire local (NAS, volumes Docker), RAG hors ligne (Qdrant)
2 — Moteur IA
Inférence locale gouvernée
Ollama + Mistral / Phi‑4‑mini (CPU/GPU) ; Foundry Local en runtime parallèle pour le NPU ; scripts de gouvernance SLM
3 — Interface, agents et mémoire
Usage et mémoire longue
AnythingLLM (agents, assistant de réunion, RAG local) ; graphe de connaissance « MuBrain »
4 — Infrastructure
Socle matériel et réseau
Mini‑serveur Ubuntu + Docker ; PC Windows à NPU ; VLAN IA + pare‑feu ; NAS de sauvegarde et de versionnage
3. 🛡️ Gouvernance technique (SLM Ollama/Mistral sous Windows)
3.1 Chemins et répertoires standard
%LOCALAPPDATA%\Programs\Ollama → exécutables
%USERPROFILE%\.ollama\models → modèles (par défaut ; modifiable via OLLAMA_MODELS)
%LOCALAPPDATA%\Ollama\server.log → journaux d'audit et de traçabilité
3.2 Variables d'environnement
OLLAMA_HOST=127.0.0.1:11434 (isolation réseau)
OLLAMA_MAX_LOADED_MODELS=1
OLLAMA_KEEP_ALIVE=10m
OLLAMA_MODELS=<chemin> (si les modèles sont stockés hors du profil)
Nombre de threads : paramètre num_thread dans le Modelfile ou dans la requête API.
3.3 Gouvernance NPU
Détection automatique via Get-PnpDevice.
Repli sur CPU/GPU si le NPU est indisponible.
Usage du NPU Intel via Foundry Local (Windows 11 24H2 minimum).
3.4 Scripts de gouvernance (cycle complet)
Export : configuration, modèles, règles de pare‑feu, journaux.
Audit : cinq points de contrôle (installation, permissions, réseau, processus, modèles).
Full : Export + Deploy + Audit.
4. 🔐 Gouvernance de la sécurité
Isolation réseau : Ollama écoute uniquement sur 127.0.0.1 ; le port 11434 n'est autorisé qu'en local.
Permissions : accès limité à SYSTEM, aux administrateurs et à l'utilisateur autorisé.
Audit continu : analyse des journaux (motifs error, unauthorized, suspicious) ; export automatique des audits en JSON.
Agents AnythingLLM : bac à sable des actions ; pas d'accès réseau externe (collecte web désactivée) ; télémétrie désactivée ; validation humaine obligatoire pour toute action destructive.
Composants tiers : aucun dépôt ni image Docker déployé sans revue préalable (licence, maintenance, contenu du docker-compose.yml).
Dossier de conformité AI Act (documentation + journaux) ; automatisation complète des audits
T3 2027
Cluster IA local multi‑nœuds ; RAG hybride (hors ligne + structuré)
🎯 Conclusion du plan
Ce plan fournit une gouvernance IA souveraine cohérente avec un homelab, des scripts SLM industrialisés, les exigences européennes et andorranes, la résilience hors ligne, la productivité locale (AnythingLLM) et la structuration de la connaissance. Prochaine étape : établir le plan de conformité AI Act 2027.
AnythingLLM (site officiel, téléchargement) peut désormais utiliser Microsoft Foundry Local comme fournisseur de modèles sur les PC Windows (annonce). Points à retenir :
Foundry Local exige Windows 11 version 24H2 ou ultérieure.
Les modèles de vision ne sont pas encore disponibles via Foundry Local dans AnythingLLM (au moment de l'annonce).
« MuBrain » désigne ici la brique de mémoire à long terme structurée de l'architecture. Ce n'est pas un produit unique : plusieurs projets open source peuvent la réaliser (voir plus bas).
Rôle : contrairement à un RAG classique, qui retrouve des extraits de texte par proximité vectorielle, la mémoire structurée organise l'information en graphe de connaissances (concepts et relations).
Fonctionnement : extraction des entités (personnes, projets, concepts, règles) et de leurs liens à partir des échanges et des documents ; lorsqu'on interroge l'assistant (via AnythingLLM), le graphe fournit un contexte relié (« qui fait quoi », « comment X est lié à Y »).
Intérêt souverain : la mémoire reste stockée localement, sans base vectorielle hébergée dans le cloud. Le chiffrement au repos dépend de l'outil retenu et doit être vérifié.
Exemples de fonctionnement
Mémoire des choix d'architecture. Vous posez une règle : « Tous les conteneurs du homelab passent par le VLAN 20. » Le graphe relie VLAN 20 au nœud Configuration réseau. Des semaines plus tard, lorsque vous demandez un docker-compose.yml, l'assistant applique la contrainte sans rappel.
Résolution des contradictions. Si la règle change (« Kiwix sera sur le VLAN 10 »), le lien est mis à jour ou l'ancienne règle archivée, pour éviter deux réponses contradictoires.
Recherche multi‑sauts. « Quels services seraient touchés si le NAS tombe en panne ? » Le graphe parcourt les relations et liste les conteneurs reliés aux volumes du NAS.
Outils open source possibles
Projet
Contenu annoncé
Lien
myBrAIn
Serveur MCP, tableau de bord Streamlit, visualisation du graphe, SQLite
Avant tout déploiement (risque T‑106) : vérifiez la licence, l'activité de maintenance et le contenu du docker-compose.yml ; épinglez les images par empreinte ; testez d'abord sur un VLAN isolé.
Exemple de déploiement de myBrAIn, après revue :
git clone https://github.com/lilium360/myBrAIn.git
cd myBrAIn
# relire docker-compose.yml, la licence et les dépendances avant de lancer
docker compose up -d
🏗️ Couche 4 — le homelab
Le homelab est le socle matériel et réseau de tous les services d'IA et de stockage. Il fournit le calcul (CPU, GPU, NPU), le stockage et l'isolation réseau nécessaires pour faire fonctionner l'ensemble de façon autonome.
OS et conteneurs : serveur Linux (Ubuntu Server) avec Docker, un conteneur par service (AnythingLLM, Ollama, Kiwix…).
Station d'accélération : PC Windows avec GPU ou NPU pour l'inférence des SLM.
Stockage NAS : bases de connaissance, sauvegardes, jeux de données volumineux.
Sécurité et isolation : VLAN et règles de pare‑feu strictes interdisant tout flux sortant non sollicité vers Internet.
En résumé : le homelab est la fondation matérielle et réseau étanche ; la mémoire structurée relie les idées et conserve la mémoire des agents.
🔧 Faisabilité et mise en œuvre progressive
Composants du homelab et effort de mise en œuvre.
L'architecture est réalisable avec des briques cohérentes. Il faut toutefois distinguer ce qui s'installe rapidement de ce qui demande une orchestration plus poussée.
Ce qui est simple et rapide
Ollama + AnythingLLM (couches 2 et 3) : un exécutable local ou un conteneur Docker fait tourner Ollama avec Mistral, Phi ou Llama ; AnythingLLM s'y connecte via l'API locale (http://localhost:11434).
NOMAD / Kiwix (couche 1) : un serveur Kiwix en Docker pour lire des fichiers ZIM (Wikipédia, documentation hors ligne) se lance en une commande.
Foundry Local (couche 2) : runtime distinct d'Ollama, qui gère lui‑même l'exécution sur CPU, GPU ou NPU selon le matériel.
Ce qui demande plus d'effort
Mémoire structurée (couche 3) : c'est la partie la plus technique. Un moteur de graphe (type Neo4j ou équivalent) couplé à un extracteur d'entités exige des chaînes d'extraction automatique pour transformer le texte en nœuds et relations. Conseil : démarrer avec le RAG vectoriel natif d'AnythingLLM, puis ajouter le graphe dans un second temps.
Segmentation réseau et sécurité (couche 4) : isoler le homelab par VLAN et interdire les flux sortants tout en autorisant les flux internes demande une bonne maîtrise du routeur ou pare‑feu (OPNsense, pfSense, UniFi).
Bilan
Composant
Faisabilité
Effort d'installation
AnythingLLM + Ollama
Très élevée
Facile (1 à 2 heures)
NOMAD / Kiwix hors ligne
Très élevée
Facile (30 min)
Docker / infrastructure de base
Très élevée
Moyen (quelques heures)
Graphe de connaissance
Élevée
Avancé (projet à part entière)
Isolation VLAN / SecOps
Élevée
Moyen à avancé
Pour éviter l'effet « usine à gaz », procédez par étapes :
Monter le socle Docker avec Ollama, AnythingLLM et Kiwix.
Segmenter le réseau (VLAN).
Intégrer la mémoire structurée une fois l'inférence locale stabilisée.
🕶️ Pourquoi maintenant : le « shadow AI »
Nicolas Naully, auteur de Guérill‑iA (GERESO), décrit une scène devenue banale : un lundi matin, un collaborateur colle un dossier client dans un outil d'IA gratuit ; personne ne l'a autorisé, personne ne l'a interdit, et l'équipe entière suit. Rien ne bouge dans les registres de l'organisation, tout change sur le terrain.
Les outils d'IA grand public utilisés hors de tout cadre (infographie en sept colonnes).
C'est le shadow AI : des outils d'IA utilisés sans validation ni déclaration, qui échappent au radar de l'organisation. Le phénomène prolonge le shadow IT, avec un enjeu de plus : ce qui sort de l'entreprise, ce ne sont plus seulement des fichiers, mais des données et des décisions.
Ce n'est pas un problème d'IA, c'est un problème de signature. — Nicolas Naully
Sa réponse tient en quatre actions, que nous reprenons à notre compte :
Recenser les usages réels, pas seulement ceux qui sont déclarés.
Rédiger une règle d'usage courte, lisible en deux minutes.
Proposer un outil autorisé — sinon chacun garde le sien.
Nommer un signataire responsable pour chaque outil.
L'outil autorisé, c'est précisément ce que permet l'architecture décrite ici : une IA locale, gouvernée et auditée, installée chez vous. Pour en discuter : UGAIA.
Source du scénario shadow AI : Nicolas Naully, Guérill‑iA, éditions GERESO.
Comparaison stratégique, technique et opérationnelle entre les trois solutions d’IA souveraines.
NOMAD, SLM Ollama + Mistral (Gouvernance NPU), et AnythingLLM.
🧭 Synthèse stratégique immédiate
NOMAD est une infrastructure souveraine hors‑ligne complète, pensée comme un serveur de connaissance autonome.
SLM Ollama + Mistral est une gouvernance technique industrialisée, orientée DevOps, automatisation, portabilité et conformité.
AnythingLLM est un assistant IA local prêt à l’emploi, productif, sans configuration, orienté utilisateurs finaux.
.png)
.png)
.png)
