Souveraineté & conformité
Où sont vos données, qui peut y accéder, quels textes s'appliquent — et où en est COG sur chacun. On y distingue ce qui est en place, ce qui est partiel et ce qui manque encore.
À lire d'abord : cette page résume une recherche documentaire datée du 24 octobre 2026. Ce n'est pas un avis juridique ; les points marqués « à vérifier » doivent être confirmés par un juriste, l'ANSSI ou les organismes concernés.
Où sont vos données, et qui détient les clés
La souveraineté commence par une question simple : qui a la garde des données ?
Droit extraterritorial : CLOUD Act, FISA 702
Ce qu'un fournisseur ne détient pas, il ne peut pas le remettre
- Le CLOUD Act (2018) oblige un fournisseur soumis au droit américain à remettre les données qu'il a « en sa possession, sous sa garde ou son contrôle », où qu'elles soient stockées. FISA §702 permet la surveillance de non-Américains via les fournisseurs de communications électroniques.
- Avec COG, les données sont au domicile de l'utilisateur, chiffrées, et les clés sont en sa possession : aucun fournisseur tiers n'en a la garde. C'est ce qui les place hors de portée directe de ces textes.
- Une contrainte légale exercée sur l'hébergeur d'Origin ne permet ni de lire les données d'un COG, ni de pousser une mise à jour : la signature hors ligne manque.
- Le cadre transatlantique (Data Privacy Framework) a été validé par le Tribunal de l'UE en septembre 2025 ; un pourvoi est pendant devant la CJUE. COG ne repose pas dessus.
RGPD : qui est responsable de quoi
Héberger chez soi ne dispense pas du RGPD ; cela change qui en répond
| Acteur | Rôle au sens du RGPD |
|---|---|
| Particulier | Exemption domestique (art. 2(2)(c)) pour un usage personnel. |
| Organisation (TPE, association, cabinet) | Responsable de traitement, y compris pour les données de tiers : clients dans JayKonta, rendez-vous dans JayRDV, courriels. |
| Éditeur (Studio Miyukini) | Pas responsable des données locales auxquelles il n'a pas accès, mais tenu de fournir un produit qui permet la conformité (art. 25, protection dès la conception). |
| Origin | Responsable de traitement pour ses propres données (comptes, identités fédérales, registres, journaux) ; possiblement sous-traitant (art. 28) pour les données relayées — à vérifier selon les flux. |
Ce que l'architecture apporte
- Sécurité (art. 32) : chiffrement au repos (AES-256), une clé par base, segmentation par service, profils AppArmor.
- Traçabilité : toute écriture passe par KindMother et laisse une trace dans un journal chaîné.
- Minimisation et non-chaînabilité : un identifiant de passeport différent pour chaque COG visité.
- Droit à l'effacement : « oubli réel » de la mémoire MAIA, avec effacement physique vérifié.
- Pas de télémétrie vers l'éditeur par défaut ; toute métrique fédérale doit être agrégée, signée et acceptée par l'utilisateur.
Ce qui reste à la charge d'une organisation
- Tenir le registre des traitements et informer les personnes concernées.
- Mener une analyse d'impact (AIPD) quand elle s'impose, notamment pour la voix (Alicia) ou la mémoire MAIA.
- Fixer les durées de conservation ; pour les journaux, la CNIL recommande en général de 6 mois à 1 an.
- Notifier une violation de données sous 72 heures.
Encore à faire côté COG : les AIPD d'Origin et de la fédération (la notation des pairs et les sanctions s'apparentent à du profilage), un modèle d'AIPD fourni aux organisations, et la conciliation des registres Merkle — immuables — avec le droit à l'effacement (stocker des empreintes, garder les données hors chaîne).
IA et voix
MAIA et Alicia relèvent de l'AI Act et, pour la voix, de règles RGPD renforcées
- AI Act, article 50 (en vigueur depuis le 2 août 2026) : MAIA et Alicia doivent se déclarer comme IA et marquer les contenus générés — absent à ce jour.
- Voix : reconnaître qui parle est un traitement biométrique (art. 9 RGPD), qui exige un consentement explicite. Traiter une simple commande vocale ne l'est pas.
- Suivant le livre blanc CNIL sur les assistants vocaux : traitement local, pas de stockage du tampon du mot d'éveil, indicateur d'écoute visible.
- La reconnaissance des émotions au travail ou à l'école est interdite (AI Act, art. 5).
- Pas d'apprentissage sur des données étrangères au COG.
Textes applicables et état de COG
Échéances légales, et où en est le projet sur chacune (au 26 octobre 2026)
| Texte | Échéance | Ce qu'il impose | État |
|---|---|---|---|
| Cyber Resilience Act — signalement | en vigueur (11/09/2026) | Signaler à l'ENISA les vulnérabilités activement exploitées et incidents graves (24 h / 72 h / rapport final) | partiel politique et processus rédigés ; contact, astreinte et compte ENISA manquants |
| Cyber Resilience Act — complet | 11/12/2027 | Exigences essentielles, SBOM, support 5 ans, marquage CE, évaluation de conformité | partiel |
| RGPD | en vigueur | Protection dès la conception, registre, AIPD | partiel |
| AI Act, art. 50 | en vigueur (02/08/2026) | Transparence des systèmes d'IA | absent |
| LCEN / DSA | en vigueur | Obligations d'hébergeur pour Origin et le Market (signalement, retrait) | absent |
| Cryptologie (France) | avant diffusion | Déclaration des moyens de cryptologie à l'ANSSI ; double usage hors UE | absent exemption open source à vérifier |
| Facturation électronique | 01/09/2026 · 01/09/2027 | Réception puis émission via plateforme agréée, FEC, clôture inaltérable | absent concerne JayKonta |
| Responsabilité du fait des produits | 09/12/2026 | Le logiciel devient un produit au sens de la directive | à anticiper |
| NIS2 | non transposée en France | Touche COG via la chaîne d'approvisionnement des clients | à suivre |
| Data Act | 12/09/2026 (art. 3(1)) | Accès aux données des produits connectés | probablement limité logiciel seul ; à vérifier si un boîtier est vendu |
| Post-quantique (ANSSI) | 2027 · 2030 | Cryptographie hybride attendue pour la certification et les usages au-delà de 2030 | absent feuille de route : X25519 + ML-KEM, Ed25519 + ML-DSA |
Dépendances résiduelles hors UE
Ce qui échappe encore au contrôle européen, et comment c'est atténué
| Dépendance | Risque | Atténuation |
|---|---|---|
| GitHub et GitHub Actions | Code et intégration continue | Builds reproductibles ; miroir européen ou auto-hébergé (Forgejo) prévu |
| crates.io | Dépendances Rust | Versions figées par Cargo.lock ; miroir prévu |
| Hugging Face | Modèles d'IA | Miroir des modèles prévu |
| Google et Apple | Magasins et notifications du mobile (métadonnées) | Notifications de réveil sans contenu ni identifiant stable |
| Hébergement d'Origin | VPS non qualifié ; un anti-DDoS américain pourrait déchiffrer le trafic | Décision à prendre : hébergeur UE (SecNumCloud pour les marchés publics), pas d'anti-DDoS américain |
| Fournisseurs d'IA en ligne | — | Aucun : l'IA est locale |
Référentiels visés
Des cibles, pas des certifications obtenues
- ANSSI : guide de développement Rust, recommandations TLS, journalisation et cryptographie ; première certification visée : CSPN sur le canal de mise à jour et le vérificateur de Sceaux.
- Applicatif : OWASP ASVS 5.0 niveau 2 (Central, Origin, portail, MiyuCloud) et niveau 3 (authentification, KindMother, Portail) ; OWASP MASVS pour le mobile.
- IA : OWASP Top 10 LLM 2025 et agentique, ETSI EN 304 223.
- Domotique : ETSI EN 303 645, IEC 62443-4-1 / 4-2.
- Chaîne d'approvisionnement : SLSA niveau 2 puis 3, builds reproductibles, SBOM CycloneDX signé.
- Vulnérabilités : ISO/IEC 29147 et 30111, RFC 9116 (
security.txt), CVSS 4.0. - Organisation : ISO 27001 pour Origin ; 27701 et 42001 en alignement.
Aujourd'hui : aucune certification, aucun audit externe, aucun déploiement en production. COG 0.9.0-beta.1 est une version de recette.