1. La requête est déjà une divulgation
Un family office ne confie pas son bilan à un conseiller par hasard. Il le fait dans le cadre d'un mandat, avec un devoir de confidentialité et une personne identifiée à qui demander des comptes.
Une API d'IA dans le cloud reçoit la même matière sans rien de tout cela. Un dirigeant colle un projet d'avenant de trust dans une fenêtre de discussion. Un assistant résume un avis fiscal. Un directeur de cabinet demande une lecture d'un transfert de titres transfrontalier. Chaque demande quitte le bâtiment sous forme de texte, arrive sur une infrastructure que la famille ne possède pas, et se règle par des conditions que la famille n'a pas négociées ligne à ligne.
La question d'un bureau privé se pose donc simplement. Où va la requête, qui peut la lire là-bas, et combien de temps existe-t-elle ? Le calcul local répond aux trois par la même phrase : nulle part, personne, et seulement sur du matériel que vous possédez.
2. Ce qui sort du bâtiment
Trois sortes de données partent avec une requête cloud, et les familles ne comptent en général que la première.
- Le contenu. Les documents et les instructions saisis ou dictés au système.
- Les métadonnées. Quand les requêtes sont faites, depuis quelle adresse, à quelle fréquence, et à propos de quelles contreparties. Une série de questions posées tard le soir pendant une négociation en dit long, même si personne ne lit une seule phrase.
- Le comportement du modèle dans le temps. Un modèle hébergé peut être modifié, réajusté ou retiré par son éditeur. Un flux de travail calibré le lundi peut se comporter autrement le vendredi, sans que le client n'ait son mot à dire.
Les garanties contractuelles couvrent le premier point, en partie. Elles font peu pour le deuxième et rien pour le troisième. La juridiction ajoute une couche : des données détenues par un prestataire peuvent être atteintes par la procédure légale des pays où ce prestataire opère, sans obligation d'en informer la famille.
3. Ce que le zéro sortie veut dire en pratique
Zéro sortie signifie que le système fonctionne sans aucune connexion sortante. Rien n'est envoyé à un éditeur, et rien n'attend un éditeur pour fonctionner.
Coupez le bâtiment d'internet. Si l'assistant répond toujours, lit les documents de la famille et fait tourner ses agents, l'architecture est souveraine. Si quelque chose s'arrête, quelque chose sortait.
Les SARION Appliances sont conçues pour passer ce test. Les poids du modèle sont sur l'appliance. La mémoire documentaire est sur l'appliance. L'inférence tourne sur l'appliance. Les niveaux SARION Confidant et SARION Regent ajoutent un mécanisme physique et manuel d'isolation de l'interface réseau, si bien que le propriétaire peut couper tout trafic entrant et sortant d'un geste de la main, sans passer par un réglage logiciel. Un interrupteur logiciel peut être basculé par un logiciel. Un interrupteur physique, non.
4. Une maison n'est pas une salle serveur
Les consignes d'isolation écrites pour les centres de données supposent des lecteurs de badges et des cages verrouillées. Une résidence d'exception accueille un autre monde : personnel d'entretien, équipes de sécurité, intendants, conseillers en visite, invités, artisans, et une famille dont chaque membre a ses propres besoins de confidentialité.
Cela change le cahier des charges de trois façons.
- Le périmètre est social avant d'être technique. La question est rarement de savoir si un attaquant peut entrer. Elle est de savoir si une personne de confiance, qui a accès à une pièce, à un mot de passe Wi-Fi ou à une prise libre, peut voir ce qu'elle ne devrait pas voir.
- La famille n'est pas un seul utilisateur. Un dirigeant, son conjoint et un enfant adulte peuvent chacun avoir besoin d'un contexte privé que les autres ne peuvent pas lire, avec un partage délibéré quand ils le décident. Les niveaux Regent et Sovereign proposent des instances séparées par membre de la famille, avec partage sélectif.
- La discrétion concerne aussi le matériel. Une machine bruyante, chaude ou visiblement industrielle déçoit la résidence même si elle passe l'audit. Le refroidissement liquide en circuit fermé et le travail acoustique font partie du cahier des charges de confidentialité, parce qu'un appareil que l'on remarque est un appareil sur lequel on pose des questions.
5. Trois niveaux, un même principe
Le principe ne change pas avec le budget. La capacité, si.
| Niveau | Calcul | Rôle |
|---|---|---|
| SARION Confidant | Une station de travail, 96 Go de mémoire GPU ECC | Niveau exécutif personnel : conversation bilingue, voix, analyse de documents |
| SARION Regent | Une station de travail, 192 Go de mémoire GPU ECC | Portée agentique complète : email, agenda, tâches, outils adaptés au client |
| SARION Sovereign | Deux stations de travail interconnectées, 384 Go de mémoire GPU ECC au total | Échelle à deux nœuds avec réplication bidirectionnelle et bascule automatisée |
Les trois fonctionnent sur du matériel que le client possède, dans ses locaux, sans abonnement à un fournisseur de modèles tiers. Les niveaux changent ce que le système peut contenir et faire, pas la distance que parcourent ses données.
6. Les questions de mise en service
Une appliance isolée n'est souveraine que si le processus qui l'entoure l'est aussi. Avant la mise en service, un family office ou son architecte doit pouvoir obtenir une réponse claire à chacune de ces questions.
- Quels ports et interfaces physiques existent, et qui détient les moyens de les ouvrir ou de les fermer ?
- Comment les mises à jour du logiciel et des modèles arrivent-elles sur une machine qui n'est pas connectée en permanence ?
- Qui détient les identifiants, et que deviennent-ils quand un membre du personnel part ?
- Où se trouvent les journaux de la machine, et qui peut les lire ?
- Quel est le plan si l'appareil lui-même est menacé de saisie, de perte ou de compromission ?
Sur ce dernier point, les SARION Appliances comprennent un mécanisme d'urgence, déclenché par le propriétaire, qui détruit de façon irréversible le contenu du système. Nous décrivons ce qu'il garantit au propriétaire et nous en discutons le détail directement avec les clients lors de la consultation.
7. Quand le cloud reste le bon outil
Tout n'a pas besoin de rester à la maison. La recherche publique, la rédaction qui ne contient rien de privé et la planification avec des tiers peuvent passer par un service cloud sans conséquence. La discipline tient à la frontière : décider à l'avance quelles catégories de documents ne sortent jamais, et leur donner un matériel qui ne peut pas les envoyer.
Pour ce qui compte le plus, les documents de gouvernance de la famille, sa stratégie juridique, ses dispositifs patrimoniaux et de sécurité, la frontière doit être physique.
Pour un examen technique appliqué à une propriété ou à un bureau précis, écrivez à notre équipe d'ingénierie sur volta.quest.