SURF et le programme Npuls ont construit EduGenAI, une passerelle souveraine et pseudonymisée vers des modèles de langage ouverts et commerciaux (OpenAI, Llama, Mistral, Claude) destinée aux établissements néerlandais d'enseignement professionnel et supérieur. Une AIPD indépendante publiée en août 2025 n'a identifié que 12 risques résiduels, tous faibles, avant le lancement du projet pilote 2025-2026.
12 risks
Risques résiduels identifiés par l'AIPD, tous évalués comme faibles (Aug 2025)
Détails
Maturité
Pilote
Promoteur
SURF / Npuls
Période
DPIA published 8 Aug 2025; pilot runs through the 2025-2026 academic year
Mots-clés
generative AI, data protection impact assessment, national AI infrastructure, higher and vocational education, privacy by design
Contexte
SURF (la coopérative informatique néerlandaise de l'enseignement supérieur) et le programme Npuls ont construit EduGenAI, une passerelle nationale acheminant un accès pseudonymisé à des LLM open source et commerciaux (OpenAI, Llama, Mistral, Claude) pour les établissements néerlandais de mbo/hbo/wo, hébergée via le centre de données de SURF à Amsterdam (Watergraafsmeer) pour les modèles open source.
Résultats
Une analyse d'impact relative à la protection des données indépendante, réalisée par Privacy Company (publiée le 8 août 2025), a identifié 12 risques résiduels, tous évalués comme faibles après les mesures d'atténuation déjà intégrées dans l'architecture (pseudonymisation, infrastructure hébergée dans l'UE et exclusion des usages à haut risque tels que l'évaluation automatisée ou la détection de fraude). Le pilote se déroule tout au long de l'année académique 2025-2026 avec des établissements dont l'Université de Twente ; aucun résultat d'apprentissage ou d'équité n'a encore été mesuré.
Conclusions
SURF et Npuls prévoient de faire d'EduGenAI un service national permanent à partir de fin 2026 si le pilote réussit, ce qui en fait un exemple rare de gouvernance de la vie privée mise en place avant le déploiement plutôt qu'imposée après une violation.
Mise en œuvre
Coût indicatif
Élevé (500 k€–5 M€) — National platform build (SURF datacentre routing plus pseudonymisation layer for commercial APIs) funded via Npuls pooled institutional funding; no specific budget figure published.
Délai jusqu’aux résultats
Moyen (1–3 ans) — DPIA published Aug 2025; pilot runs through the 2025-2026 academic year; planned transition to a standing national service from late 2026.
Personnel et compétences
SURF (Dutch higher-education ICT cooperative) infrastructure and engineering team, Npuls programme, pooling funding and coordination across Dutch mbo/hbo/wo institutions, Privacy Company, commissioned as independent DPIA assessor
Conditions de réussite
Pseudonymisation of requests sent to commercial model providers so prompts cannot be linked to individual users
EU-hosted infrastructure for open-source models via SURF's own datacentre
Contractual exclusion of high-risk uses (automated assessment, fraud detection) from the platform's scope
Independent DPIA commissioned and published before rollout rather than after
Modes d’échec courants
Pilot learning and equity outcomes not yet measured, so the effectiveness case remains unproven
Current scope excludes higher-risk use cases, limiting near-term utility
Où cela s’applique
Type de gouvernance
national sector-cooperative (SURF/Npuls pooling public HE institutions)
Pistes de financement indicatives pour des pratiques de ce type — vérifiez toujours les appels en cours et les règles d'éligibilité de chaque programme.
Vous portez cette pratique ?
Revendiquez-la —
les porteurs vérifiés obtiennent un contact public sur la page et peuvent proposer des corrections.
Sources de données
D'où proviennent les informations de cette pratique, et quand.