En juin 2025, devant une commission du Sénat, le directeur des affaires juridiques de Microsoft France a admis sous serment qu’il ne pouvait pas garantir que les données de ses clients français ne seraient jamais transmises aux autorités américaines. La phrase a fait le tour des DSI. Elle résume tout le débat sur la souveraineté numérique : quand votre IA tourne sur une infrastructure américaine, la question n’est pas de savoir si vos données sont bien chiffrées, mais de savoir à quelle loi votre fournisseur obéit en dernier ressort.
À jour : juillet 2026. Sources officielles ANSSI, Sénat, OVHcloud et Mistral citées en fin d’article.
Réponse directe : la souveraineté d’une IA désigne le fait que vos données et le modèle qui les traite restent sous une juridiction que vous maîtrisez, à l’abri des lois extraterritoriales étrangères comme le CLOUD Act américain. En 2026, l’Europe dispose d’alternatives crédibles : Mistral pour les modèles, OVHcloud et Scaleway pour l’hébergement et les API d’IA, et une dizaine d’hébergeurs qualifiés SecNumCloud par l’ANSSI. Le bon réflexe n’est pas de tout basculer en souverain par principe, mais de classer vos usages : pour des données sensibles (santé, RH, juridique, secteur public), le souverain devient décisif ; pour un usage bureautique banal, une offre entreprise bien contractualisée suffit souvent.
Pendant longtemps, la souveraineté numérique était un débat d’experts et de politiques. En 2026, c’est une question de gestion des risques que tout dirigeant se pose, pour une raison simple : l’IA générative avale des volumes de données bien plus larges que les logiciels classiques. Un salarié qui résume un contrat, analyse un fichier client ou fait relire un dossier RH injecte, souvent sans y penser, des informations confidentielles dans un service hébergé à l’étranger.
Le contexte a basculé pour deux raisons. D’abord, la dépendance aux géants américains est devenue mesurable et assumée. Les mêmes acteurs qui dominent le cloud (Amazon, Microsoft, Google) fournissent aussi l’essentiel des modèles d’IA les plus utilisés. Cette concentration n’est pas nouvelle, mais l’IA la rend plus sensible, car le traitement porte sur le contenu même de vos échanges. Pour comprendre à qui appartiennent les infrastructures que vous utilisez chaque jour, notre article sur le poids des GAFAM pose le décor.
Ensuite, l’affaire du Sénat de 2025 a servi de signal d’alarme. Le 10 juin 2025, devant la commission d’enquête sur la commande publique, le rapporteur Dany Wattebled a demandé à Microsoft France de garantir sous serment que les données de citoyens français ne seraient jamais transmises, à la suite d’une injonction du gouvernement américain, sans l’accord explicite des autorités françaises. Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, a répondu : « Non, je ne peux pas le garantir, mais, encore une fois, cela ne s’est encore jamais produit. » L’aveu était fait, sous serment.
Le déclic de 2025, en chiffres :
- 10 juin 2025 : audition de Microsoft France devant la commission d’enquête du Sénat sur la commande publique
- Depuis janvier 2025, Microsoft s’engage contractuellement à ce que les données de clients européens ne quittent plus l’UE (au repos, en transit, en traitement)
- Cet engagement technique ne prime pas sur une injonction fondée sur le CLOUD Act, une loi américaine de 2018
- Aucune offre grand public d’IA générative américaine n’échappe, en droit, à cette exposition
Sources : Sénat, compte rendu de la commission d’enquête (juin 2025) ; L’Usine Digitale, juillet 2025
L’erreur la plus répandue consiste à croire qu’un serveur situé en France protège automatiquement vos données. Faux. Ce qui compte, ce n’est pas l’adresse du datacenter, c’est la nationalité juridique de l’entreprise qui l’exploite.
Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act), adopté par le Congrès américain en 2018, autorise les autorités des États-Unis à contraindre une entreprise soumise au droit américain à fournir les données qu’elle détient, peu importe où ces données sont physiquement stockées. Une filiale française d’un groupe américain, un datacenter à Paris opéré par une société contrôlée depuis les États-Unis : dans les deux cas, l’injonction s’applique. Le contrôleur européen de la protection des données a d’ailleurs relevé un conflit potentiel entre le CLOUD Act et le RGPD, qui place les entreprises dans une position intenable : obéir à l’un revient à risquer une sanction au titre de l’autre.
C’est exactement ce que l’aveu de Microsoft a mis en lumière. Le chiffrement, la localisation en Europe, les engagements contractuels sont utiles, mais ils ne créent pas d’immunité juridique tant que le fournisseur reste, in fine, soumis à une loi étrangère. La souveraineté se joue sur le droit avant de se jouer sur la technique. Si le sujet du parcours réel de vos données vous préoccupe, notre guide RGPD et IA : où vont vraiment vos données détaille ce que chaque offre fait de vos prompts.
Le mot est galvaudé. Beaucoup de fournisseurs se disent « souverains » parce qu’ils hébergent en France. En droit français, un seul repère fait autorité : la qualification SecNumCloud délivrée par l’ANSSI, l’agence nationale de la sécurité des systèmes d’information. La CNIL elle-même la considère comme le marqueur de référence d’un cloud de confiance.
SecNumCloud ne se limite pas à des exigences de cybersécurité. Sa version 3.2 impose un critère de gouvernance qui vise directement l’exposition aux lois extraterritoriales : une entité située hors de l’Union européenne ne peut pas détenir seule plus de 24 % du capital ou des droits de vote du prestataire, ni collectivement plus de 39 %. L’objectif est explicite : limiter l’influence de lois comme le CLOUD Act ou le FISA en s’assurant que le prestataire relève exclusivement du droit européen. La qualification vise à garantir la résistance du service à une injonction émise par un État non européen.
Souverain : les trois niveaux à distinguer
- Localisation : les données sont stockées en Europe. Nécessaire, mais insuffisant seul (le CLOUD Act ignore la géographie).
- Contrat : le fournisseur s’engage à ne pas utiliser vos données pour entraîner ses modèles et à les garder dans l’UE. Utile, mais un contrat ne prime pas sur une loi.
- Juridiction : le prestataire relève exclusivement du droit européen (siège, capital, contrôle). C’est le seul niveau qui offre une immunité réelle face aux injonctions étrangères, et c’est ce que vise SecNumCloud.
Source : ANSSI, FAQ qualification SecNumCloud
Un point d’honnêteté s’impose : même l’ANSSI reconnaît que SecNumCloud offre une protection élevée, pas une garantie absolue en toutes circonstances. Aucun label n’efface totalement le risque juridique. Mais dans le paysage 2026, c’est le niveau de protection le plus solide disponible pour des données réellement sensibles.
Bonne nouvelle pour les dirigeants soucieux de leurs données : l’écosystème européen a mûri. Il ne se résume plus à un acteur, il couvre désormais toute la chaîne, du modèle à l’infrastructure.
Mistral AI, société parisienne fondée en 2023, est l’alternative européenne la plus visible aux modèles américains. Son atout n’est pas de battre systématiquement les concurrents sur les benchmarks, mais d’offrir un hébergement entièrement européen, avec une option en France, et un engagement de non-réutilisation des données clients pour l’entraînement. En 2026, sa gamme couvre plusieurs modèles maison (Large, Medium, Small, Magistral pour le raisonnement, Devstral pour le code), dont plusieurs disponibles en open weights, ce qui autorise un déploiement sur votre propre infrastructure. L’offre entreprise ajoute le contrôle des données, les journaux d’audit et le SSO. Pour évaluer les modèles francophones dans le détail, voyez notre comparatif de la meilleure IA en français.
Source : Mistral AI, site officiel
OVHcloud, l’hébergeur français historique, joue sur deux tableaux. D’un côté, sa plateforme AI Endpoints propose plus de 40 modèles open source (Llama, Mistral, Qwen, DeepSeek, Whisper, embeddings, génération d’images) via des API facturées à l’usage, hébergées dans ses datacenters européens, notamment celui de Gravelines. La tarification est publique et au million de tokens, ce qui permet de chiffrer un projet sans surprise.
OVHcloud AI Endpoints, exemples de tarifs (2026) :
- gpt-oss-120b : 0,08 € / million de tokens en entrée, 0,40 € en sortie
- Meta-Llama-3.3-70B : 0,67 € / million de tokens
- Mistral-Nemo : 0,13 € / million de tokens
- Plus de 40 modèles au catalogue, hébergés en Europe, facturation à l’usage sans engagement
Sources : OVHcloud, AI Endpoints ; OVHcloud, catalogue des modèles
De l’autre côté, OVHcloud a dévoilé en 2026 OVHai Workspace, une plateforme collaborative européenne (messagerie, stockage, visioconférence) dotée d’une IA agentique et d’une option de chiffrement de bout en bout qui exécute certaines fonctions IA directement sur l’appareil de l’utilisateur. Attention à la maturité : à la mi-2026, OVHai Workspace est en preview, avec une bêta annoncée pour le Summit OVHcloud de novembre 2026. C’est une promesse, pas encore un produit de production.
Scaleway (groupe Iliad) propose également des API d’inférence et des ressources GPU en Europe. Mais le vrai socle de la souveraineté, ce sont les prestataires qualifiés SecNumCloud, seuls habilités à héberger les données les plus sensibles, notamment celles du secteur public et de la santé.
Prestataires qualifiés SecNumCloud (2026) :
- Une dizaine de prestataires disposent d’une qualification active, parmi lesquels Cegedim, Cloud Temple, OVHcloud, Oodrive, Orange Business, Outscale (3DS Outscale), S3NS et Worldline
- Une douzaine de dossiers supplémentaires sont en cours d’instruction, dont Scaleway et Bleu (coentreprise Capgemini-Orange)
- La liste officielle publiée par l’ANSSI, mise à jour au moins une fois par mois, fait foi : ne vous fiez pas aux seuls arguments commerciaux
Sources : ANSSI, prestataires SecNumCloud ; L’Usine Digitale, cloud souverain qualifié SecNumCloud
La souveraineté de l’IA est devenue un pilier de la stratégie industrielle européenne en 2025 et 2026. L’idée est d’éviter que les administrations, hôpitaux, banques et industriels du continent ne dépendent entièrement de modèles conçus, hébergés et contrôlés hors d’Europe. Cette dynamique se traduit par des investissements concrets : construction de datacenters dédiés en Europe et multiplication des dossiers SecNumCloud. Le mouvement est réel, même s’il reste inégal selon les briques de la chaîne.
Ce tableau croise les principales options selon le critère qui compte pour un dirigeant : le niveau réel de souveraineté et l’usage visé.
| Solution | Type | Souveraineté | Pour quel usage | Maturité 2026 |
|---|---|---|---|---|
| ChatGPT / Claude / Gemini (offres entreprise) | Modèles US | Contrat (pas d’immunité CLOUD Act) | Usage généraliste, bureautique | Très mature |
| Mistral (entreprise / self-hosted) | Modèle européen | Élevée (hébergement UE, open weights) | Données sensibles, on-premises | Mature |
| OVHcloud AI Endpoints | API sur modèles open source | Élevée (datacenters UE, OVHcloud qualifié SecNumCloud) | Projets techniques, intégration applicative | Disponible |
| OVHai Workspace | Suite collaborative + IA | Élevée (E2EE, traitement local) | Bureautique souveraine | Preview (bêta nov. 2026) |
| Hébergeur SecNumCloud + modèle open source | Infra qualifiée | Maximale (immunité extraterritoriale visée) | Santé, secteur public, données critiques | Disponible |
Basculer toute son entreprise en souverain par principe coûte cher et ralentit les projets. À l’inverse, ignorer la question expose à un risque juridique et réputationnel. La bonne méthode consiste à classer vos usages par sensibilité des données, puis à adapter le niveau de protection.
Le souverain devient critique quand :
- vous traitez des données de santé, des données RH nominatives, des dossiers juridiques ou des secrets industriels
- vous relevez du secteur public, de la commande publique ou d’un secteur réglementé (banque, assurance, défense)
- une fuite ou un accès étranger aux données aurait des conséquences contractuelles ou légales lourdes
- vos clients ou votre marché exigent une garantie de non-exposition aux lois extraterritoriales
Le souverain n’est pas indispensable quand :
- l’usage porte sur du contenu non sensible : brouillons marketing, idéation, reformulation de textes publics
- les données injectées ne contiennent aucune information personnelle ni confidentielle
- une offre entreprise américaine, correctement contractualisée (données exclues de l’entraînement, hébergement UE), couvre déjà votre besoin de conformité RGPD courant
En pratique, la plupart des TPE et PME finissent avec une approche mixte : un assistant généraliste pour le quotidien non sensible, et une solution souveraine cantonnée aux traitements à risque. Le pire scénario, lui, est passif : laisser chaque salarié coller des données confidentielles dans l’outil gratuit de son choix, sans règle. C’est le « shadow AI », et il expose bien plus qu’un mauvais choix de fournisseur. Avant de trancher, chiffrez : notre dossier sur le vrai coût de l’IA en entreprise aide à comparer les options, et si vous débutez, l’IA pour les TPE montre par où commencer.
Choisir la bonne architecture, cartographier vos données sensibles et rédiger une politique d’usage claire n’est pas trivial. Si vous voulez un accompagnement sur mesure pour décider quoi héberger où, notre agence IA peut vous aider à poser le cadre avant de déployer.
Non. Ce qui compte, c’est la juridiction dont relève l’entreprise qui exploite le serveur, pas l’adresse du datacenter. Le CLOUD Act américain de 2018 permet de contraindre une société soumise au droit américain à livrer ses données même stockées à l’étranger. Seul un prestataire relevant exclusivement du droit européen, comme l’exige la qualification SecNumCloud, échappe en principe à cette exposition.
Mistral est une société française qui propose un hébergement européen et, pour plusieurs de ses modèles, un déploiement en open weights sur votre propre infrastructure. C’est l’alternative la plus crédible aux modèles américains sur le plan de la souveraineté. Le niveau de protection dépend de l’offre : self-hosted ou on-premises offre le contrôle le plus complet, l’API cloud repose davantage sur l’engagement contractuel.
C’est le label délivré par l’ANSSI qui atteste qu’un prestataire cloud respecte des exigences élevées de sécurité et de gouvernance, dont une règle limitant la détention du capital par des entités non européennes (moins de 24 % individuellement, moins de 39 % collectivement). La CNIL la considère comme le marqueur de référence d’un cloud souverain en France. La liste des prestataires qualifiés est publiée et mise à jour par l’ANSSI.
Pas encore en version stable. À la mi-2026, OVHai Workspace, la suite collaborative européenne d’OVHcloud dopée à l’IA, est en preview. Une bêta est annoncée pour le Summit OVHcloud de novembre 2026. Pour un besoin de production immédiat, la plateforme AI Endpoints du même éditeur est, elle, déjà disponible.
Rarement. La démarche efficace consiste à classer vos usages par sensibilité des données. Pour des données de santé, RH ou juridiques, une solution souveraine s’impose. Pour du contenu non sensible, une offre entreprise bien contractualisée suffit généralement. Une approche mixte, réservant le souverain aux traitements à risque, est la plus réaliste pour une TPE ou une PME.
Cet article a une vocation d’information générale et ne constitue pas un conseil juridique. Pour une décision engageant des données réglementées, faites valider votre choix par un conseil spécialisé.
Ordiama, c'est aussi une agence IA à Strasbourg : on crée votre site, on vous rend visible dans l'IA et on automatise vos tâches.