Sur cette page
Répondez de tête, puis ouvrez. Les acteurs de l'IA
1L'éditeur d'un assistant et le fabricant du modèle sont-ils toujours la même entreprise ?
Non. Copilot de Microsoft répond avec des modèles d'OpenAI et, selon les réglages, d'Anthropic ; Perplexity propose ceux de huit fabricants.
2Un fournisseur vous dit que son outil est « développé en France ». Que demander ?
Quel modèle répond et de quel fabricant, où il tourne, ce que deviennent les textes envoyés, et ce qui se passe si le modèle est retiré.
- Trois couches à séparer : le fabricant du modèle, l'hébergeur qui le fait tourner, et le droit qui s'applique à vos données.
- La résidence n'est pas la juridiction : le CLOUD Act oblige un fournisseur américain à remettre les données qu'il contrôle, même stockées hors des États-Unis ; sous serment, Microsoft France n'a pas pu garantir le contraire.
- Un modèle européen ne suffit pas : Mistral AI héberge vos données en Europe par défaut, et compte Microsoft et Google parmi ses sous-traitants, installés en Europe.
- SecNumCloud, la qualification de l'ANSSI, porte sur un service précis : vérifiez qu'il figure au catalogue ; Scaleway et Bleu sont encore en cours de qualification.
- Pour des textes sans données personnelles ni secret, un hébergeur européen suffit ; la couche du droit compte surtout pour les données personnelles, sous contrat ou sous secret.
Problème
Les mots se ressemblent et ne disent pas la même chose. « IA européenne » parle de celui qui a fabriqué le modèle ; « hébergé en France », du lieu des machines ; « souverain », de qui peut exiger vos données. Un dirigeant qui veut protéger des dossiers clients, ou répondre à un client public qui l'exige, doit savoir ce que couvre chaque promesse.
- Qui a fabriqué le modèle, et d'où vient son comportement ?
- Où tourne le calcul, et qui exploite les machines ?
- Quel droit s'applique à vos données, et qui peut les exiger ?
Principe
Les trois couches se combinent librement. Un modèle open weight se télécharge et tourne chez l'hébergeur de votre choix : le fabricant ne voit alors plus rien de vos demandes (open weight et modèles fermés). L'hébergeur, lui, voit passer chaque demande, et c'est son droit, celui de son pays et de sa maison mère, qui dit qui peut l'obliger à remettre vos données. D'où la formule : la résidence n'est pas la juridiction.
Fonctionnement
Ce que disent les textes qui décident qui peut exiger vos données.
Ce qui a bougé depuis 2025
- 11 février 2025 · Union européenneInvestAI : 200 milliards d'euros à mobiliser pour l'IA, dont 20 milliards pour des gigausines
- 26 février 2025 · MicrosoftFrontière de données de l'Union achevée : Microsoft 365 et la plupart des services Azure stockés et traités dans l'Union et l'AELE
- 9 avril 2025 · Union européennePlan d'action pour un continent de l'IA ; treize usines d'IA en cours autour des supercalculateurs
- 10 juin 2025 · SénatAudition de Microsoft France, sous serment
- 3 septembre 2025 · Tribunal de l'UnionLe cadre de protection des données avec les États-Unis est confirmé ; appel le 31 octobre
- 17 décembre 2025 · ANSSIS3NS, filiale de Thales sur technologie Google Cloud, qualifiée SecNumCloud jusqu'en 2028
- 15 janvier 2026 · AWSEuropean Sovereign Cloud ouvert dans le Brandebourg, exploité par des résidents de l'Union
- 12 juin 2026 · États-UnisL'autorisation légale de la section 702 expire ; la surveillance continue jusqu'en mars 2027
- 30 juillet 2026 · Union européenneAppel pour sept gigausines d'IA au plus, avec jusqu'à 10 milliards d'euros publics ; dix-huit États signataires, dont la France et l'Allemagne
- Août 2026 · Mistral AIPoints d'accès régionaux : le calcul en Europe ou aux États-Unis, au choix du client
- 16 septembre 2026 · Aleph Alpha et CohereAccord de rapprochement : la société commune s'appellera Cohere, avec deux sièges, Berlin et Toronto, sous réserve des autorités
- 6 octobre 2026 · Mistral AIMistral Large 4 en préversion publique ; une version open weight promise pour fin octobre
Exemple détaillé
Avant de regarder : un service hébergé en Europe par une société américaine échappe-t-il au droit américain ?
Huit services qui font tourner des modèles en Europe
Un avantage, déclaré par l'éditeur ou l'ANSSIÀ savoirNon relevé, ou non abordé
Ce qu'on en retient. Le lieu du calcul est en Europe pour les huit ; c'est la dernière colonne qui les sépare. Quatre pages seulement en parlent ; deux viennent de sociétés américaines, et aucune des deux n'y garantit l'immunité. Le détail des hébergeurs pour une application : l'hébergement en Europe.
- Mistral AI, à Paris : 1,7 milliard d'euros levés en 2025, menés par ASML, puis 3 milliards en 2026, menés par Samsung, pour une valorisation de plus de 21 milliards ; Bpifrance, NVIDIA et le Luxembourg parmi les actionnaires, sans parts publiées. Mistral Large 4, en préversion depuis le 6 octobre 2026 : mille milliards de paramètres, dont 52 milliards actifs à chaque mot, entraîné dans ses propres centres européens selon Mistral.
- Aleph Alpha, en Allemagne : rapprochement avec le canadien Cohere signé le 16 septembre 2026, sous réserve des autorités.
- Black Forest Labs, à Fribourg et San Francisco : les modèles d'images FLUX ; 300 millions de dollars levés.
- LightOn, coté à Paris : chiffre d'affaires en hausse de 54 % en 2025, porté par sa plateforme Paradigm.
- Pleias, à Paris : Common Corpus, un corpus d'entraînement dont les droits sont vérifiés.
- Signataires européens du code de bonnes pratiques des modèles d'usage général : Mistral AI, Aleph Alpha, Black Forest Labs, Pleias, LINAGORA, Almawave, Domyn, Dweve, Fastweb.
- OpenEuroLLM : un modèle ouvert et multilingue financé par l'Union, 37,4 millions d'euros, vingt partenaires ; après un an, la puissance de calcul des modèles finaux reste à trouver.
- EuroLLM-22B : un modèle ouvert pour les 24 langues officielles de l'Union et onze autres, entraîné sur le supercalculateur MareNostrum 5.
- Usines et gigausines d'IA : dix-neuf usines et treize antennes déployées ; un appel pour sept gigausines au plus, lancé le 30 juillet 2026, qui attend 20 milliards d'euros d'investissement privé.
- Le projet de règlement sur le cloud et l'IA : un cadre unique, dans toute l'Union, pour évaluer la souveraineté d'un service de cloud ou d'IA.
Risques
| On entend | En réalité |
|---|---|
| « Hébergé en Europe, donc à l'abri des lois américaines » | La résidence n'est pas la juridiction : le CLOUD Act vise les données qu'un fournisseur américain contrôle, où qu'elles soient |
| « Un modèle français, donc souverain » | Le fabricant ne dit rien de l'hébergeur ni des sous-traitants : ceux de Mistral AI comptent Microsoft et Google |
| « Qualifié SecNumCloud » | La qualification vise des services nommés : chez OVHcloud, trois services sont qualifiés, et AI Endpoints n'en fait pas partie. Lisez le catalogue de l'ANSSI |
| « Le cadre avec les États-Unis règle la question » | Confirmé en 2025, il est attaqué en appel devant la Cour de justice |
| « Souverain », sur une plaquette | Aucun cadre commun ne définit encore le mot dans l'Union : le projet de règlement sur le cloud et l'IA en propose un |
| « Les modèles européens sont en retard » | Ce relevé ne le mesure pas ; les classements, modèle par modèle : le marché des modèles |
Mise en place
Quelle couche compte, selon vos données
| Vos données | Le lieu du calcul et l'hébergeur | Le droit applicable |
|---|---|---|
| Textes publics, sans donnée personnelle | pèse peu | pèse peu |
| Documents internes | une offre d'équipe, sans entraînement | pèse peu |
| Données personnelles de clients ou de salariés | en Europe, sous-traitants connus | le RGPD, les transferts |
| Dossiers sous secret professionnel | en Europe, ou chez vous | le droit de l'hébergeur et de sa maison mère |
| Marché public qui exige SecNumCloud | le service qualifié, au catalogue | l'immunité exigée par la qualification |
Classer vos données
Ce qu'on fait : publiques, internes, personnelles, sous contrat ou sous secret ; la charte d'usage les range déjà.
Pour chaque classe, nommer la couche qui compte
Ce qu'on fait : des textes publics : peu ; des données personnelles : le lieu et le RGPD ; un contrat public ou un secret professionnel : le droit applicable, et SecNumCloud si le client l'exige (le secret professionnel).
Poser quatre questions au fournisseur
Ce qu'on fait : quel modèle, et de quel fabricant ; où tourne le calcul, et par quel point d'accès ; quels sous-traitants, de quels pays ; quelle société mère, et quel droit.
À vérifier : les réponses écrites, dans le contrat ou ses annexes : les questions à poser à un prestataire.
Vérifier à la source
Ce qu'on fait : le catalogue SecNumCloud de l'ANSSI pour le service exact ; la liste des sous-traitants du fournisseur ; ses pages sur le lieu des données.
À vérifier : le catalogue change : Scaleway et Bleu y sont encore en cours de qualification.
Régler le service
Ce qu'on fait : le point d'accès européen chez Mistral, la région chez l'hébergeur, les réglages de confidentialité de chaque outil (outil par outil).
Où faire tourner les outils, chiffré à l'euro
Les automatismes du cabinet tournaient sur un poste personnel, et échouaient six nuits sur huit sans que personne le sache. Un rapport a comparé deux hébergements sur les tarifs publics du jour, reproduit la cause des pannes et chiffré la bascule tâche par tâche. Le chiffrage complet a inversé sa première recommandation, et la seconde version le dit.
Coût par an des deux hébergements comparés
- La cible retenuesans aucun poste396 à 519 €
- L'autre hébergementcomparé dans le rapport1 156 à 1 279 €
Exercice
Un cabinet comptable de douze personnes veut un assistant sur ses dossiers clients ; l'un de ses clients, une collectivité, exige un hébergement souverain. Trois options : ChatGPT Business, Mistral Vibe Team, un modèle open weight chez Scaleway. Pour chacune, dites le fabricant, le lieu des données et le droit qui pourrait s'appliquer. Le cabinet est fabriqué pour l'exercice.
Voir la correction
ChatGPT BusinessFabricant américain, OpenAI ; données hors d'Europe, la résidence européenne étant réservée à l'offre Enterprise (les abonnements d'équipe) ; droit américain. Exclu pour le dossier de la collectivité.
Mistral Vibe TeamFabricant français ; données en Europe par défaut ; des sous-traitants américains, installés en Europe : demander à Mistral ce qu'il répond pour ce client, et si le service figure au catalogue SecNumCloud.
Un modèle open weight chez ScalewayLe fabricant ne voit rien ; calcul à Paris ; Scaleway se dit non soumise au CLOUD Act, et sa qualification SecNumCloud est en cours : à suivre, et à écrire dans le contrat.
Ce qu'on en tireDeux réponses selon les dossiers : un assistant d'équipe pour le travail courant, et pour la collectivité, un service dont la qualification est vérifiée au catalogue, ou rien.
Vérification
1ComprendreQuelles sont les trois couches d'un service d'IA, du point de vue de la souveraineté ?
Le fabricant du modèle, l'hébergeur qui le fait tourner, et le droit qui s'applique à vos données, celui du pays de l'hébergeur et de sa maison mère.
2ComprendreVos données sont hébergées en Europe par une société américaine. Sont-elles à l'abri du droit américain ?
Pas forcément : le CLOUD Act vise les données qu'un fournisseur américain contrôle, où qu'elles soient stockées ; Microsoft France n'a pas pu garantir le contraire devant le Sénat.
3AppliquerUn client public exige un hébergement souverain pour ses dossiers. Que vérifiez-vous ?
Que le service exact figure, qualifié, au catalogue SecNumCloud de l'ANSSI ; où tourne le calcul ; la liste des sous-traitants et le droit de la société mère ; puis que le contrat le dit.
Lectures suivantes
Rien avant : c'est un point de départ.
IA européenne et souveraineté
Choix des modèles · étape 9 sur 9
Les pages qui renvoient ici
Limites et sources
Ce que les hébergeurs et les fabricants disent d'eux-mêmes n'est pas audité ; le catalogue de l'ANSSI fait foi pour SecNumCloud.
L'état de la section 702 après septembre 2026 n'est pas connu ; l'appel sur le cadre avec les États-Unis est pendant.
Cette page n'est pas un avis juridique : pour un marché public ou un secret professionnel, voyez votre conseil.
- CLOUD Act ; FISA, section 702 ; Sénat, audition de Microsoft France ; Tribunal de l'Union, affaire Latombe ; ANSSI, catalogue SecNumCloud.
- Mistral AI, lieu des données ; Mistral AI, sous-traitants ; Scaleway, FAQ ; Microsoft, frontière de données ; AWS European Sovereign Cloud.
- Le relevé :
apprendre/recherches/2026-10-08-chine-europe.json; le tableau :apprendre/donnees/souverainete.json.
Écrit par Meridal, avec l'aide de l'IA ; chaque fait vérifié à sa source et relu avant publication. Texte et schémas sous licence CC BY 4.0 : reprenez-les en citant Meridal. Le code sous licence MIT.
Choisir un outil ou un abonnement
275 € à 850 €