--- title: "IA européenne et souveraineté" description: "Ce qui est européen dans un modèle : l'éditeur, l'hébergement, les données." url: https://meridal.fr/apprendre/ia-europeenne-et-souverainete/ language: fr written: 2026-10-08 verified: 2026-10-08 license: CC BY 4.0 --- [Apprendre](https://meridal.fr/apprendre/) › [Choix d'un modèle](https://meridal.fr/apprendre/dossier/modeles/) Comprendre · Niveau 1, Découvrir · 14 minutes # IA européenne et souveraineté « Souverain », « hébergé en France », « IA européenne » : trois promesses qui ne couvrent pas la même chose. Le fabricant du modèle, l'hébergeur qui le fait tourner, le droit qui s'applique à vos données ; ce que disent les textes américains et français, huit hébergeurs comparés, et les questions à poser avant de signer. Écrit le 8 octobre 2026 · Vérifié le 8 octobre 2026 ## Vous saurez - Distinguer le fabricant, l'hébergeur et le droit applicable - Savoir ce que le CLOUD Act et SecNumCloud changent pour vos données - Comparer les services qui font tourner des modèles en Europe - Poser les bonnes questions à un fournisseur qui se dit souverain ## Dans le parcours [Choix des modèles](https://meridal.fr/apprendre/parcours/modeles/) Étape 8 sur 9 - [← Avant La carte des acteurs de l'IA](https://meridal.fr/apprendre/acteurs-de-l-ia/) - [↓ Plus concret Une étude d'hébergement chiffrée](https://meridal.fr/realisations/hebergement-chiffre/) - [→ Ensuite Atelier : comparer trois modèles sur vos propres tâches](https://meridal.fr/apprendre/atelier-comparer-les-modeles/) Rappel de la page précédente Répondez de tête, puis ouvrez. [Les acteurs de l'IA](https://meridal.fr/apprendre/acteurs-de-l-ia/) **1 L'éditeur d'un assistant et le fabricant du modèle sont-ils toujours la même entreprise ?** Non. Copilot de Microsoft répond avec des modèles d'OpenAI et, selon les réglages, d'Anthropic ; Perplexity propose ceux de huit fabricants. **2 Un fournisseur vous dit que son outil est « développé en France ». Que demander ?** Quel modèle répond et de quel fabricant, où il tourne, ce que deviennent les textes envoyés, et ce qui se passe si le modèle est retiré. L'essentiel 1. Trois couches à séparer : le fabricant du modèle, l'hébergeur qui le fait tourner, et le droit qui s'applique à vos données. 2. La résidence n'est pas la juridiction : le CLOUD Act oblige un fournisseur américain à remettre les données qu'il contrôle, même stockées hors des États-Unis ; sous serment, Microsoft France n'a pas pu garantir le contraire. 3. Un modèle européen ne suffit pas : Mistral AI héberge vos données en Europe par défaut, et compte Microsoft et Google parmi ses sous-traitants, installés en Europe. 4. SecNumCloud, la qualification de l'ANSSI, porte sur un service précis : vérifiez qu'il figure au catalogue ; Scaleway et Bleu sont encore en cours de qualification. 5. Pour des textes sans données personnelles ni secret, un hébergeur européen suffit ; la couche du droit compte surtout pour les données personnelles, sous contrat ou sous secret. ## Problème Les mots se ressemblent et ne disent pas la même chose. « IA européenne » parle de celui qui a fabriqué le modèle ; « hébergé en France », du lieu des machines ; « souverain », de qui peut exiger vos données. Un dirigeant qui veut protéger des dossiers clients, ou répondre à un client public qui l'exige, doit savoir ce que couvre chaque promesse. - Qui a fabriqué le modèle, et d'où vient son comportement ? - Où tourne le calcul, et qui exploite les machines ? - Quel droit s'applique à vos données, et qui peut les exiger ? ## Principe ![Trois couches dans un service d'IA. Le fabricant du modèle, qui fixe ce que le modèle sait et comment il se comporte. L'hébergeur qui le fait tourner, qui voit passer vos demandes. Le droit qui s'applique à vos données, celui du pays de l'hébergeur et de sa maison mère, qui décide qui peut les exiger. Un modèle français chez un hébergeur américain : le droit américain peut s'appliquer ; un modèle chinois chez un hébergeur à Paris : rien ne part en Chine.](https://meridal.fr/assets/apprendre/medias/apprendre-souverainete.svg) Les trois couches se combinent librement. Un modèle open weight se télécharge et tourne chez l'hébergeur de votre choix : le fabricant ne voit alors plus rien de vos demandes ([open weight et modèles fermés](https://meridal.fr/apprendre/open-weight-et-modeles-fermes/)). L'hébergeur, lui, voit passer chaque demande, et c'est son droit, celui de son pays et de sa maison mère, qui dit qui peut l'obliger à remettre vos données. D'où la formule : la résidence n'est pas la juridiction. ## Fonctionnement Ce que disent les textes qui décident qui peut exiger vos données. | Texte | Ce qu'il dit | |---|---| | CLOUD Act, États-Unis | Un fournisseur américain de services de communication ou de cloud conserve ou remet les données qu'il a en sa possession, sous sa garde ou sous son contrôle, qu'elles soient stockées aux États-Unis ou ailleurs | | FISA, section 702 | Autorise pour un an la surveillance de personnes non américaines situées hors des États-Unis. L'autorisation de la loi a expiré le 12 juin 2026 ; la surveillance continue jusqu'au 17 mars 2027 sur les certifications de mars 2026 | | Cadre de protection des données entre l'Union et les États-Unis | Il permet d'envoyer des données personnelles aux entreprises américaines qui y adhèrent. Le Tribunal de l'Union l'a confirmé le 3 septembre 2025 ; l'appel est pendant devant la Cour de justice | | SecNumCloud, ANSSI | La qualification française des services de cloud, service par service ; selon Thales, sa version 3.2 compte parmi ses critères l'immunité aux lois extraterritoriales non européennes | | Microsoft France au Sénat, 10 juin 2025 | Sous serment, son directeur des affaires publiques et juridiques n'a pas pu garantir que des données confiées à Microsoft ne seraient jamais remises aux autorités américaines sans accord français ; Microsoft dit s'engager à contester les demandes infondées, et n'en avoir vu aucune toucher une entreprise ou un organisme public européen | Ce qui a bougé depuis 2025 1. 11 février 2025 · Union européenne InvestAI : 200 milliards d'euros à mobiliser pour l'IA, dont 20 milliards pour des gigausines 2. 26 février 2025 · Microsoft Frontière de données de l'Union achevée : Microsoft 365 et la plupart des services Azure stockés et traités dans l'Union et l'AELE 3. 9 avril 2025 · Union européenne Plan d'action pour un continent de l'IA ; treize usines d'IA en cours autour des supercalculateurs 4. 10 juin 2025 · Sénat Audition de Microsoft France, sous serment 5. 3 septembre 2025 · Tribunal de l'Union Le cadre de protection des données avec les États-Unis est confirmé ; appel le 31 octobre 6. 17 décembre 2025 · ANSSI S3NS, filiale de Thales sur technologie Google Cloud, qualifiée SecNumCloud jusqu'en 2028 7. 15 janvier 2026 · AWS European Sovereign Cloud ouvert dans le Brandebourg, exploité par des résidents de l'Union 8. 12 juin 2026 · États-Unis L'autorisation légale de la section 702 expire ; la surveillance continue jusqu'en mars 2027 9. 30 juillet 2026 · Union européenne Appel pour sept gigausines d'IA au plus, avec jusqu'à 10 milliards d'euros publics ; dix-huit États signataires, dont la France et l'Allemagne 10. Août 2026 · Mistral AI Points d'accès régionaux : le calcul en Europe ou aux États-Unis, au choix du client 11. 16 septembre 2026 · Aleph Alpha et Cohere Accord de rapprochement : la société commune s'appellera Cohere, avec deux sièges, Berlin et Toronto, sous réserve des autorités 12. 6 octobre 2026 · Mistral AI Mistral Large 4 en préversion publique ; une version open weight promise pour fin octobre *D'après les pages officielles et celles des entreprises, lues le 8 octobre 2026. L'état de la section 702 après septembre 2026 n'est pas connu.* ## Exemple détaillé Avant de regarder : un service hébergé en Europe par une société américaine échappe-t-il au droit américain ? Huit services qui font tourner des modèles en Europe Un avantage, déclaré par l'éditeur ou l'ANSSI À savoir Non relevé, ou non abordé | Outil et offre | Où tourne le calcul | SecNumCloud | Ce qu'il dit de vos données | Le droit américain | |---|---|---|---|---| | Mistral AI Le Chat et l'API, fabricant et hébergeur | Un avantage, déclaré par l'éditeur ou l'ANSSI : En Europe par défaut ; aux États-Unis avec le point d'accès américain | Non relevé, ou non abordé : Non relevé | À savoir : Parmi ses sous-traitants : Microsoft en Suède et en Norvège, Google aux Pays-Bas et en Belgique, CoreWeave, Mistral Compute | À savoir : Dit exploiter son déploiement européen de bout en bout, sous droit européen | | Scaleway Generative APIs | Un avantage, déclaré par l'éditeur ou l'ANSSI : À Paris, dans un centre de données d'OPCORE | À savoir : Qualification en cours | Un avantage, déclaré par l'éditeur ou l'ANSSI : Ne lit ni ne réutilise vos demandes ; les fabricants des modèles n'y ont pas accès | À savoir : Se dit non soumise au CLOUD Act, en société européenne | | OVHcloud AI Endpoints | Un avantage, déclaré par l'éditeur ou l'ANSSI : À Gravelines, en France | À savoir : Trois services qualifiés ; AI Endpoints n'en fait pas partie | Un avantage, déclaré par l'éditeur ou l'ANSSI : Données ni gardées ni partagées, pendant ou après l'usage | Non relevé, ou non abordé : Non abordé dans les pages lues | | Cloud Temple LLMaaS | Un avantage, déclaré par l'éditeur ou l'ANSSI : En France | Un avantage, déclaré par l'éditeur ou l'ANSSI : Sur une infrastructure qualifiée SecNumCloud et certifiée HDS | Non relevé, ou non abordé : Non relevé | Non relevé, ou non abordé : Non abordé dans les pages lues | | IONOS AI Model Hub | Un avantage, déclaré par l'éditeur ou l'ANSSI : En Allemagne seulement | Non relevé, ou non abordé : Non relevé | Un avantage, déclaré par l'éditeur ou l'ANSSI : Vos demandes exclues de l'entraînement | Non relevé, ou non abordé : Non abordé dans les pages lues | | STACKIT AI Model Serving, groupe Schwarz | Non relevé, ou non abordé : Non relevé | Non relevé, ou non abordé : Non relevé | Un avantage, déclaré par l'éditeur ou l'ANSSI : Ne garde pas vos demandes, et n'entraîne aucun modèle dessus | Non relevé, ou non abordé : Non abordé dans les pages lues | | Microsoft Microsoft 365 et Azure, frontière de données de l'Union | Un avantage, déclaré par l'éditeur ou l'ANSSI : Dans l'Union et l'AELE, pour Microsoft 365 et la plupart des services Azure, depuis février 2025 | À savoir : Non ; l'offre Bleu, sur technologie Microsoft, est en cours de qualification | À savoir : S'engage par contrat à contester les demandes infondées | À savoir : Sous serment, Microsoft France n'a pas pu garantir qu'aucune donnée ne serait remise aux autorités américaines | | AWS European Sovereign Cloud | Un avantage, déclaré par l'éditeur ou l'ANSSI : Dans le Brandebourg, en Allemagne ; premier modèle open weight : Gemma 4, de Google | Non relevé, ou non abordé : Non relevé | Un avantage, déclaré par l'éditeur ou l'ANSSI : Ne transmet pas vos demandes au fabricant du modèle ; rien gardé par défaut | À savoir : Exploité par des résidents de l'Union, sous des filiales allemandes | *D'après les pages des services, le catalogue SecNumCloud de l'ANSSI et l'audition de Microsoft France, lus le 8 octobre 2026. Ce que les services disent d'eux-mêmes n'est pas audité. « Non abordé » : les pages lues ne parlent pas du droit américain.* **Ce qu'on en retient.** Le lieu du calcul est en Europe pour les huit ; c'est la dernière colonne qui les sépare. Quatre pages seulement en parlent ; deux viennent de sociétés américaines, et aucune des deux n'y garantit l'immunité. Le détail des hébergeurs pour une application : [l'hébergement en Europe](https://meridal.fr/apprendre/hebergement-en-europe/). Fabricants Projets publics - **Mistral AI**, à Paris : 1,7 milliard d'euros levés en 2025, menés par ASML, puis 3 milliards en 2026, menés par Samsung, pour une valorisation de plus de 21 milliards ; Bpifrance, NVIDIA et le Luxembourg parmi les actionnaires, sans parts publiées. Mistral Large 4, en préversion depuis le 6 octobre 2026 : mille milliards de paramètres, dont 52 milliards actifs à chaque mot, entraîné dans ses propres centres européens selon Mistral. - **Aleph Alpha**, en Allemagne : rapprochement avec le canadien Cohere signé le 16 septembre 2026, sous réserve des autorités. - **Black Forest Labs**, à Fribourg et San Francisco : les modèles d'images FLUX ; 300 millions de dollars levés. - **LightOn**, coté à Paris : chiffre d'affaires en hausse de 54 % en 2025, porté par sa plateforme Paradigm. - **Pleias**, à Paris : Common Corpus, un corpus d'entraînement dont les droits sont vérifiés. - Signataires européens du code de bonnes pratiques des modèles d'usage général : Mistral AI, Aleph Alpha, Black Forest Labs, Pleias, LINAGORA, Almawave, Domyn, Dweve, Fastweb. - **OpenEuroLLM** : un modèle ouvert et multilingue financé par l'Union, 37,4 millions d'euros, vingt partenaires ; après un an, la puissance de calcul des modèles finaux reste à trouver. - **EuroLLM-22B** : un modèle ouvert pour les 24 langues officielles de l'Union et onze autres, entraîné sur le supercalculateur MareNostrum 5. - **Usines et gigausines d'IA** : dix-neuf usines et treize antennes déployées ; un appel pour sept gigausines au plus, lancé le 30 juillet 2026, qui attend 20 milliards d'euros d'investissement privé. - **Le projet de règlement sur le cloud et l'IA** : un cadre unique, dans toute l'Union, pour évaluer la souveraineté d'un service de cloud ou d'IA. ## Risques | On entend | En réalité | |---|---| | « Hébergé en Europe, donc à l'abri des lois américaines » | La résidence n'est pas la juridiction : le CLOUD Act vise les données qu'un fournisseur américain contrôle, où qu'elles soient | | « Un modèle français, donc souverain » | Le fabricant ne dit rien de l'hébergeur ni des sous-traitants : ceux de Mistral AI comptent Microsoft et Google | | « Qualifié SecNumCloud » | La qualification vise des services nommés : chez OVHcloud, trois services sont qualifiés, et AI Endpoints n'en fait pas partie. Lisez le catalogue de l'ANSSI | | « Le cadre avec les États-Unis règle la question » | Confirmé en 2025, il est attaqué en appel devant la Cour de justice | | « Souverain », sur une plaquette | Aucun cadre commun ne définit encore le mot dans l'Union : le projet de règlement sur le cloud et l'IA en propose un | | « Les modèles européens sont en retard » | Ce relevé ne le mesure pas ; les classements, modèle par modèle : [le marché des modèles](https://meridal.fr/apprendre/modeles/) | ## Mise en place Quelle couche compte, selon vos données | Vos données | Le lieu du calcul et l'hébergeur | Le droit applicable | |---|---|---| | Textes publics, sans donnée personnelle | pèse peu | pèse peu | | Documents internes | une offre d'équipe, sans entraînement | pèse peu | | Données personnelles de clients ou de salariés | en Europe, sous-traitants connus | le RGPD, les transferts | | Dossiers sous secret professionnel | en Europe, ou chez vous | le droit de l'hébergeur et de sa maison mère | | Marché public qui exige SecNumCloud | le service qualifié, au catalogue | l'immunité exigée par la qualification | *Repère de Meridal, pas une règle de droit. Disque plein : décisif ; demi-disque : à regarder ; cercle vide : pèse peu. Le fabricant du modèle ne compte pour vos données que si vous passez par son propre service : il est alors aussi l'hébergeur.* 1. Classer vos données **Ce qu'on fait :** publiques, internes, personnelles, sous contrat ou sous secret ; [la charte d'usage](https://meridal.fr/apprendre/charte-d-usage-de-l-ia/) les range déjà. 2. Pour chaque classe, nommer la couche qui compte **Ce qu'on fait :** des textes publics : peu ; des données personnelles : le lieu et le RGPD ; un contrat public ou un secret professionnel : le droit applicable, et SecNumCloud si le client l'exige ([le secret professionnel](https://meridal.fr/apprendre/secret-professionnel/)). 3. Poser quatre questions au fournisseur **Ce qu'on fait :** quel modèle, et de quel fabricant ; où tourne le calcul, et par quel point d'accès ; quels sous-traitants, de quels pays ; quelle société mère, et quel droit. **À vérifier :** les réponses écrites, dans le contrat ou ses annexes : [les questions à poser à un prestataire](https://meridal.fr/apprendre/choisir-un-prestataire/). 4. Vérifier à la source **Ce qu'on fait :** le catalogue SecNumCloud de l'ANSSI pour le service exact ; la liste des sous-traitants du fournisseur ; ses pages sur le lieu des données. **À vérifier :** le catalogue change : Scaleway et Bleu y sont encore en cours de qualification. 5. Régler le service **Ce qu'on fait :** le point d'accès européen chez Mistral, la région chez l'hébergeur, les réglages de confidentialité de chaque outil ([outil par outil](https://meridal.fr/apprendre/reglages-de-confidentialite/)). Réalisation · cabinet de cession d'une trentaine de personnes, 2026 Où faire tourner les outils, chiffré à l'euro Les automatismes du cabinet tournaient sur un poste personnel, et échouaient six nuits sur huit sans que personne le sache. Un rapport a comparé deux hébergements sur les tarifs publics du jour, reproduit la cause des pannes et chiffré la bascule tâche par tâche. Le chiffrage complet a inversé sa première recommandation, et la seconde version le dit. Écart par an entre les deux hébergements, au profit de la cible retenue : 760 euros Source : inventaire des réalisations de Meridal, d'après le rapport du 3 septembre 2026. Limite : la dépense en ligne réelle n'a pas pu être relevée, faute d'accès, et le rapport le dit. Coût par an des deux hébergements comparés 1. La cible retenue sans aucun poste 396 à 519 € 2. L'autre hébergement comparé dans le rapport 1 156 à 1 279 € *Chaque barre va du bas au haut de la fourchette, sur une échelle de 0 à 1 300 € par an ; tarifs publics relevés le jour du rapport.* [Lire la réalisation](https://meridal.fr/realisations/hebergement-chiffre/) ## Exercice Un cabinet comptable de douze personnes veut un assistant sur ses dossiers clients ; l'un de ses clients, une collectivité, exige un hébergement souverain. Trois options : ChatGPT Business, Mistral Vibe Team, un modèle open weight chez Scaleway. Pour chacune, dites le fabricant, le lieu des données et le droit qui pourrait s'appliquer. Le cabinet est fabriqué pour l'exercice. **Voir la correction** **ChatGPT Business**Fabricant américain, OpenAI ; données hors d'Europe, la résidence européenne étant réservée à l'offre Enterprise ([les abonnements d'équipe](https://meridal.fr/apprendre/abonnements-d-equipe/)) ; droit américain. Exclu pour le dossier de la collectivité. **Mistral Vibe Team**Fabricant français ; données en Europe par défaut ; des sous-traitants américains, installés en Europe : demander à Mistral ce qu'il répond pour ce client, et si le service figure au catalogue SecNumCloud. **Un modèle open weight chez Scaleway**Le fabricant ne voit rien ; calcul à Paris ; Scaleway se dit non soumise au CLOUD Act, et sa qualification SecNumCloud est en cours : à suivre, et à écrire dans le contrat. **Ce qu'on en tire**Deux réponses selon les dossiers : un assistant d'équipe pour le travail courant, et pour la collectivité, un service dont la qualification est vérifiée au catalogue, ou rien. ## Vérification **1 Comprendre Quelles sont les trois couches d'un service d'IA, du point de vue de la souveraineté ?** Le fabricant du modèle, l'hébergeur qui le fait tourner, et le droit qui s'applique à vos données, celui du pays de l'hébergeur et de sa maison mère. **2 Comprendre Vos données sont hébergées en Europe par une société américaine. Sont-elles à l'abri du droit américain ?** Pas forcément : le CLOUD Act vise les données qu'un fournisseur américain contrôle, où qu'elles soient stockées ; Microsoft France n'a pas pu garantir le contraire devant le Sénat. **3 Appliquer Un client public exige un hébergement souverain pour ses dossiers. Que vérifiez-vous ?** Que le service exact figure, qualifié, au catalogue SecNumCloud de l'ANSSI ; où tourne le calcul ; la liste des sous-traitants et le droit de la société mère ; puis que le contrat le dit. ## Lectures suivantes ↑ Plus général Rien avant : c'est un point de départ. ← Avant [La carte des acteurs de l'IA Comprendre · Niveau 1 · 10 minutes](https://meridal.fr/apprendre/acteurs-de-l-ia/) Vous êtes ici IA européenne et souveraineté → Ensuite [Atelier : comparer trois modèles sur vos propres tâches S'exercer · Niveau 2 · 60 minutes](https://meridal.fr/apprendre/atelier-comparer-les-modeles/) Choix des modèles · étape 9 sur 9 ↓ Plus concret [Une étude d'hébergement chiffrée Réalisation](https://meridal.fr/realisations/hebergement-chiffre/) [Tout le dossier « Choix d'un modèle »](https://meridal.fr/apprendre/dossier/modeles/) Les pages qui renvoient ici - [Les modèles chinois](https://meridal.fr/apprendre/modeles-chinois/) **Limites et sources** Ce que les hébergeurs et les fabricants disent d'eux-mêmes n'est pas audité ; le catalogue de l'ANSSI fait foi pour SecNumCloud. L'état de la section 702 après septembre 2026 n'est pas connu ; l'appel sur le cadre avec les États-Unis est pendant. Cette page n'est pas un avis juridique : pour un marché public ou un secret professionnel, voyez votre conseil. 1. [CLOUD Act](https://www.law.cornell.edu/uscode/text/18/2713) ; [FISA, section 702](https://www.law.cornell.edu/uscode/text/50/1881a) ; [Sénat, audition de Microsoft France](https://senat.fr/compte-rendu-commissions/20250609/ce_commande_publique.html) ; [Tribunal de l'Union, affaire Latombe](https://curia.europa.eu/site/upload/docs/application/pdf/2025-09/cp250106en.pdf) ; [ANSSI, catalogue SecNumCloud](https://messervices.cyber.gouv.fr/visas/catalogue-produits-services-profils-de-protection-sites-certifies-qualifies-agrees-anssi.pdf). 2. [Mistral AI, lieu des données](https://help.mistral.ai/en/articles/347629-where-do-you-store-my-data-or-my-organization-s-data) ; [Mistral AI, sous-traitants](https://trust.mistral.ai/subprocessors) ; [Scaleway, FAQ](https://www.scaleway.com/en/docs/generative-apis/faq/) ; [Microsoft, frontière de données](https://blogs.microsoft.com/on-the-issues/2025/02/26/microsoft-completes-landmark-eu-data-boundary-offering-enhanced-data-residency-and-transparency/) ; [AWS European Sovereign Cloud](https://press.aboutamazon.com/aws/2026/1/aws-launches-aws-european-sovereign-cloud-and-announces-expansion-across-europe). 3. Le relevé : `apprendre/recherches/2026-10-08-chine-europe.json` ; le tableau : `apprendre/donnees/souverainete.json`. Écrit par Meridal, avec l'aide de l'IA ; chaque fait vérifié à sa source et relu avant publication. Texte et schémas sous licence [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.fr) : reprenez-les en citant Meridal. Le code sous licence MIT. Service correspondant Choisir un outil ou un abonnement 275 € à 850 € [Voir le service](https://meridal.fr/offre/#choisir) ## Un premier échange de 30 minutes En visio et sans frais : vous décrivez votre situation, nous vous indiquons ce qui est réalisable, avec quels outils et pour quel ordre de prix. Vous pouvez aussi nous écrire ; chaque message reçoit une réponse écrite. [Réserver 30 minutes](https://meridal.fr/contact/#reserver) [Écrire un message](https://meridal.fr/contact/)