Pour une PME, une IA souveraine est une IA dont vous savez qui conçoit le modèle, où vos données sont stockées et traitées, et quelle loi s'applique à chaque entreprise de la chaîne. Le terme n'a pas de définition légale. Il recouvre trois questions distinctes, et un outil peut cocher l'une sans cocher les autres. Ce guide les sépare, avec les options européennes, leurs limites et ce que l'AI Act demande à une entreprise utilisatrice.

Que recouvre « IA souveraine » pour une entreprise ?

Derrière « IA souveraine » ou « IA européenne », un éditeur peut désigner trois choses.

  • Le modèle : qui l'a entraîné et qui le commercialise. Mistral AI, à Paris, conçoit ses propres modèles. Un outil français peut aussi utiliser un modèle américain.
  • L'hébergement : où se trouvent les serveurs qui stockent vos données et ceux qui font tourner le modèle. Ce ne sont pas toujours les mêmes.
  • La juridiction : quelle loi s'applique à l'éditeur de l'outil, à son hébergeur et au fournisseur du modèle, y compris à leurs maisons mères.

Pour une PME, la question utile est plutôt : « quelles données vont où, chez qui, et sous quelle loi ? ». La réponse change selon la fonction utilisée : le stockage de vos documents, la transcription d'une réunion et une question posée à l'assistant peuvent passer par trois prestataires différents.

Où sont les serveurs, et pourquoi cela ne suffit pas

Le Cloud Act

Le Cloud Act, voté aux États-Unis en 2018, impose à un fournisseur de services en ligne soumis au droit américain de communiquer les données qu'il a en sa « possession, garde ou contrôle » sur demande d'une autorité américaine, que ces données soient situées aux États-Unis ou ailleurs (présentation du Cloud Act par le ministère américain de la Justice). Un serveur à Francfort ou à Paris exploité par une entreprise américaine reste donc concerné.

Cela ne veut pas dire que vos données sont consultées : ces demandes visent des enquêtes précises. Mais si un client ou un contrat exige que les données échappent à toute loi non européenne, l'emplacement des serveurs ne suffit pas : il faut aussi regarder la nationalité de l'entreprise qui les exploite.

Ce que le RGPD encadre déjà

Le RGPD autorise les transferts de données personnelles vers les États-Unis sous conditions. Les entreprises américaines certifiées au Data Privacy Framework bénéficient d'une décision d'adéquation de la Commission européenne de juillet 2023, que le Tribunal de l'Union européenne a confirmée en septembre 2025. Les autres transferts reposent en général sur des clauses contractuelles types. Utiliser un outil américain n'est donc pas, en soi, contraire au RGPD.

SecNumCloud, pour les besoins les plus exigeants

En France, l'ANSSI délivre la qualification SecNumCloud aux offres cloud qui visent à protéger les données sensibles, y compris contre l'application de lois extraterritoriales. Elle s'adresse surtout aux administrations, aux opérateurs sensibles et à leurs sous-traitants. Pour une PME sans données sensibles, c'est un repère, pas une exigence.

Quels modèles et hébergeurs européens existent ?

Les modèles

  • Mistral AI (France) propose un assistant, Vibe (anciennement Le Chat), une API pour les développeurs et des modèles ouverts : la famille Mistral 3 est publiée sous licence Apache 2.0. Mistral indique héberger les données dans l'Union européenne par défaut, avec des transferts temporaires possibles selon les fonctions utilisées, et propose aussi un point d'accès aux États-Unis.
  • EuroLLM est un modèle ouvert entraîné en Europe par un consortium d'universités et d'entreprises, qui couvre les 24 langues officielles de l'Union. Sa version 22B a été présentée en décembre 2025. C'est une brique pour équipes techniques, pas un outil prêt à l'emploi.
  • Aleph Alpha (Allemagne) a signé le 16 septembre 2026 un accord de rapprochement avec le canadien Cohere. L'entité commune, qui prendra le nom de Cohere, aura deux sièges, à Berlin et à Toronto, sous réserve des autorisations réglementaires. L'exemple rappelle qu'une nationalité peut changer : la question mérite d'être reposée de temps en temps.

Les hébergeurs

Plusieurs hébergeurs européens font tourner des modèles ouverts dans leurs centres de données et les proposent par API. OVHcloud propose AI Endpoints, hébergé à Gravelines. Scaleway propose ses Generative APIs, hébergées à Paris. Les modèles disponibles chez eux ne sont pas tous européens : on y trouve aussi des modèles ouverts de Meta, d'Alibaba ou d'OpenAI. Quand un modèle ouvert tourne chez un hébergeur européen, l'entreprise qui l'a conçu ne reçoit pas vos données. Pour la confidentialité, c'est l'hébergeur qui compte.

Les limites à connaître

Un modèle européen chez un cloud américain

L'inverse est aussi vrai. Les modèles de Mistral sont disponibles sur Amazon Bedrock et sur Microsoft Azure. Un outil qui appelle Mistral par l'un de ces clouds utilise un modèle européen, mais ses requêtes sont traitées par une entreprise américaine. De même, un modèle américain hébergé dans une région européenne d'un cloud américain reste exploité par une entreprise soumise au droit américain. Demandez toujours par quel chemin passent les requêtes.

La qualité

Sur les tâches courantes d'une PME (rédiger, résumer, classer, traduire), l'écart entre les principaux modèles dépend souvent davantage de la consigne que du modèle. Sur certaines tâches, un modèle non européen fera mieux, et les classements évoluent tous les mois. La seule méthode fiable reste un essai sur vos propres documents. Nous avons détaillé cette démarche dans notre comparatif Mistral et ChatGPT pour les TPE.

Le coût et l'effort

Héberger soi-même un modèle ouvert demande des serveurs avec processeurs graphiques et des compétences techniques que peu de PME ont en interne. Pour une petite structure, passer par l'API d'un fournisseur européen, ou par un outil qui le fait pour vous, est en général plus réaliste.

Une chaîne de prestataires

Un logiciel s'appuie sur plusieurs sous-traitants (base de données, stockage, courriels, paiement, modèles d'IA), rarement tous européens. Leur liste, avec leur pays, est le document le plus utile.

Check-list : 8 questions à poser à un fournisseur

  1. Où sont stockées vos données, et où sont-elles traitées par l'IA ? Le stockage et le traitement par le modèle sont deux lieux distincts.
  2. Quelle est la nationalité de l'éditeur, de son hébergeur et de leurs maisons mères ? C'est elle qui détermine l'exposition au Cloud Act.
  3. Quels modèles d'IA l'outil utilise-t-il, et par quel chemin ? API du fournisseur du modèle, cloud américain ou hébergeur européen.
  4. Pouvez-vous choisir ou exclure des fournisseurs de modèles ? Et que perdez-vous en fonctionnalités si vous le faites ?
  5. Vos données servent-elles à entraîner des modèles ? La réponse doit figurer dans le contrat, pas seulement dans une page marketing.
  6. Existe-t-il un accord de sous-traitance (DPA) et une liste des sous-traitants à jour ? Avec un préavis en cas d'ajout d'un nouveau sous-traitant.
  7. Que fait l'éditeur s'il reçoit une demande d'accès d'une autorité étrangère ? S'engage-t-il à la contester et à vous prévenir quand la loi le permet ?
  8. Comment récupérer et supprimer vos données en fin de contrat ?

Où se place l'AI Act pour une PME utilisatrice ?

L'AI Act distingue les fournisseurs, qui conçoivent les systèmes d'IA, et les déployeurs, qui les utilisent dans le cadre professionnel. Une PME qui utilise un assistant ou un outil de transcription est déployeur. Le texte s'applique à tous les fournisseurs qui servent le marché européen, quelle que soit leur nationalité : il n'impose pas d'utiliser une IA européenne.

Le calendrier au 23 octobre 2026

D'après le calendrier publié par la Commission européenne :

  • 1er août 2024 : entrée en vigueur.
  • 2 février 2025 : interdiction de certaines pratiques et obligation de culture de l'IA (article 4).
  • 2 août 2025 : obligations des fournisseurs de modèles d'IA à usage général, comme Mistral, OpenAI ou Google.
  • 2 août 2026 : application générale, dont les obligations de transparence de l'article 50 et le contrôle de l'article 4 par les autorités.
  • 2 décembre 2027 : obligations des systèmes à haut risque dans des domaines comme l'emploi ou l'éducation. Cette date a été reportée par le règlement dit « omnibus numérique » sur l'IA, entré en vigueur le 27 juillet 2026.
  • 2 août 2028 : systèmes à haut risque intégrés à des produits réglementés, comme les jouets ou les ascenseurs.

Ce que cela change concrètement

  • Culture de l'IA : vous devez prendre des mesures pour aider votre équipe à comprendre les outils qu'elle utilise et leurs risques, par exemple les erreurs factuelles. Depuis l'omnibus, le texte n'impose plus de niveau précis. Une courte formation et quelques règles d'usage écrites suffisent souvent.
  • Transparence : si vous publiez des images, vidéos ou sons générés qui imitent des personnes ou des lieux réels, vous devez l'indiquer. Il en va de même pour un texte publié pour informer le public sur un sujet d'intérêt général, sauf s'il a été relu par une personne qui en assume la responsabilité éditoriale.
  • Haut risque : si vous utilisez l'IA pour trier des candidatures ou évaluer des salariés, des obligations supplémentaires s'appliqueront à partir du 2 décembre 2027. C'est le cas le plus probable pour une PME.

Un exemple : choisir ses modèles dans Omeon

Omeon, l'espace de travail que nous éditons, intègre des modèles d'Anthropic, de Google, de Mistral, d'OpenAI et de xAI. Les administrateurs de l'organisation choisissent les fournisseurs autorisés et peuvent se limiter aux modèles européens de Mistral. Chaque fournisseur est affiché avec le pays de son siège, en précisant que ce pays n'indique pas où les données sont hébergées ou traitées. La recherche dans vos documents passe par Mistral, hébergé dans l'Union européenne, pour les organisations créées depuis le 11 octobre 2026 et pour celles qui excluent OpenAI. La transcription des réunions utilise par défaut Voxtral, de Mistral, pour le français et Whisper, d'OpenAI, pour l'anglais ; une organisation qui exclut OpenAI reste sur Voxtral.

Omeon est hébergé en Europe, avec une base de données en France et des fichiers stockés dans l'Union européenne. Si votre organisation autorise des fournisseurs américains, les extraits nécessaires au traitement leur sont transmis. La liste complète des sous-traitants et de leurs pays figure dans notre politique de confidentialité.

FAQ

Mistral est-il une IA souveraine ?

Mistral AI est une entreprise française qui héberge les données dans l'Union européenne par défaut. Utilisé par son assistant Vibe ou son API européenne, il répond aux trois critères. Utilisé par un cloud américain, le modèle reste européen mais l'hébergement ne l'est plus.

Un hébergement en France suffit-il ?

Non, si l'hébergeur ou l'éditeur dépend d'une entreprise américaine : le Cloud Act s'applique quel que soit l'emplacement des serveurs. Vérifiez aussi la nationalité de l'éditeur et de ses sous-traitants.

L'AI Act oblige-t-il à utiliser une IA européenne ?

Non. Il s'applique de la même façon à tous les fournisseurs qui servent le marché européen. Pour une PME utilisatrice, il impose surtout la culture de l'IA et, dans certains cas, la transparence sur les contenus générés.

Faut-il arrêter d'utiliser ChatGPT ou Claude ?

Pas nécessairement. Pour des contenus peu sensibles, avec une offre professionnelle et l'entraînement désactivé, ces outils restent utilisables dans le cadre du RGPD. Réservez les fournisseurs européens aux données que vos clients ou votre secteur vous demandent de garder en Europe.