IA souveraine : les enjeux pour la PME
La question n’est pas idéologique, elle porte sur le droit applicable. Selon la CNIL, des données confiées à une entreprise soumise à un droit extra-européen peuvent faire l’objet de demandes d’accès par les autorités de ce pays. Elle juge ce risque le plus souvent limité, notamment pour les États-Unis, reconnus comme pays adéquat depuis le 10 juillet 2023. Pour les données les plus sensibles, comme les grandes bases de données de santé ou les données de mineurs, elle recommande en revanche un prestataire exclusivement soumis au droit européen.
Le repère français est la qualification SecNumCloud, délivrée par l’ANSSI aux prestataires de cloud. Sa version 3.2 ajoute des critères d’immunité aux lois extra-européennes : siège social dans l’Union, capital majoritairement européen, recours limité à des sous-traitants extra-européens ayant accès aux données, localisation des données dans l’Union. Héberger en France ne suffit donc pas à garantir cette immunité.
La souveraineté passe aussi par les modèles eux-mêmes. La Commission européenne présente l’IA open source comme un moyen de déployer de l’IA sans dépendre de modèles propriétaires. La CNIL, de son côté, juge un déploiement sur site plus sûr pour les données personnelles ou sensibles, au prix de compétences et d’infrastructures à mobiliser. Le RGPD s’applique dans tous les cas.
Notre réflexe tient en trois étapes : classer vos données en trois niveaux (publiques, internes, sensibles) ; réserver une solution souveraine au niveau sensible ; garder pour le reste des outils standards correctement paramétrés. Toutes les tâches n’exigent pas le même degré de maîtrise, et votre stratégie d’intelligence artificielle y gagne en lisibilité. Notre page sécurité détaille nos propres choix d’hébergement.
Exemple
Un fabricant d’équipements industriels de 70 personnes classe ses usages de l’IA. 85 % des requêtes portent sur des données publiques ou internes : rédaction commerciale, traduction, synthèse de réunions. Elles restent sur un assistant en cloud, avec comptes professionnels. Les 15 % restants concernent des plans couverts par des accords de confidentialité avec des clients : ils passent par un modèle ouvert hébergé sur un serveur interne, accessible à 12 ingénieurs.
Questions fréquentes
Une IA hébergée en France est-elle souveraine ?
Pas forcément. Si le prestataire dépend d’une société soumise à un droit extra-européen, les données peuvent rester exposées à des demandes d’autorités étrangères, même hébergées en France.
Faut-il une IA souveraine pour toutes les données de l’entreprise ?
Non. La CNIL juge le risque d’accès étranger le plus souvent limité et recommande une protection renforcée pour les données les plus sensibles. Classer vos données permet de réserver la solution souveraine à ce qui le justifie.
Qu’est-ce que la qualification SecNumCloud ?
C’est un référentiel de l’ANSSI qui qualifie des prestataires de cloud de confiance. Sa version 3.2 inclut des critères de protection contre les lois extra-européennes, et la qualification est valable trois ans, avec des audits annuels.
Un modèle open source suffit-il à rendre une IA souveraine ?
Il y contribue en évitant la dépendance à un éditeur, mais la souveraineté dépend aussi de l’endroit où il est hébergé et du droit applicable à l’hébergeur.
Sources
- Cloud : les risques d’une certification européenne permettant l’accès des autorités étrangères aux données sensibles, CNIL — consulté le 16 octobre 2026
- FAQ avant de se lancer dans la qualification SecNumCloud, ANSSI — consulté le 16 octobre 2026
- Europe’s Open-Source AI Landscape: A lever for Innovation and Sovereignty, Commission européenne — consulté le 16 octobre 2026
- Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative, CNIL — consulté le 16 octobre 2026
Auteur
Clément Marchal a fondé le Cabinet Flourens. Depuis 2017, dont cinq ans à faire tourner des équipes, notamment dans un environnement régulé par l'AMF, il voit la même chose : l'IA entre dans l'entreprise par les salariés, pas par la direction. Personne ne sait qui l'utilise, sur quelles données, ni ce qu'elle rapporte. Avec Ardoise, le Cabinet Flourens met cet usage en ordre en six semaines : la carte des usages, des règles acceptées, deux automatisations ou agents IA sur vos outils et le dossier qui prouve ce que l'entreprise a fait.
L'histoire du cabinetMode d'Emploi, la lettre
Une méthode par semaine pour reprendre la main sur votre organisation. Désinscription en un clic.