Définition : qu'est-ce que la souveraineté IA ?
La souveraineté appliquée à l'intelligence artificielle désigne la capacité à maîtriser les systèmes que l'on utilise. Cette maîtrise se décompose en quatre questions concrètes.
- Où vos données sont-elles traitées et stockées ? C'est la dimension la plus visible, et la plus facile à vérifier dans un contrat.
- Quel droit s'applique au fournisseur ? La localisation des serveurs et la juridiction dont relève la société qui les exploite sont deux choses distinctes.
- Qui contrôle le modèle ? Ses poids sont-ils publics, son fonctionnement documenté, ses évolutions prévisibles ?
- Pouvez-vous partir ? C'est la réversibilité : récupérer vos données, vos documents indexés et vos paramétrages, dans un format exploitable.
Un service peut satisfaire la première question et échouer sur les trois autres. C'est le malentendu le plus fréquent.
Souveraineté et intelligence artificielle : de quoi parle-t-on exactement
Trois discours coexistent sous le même mot, et il est utile de les séparer.
La souveraineté industrielle désigne la capacité d'un pays ou d'un continent à concevoir et entraîner ses propres modèles, à disposer de la puissance de calcul nécessaire et des compétences pour le faire. C'est un enjeu d'État, pas d'entreprise.
La souveraineté juridique porte sur le droit applicable : à quelles obligations, et à quelles autorités, votre fournisseur est-il soumis ?
La souveraineté opérationnelle est la seule sur laquelle une organisation agit directement : qui accède à quoi, ce que vos équipes ont le droit de confier à un système, et votre capacité à changer d'outil.
Quand un éditeur annonce une offre souveraine, demandez-lui laquelle des trois il vise.
IA et souveraineté étatique
Au niveau des États, la question dépasse largement le choix d'un fournisseur. Elle porte sur la capacité à entraîner des modèles, donc sur l'accès aux processeurs spécialisés et aux supercalculateurs, sur la disponibilité de jeux de données dans sa propre langue, et sur la formation des ingénieurs capables de les concevoir.
Elle porte aussi sur la capacité à réguler. L'Union européenne a choisi la voie réglementaire avec le règlement sur l'intelligence artificielle, qui impose des obligations graduées selon le niveau de risque des systèmes. C'est une forme de souveraineté : définir les règles du marché plutôt que subir celles d'un autre.
Pour une entreprise, cet échelon a une conséquence pratique : les règles auxquelles vous serez soumis dépendent de l'endroit où vous opérez, pas de celui où votre fournisseur est installé.
Souveraineté des données et IA
C'est le point de contact le plus direct entre la souveraineté et votre quotidien. Trois mécanismes méritent d'être connus.
Le lieu de traitement. Une donnée peut être stockée en Europe mais traitée ailleurs, ne serait-ce que quelques millisecondes, au moment où le modèle formule sa réponse. Le contrat doit distinguer stockage et traitement.
La réutilisation pour l'entraînement. Vos contenus servent-ils à améliorer le modèle du fournisseur ? Les offres professionnelles l'excluent en général, les offres grand public rarement. C'est la différence la plus concrète entre les deux.
Les demandes d'accès par une autorité étrangère. Certaines législations permettent à un État d'exiger d'une entreprise relevant de sa juridiction l'accès à des données, y compris hébergées à l'étranger. La localisation seule ne protège pas de ce cas.
À cela s'ajoute le règlement général sur la protection des données, qui s'applique dès que des données personnelles sont concernées, indépendamment de toute considération de souveraineté.
Quels sont les principaux acteurs technologiques français qui promeuvent la souveraineté numérique en IA ?
L'écosystème français s'organise sur trois couches, qu'il vaut mieux ne pas confondre.
Les concepteurs de modèles. Mistral AI est le nom le plus connu, avec des modèles dont une partie est publiée en poids ouverts, ce qui permet de les héberger soi-même. LightOn travaille également sur des modèles destinés aux organisations.
Les hébergeurs et infrastructures. OVHcloud, Scaleway, Outscale, Cloud Temple, Numspot et Docaposte opèrent des infrastructures en France et proposent, à des degrés variables, des services d'hébergement de modèles.
Les outils d'évaluation et de gouvernance. Des acteurs comme Giskard travaillent sur l'évaluation et le test des systèmes, une brique nécessaire à la mise en conformité.
Ces positionnements évoluent vite. Vérifiez toujours l'état réel de l'offre au moment où vous consultez, plutôt que de vous fier à une liste, y compris celle-ci.
Comment choisir une solution d'IA respectant la souveraineté des données en entreprise ?
La démarche qui fonctionne part de vos données, pas du catalogue des fournisseurs.
- Recensez les usages déjà en place, y compris ceux qui passent par des comptes personnels. Rendre l'existant visible est le point de départ.
- Classez vos documents par conséquence de fuite, et non par sensibilité ressentie. Trois catégories suffisent : sans conséquence, gênant, grave.
- Écrivez la liste de ce qui ne sort pas. C'est le document le plus utile de la démarche, et il doit se lire en deux minutes.
- Choisissez l'architecture : un service prêt à l'emploi pour les usages sans enjeu, un modèle du marché branché sur vos propres documents pour la majorité des cas, un modèle auto-hébergé pour la minorité réellement sensible.
- Vérifiez la réversibilité par écrit avant de signer : format d'export, délai, coût.
Le modèle se choisit en dernier. C'est contre-intuitif, mais c'est ce qui évite de payer une protection dont vous n'avez pas besoin, ou d'en manquer là où elle compte.
Quelles plateformes cloud françaises offrent des services d'IA souverains ?
Plusieurs opérateurs français proposent aujourd'hui d'héberger ou d'exécuter des modèles sur leur infrastructure, avec des niveaux de garantie différents. Plutôt que de retenir des noms, retenez les trois questions qui les départagent.
- L'infrastructure est-elle qualifiée SecNumCloud ? C'est le référentiel de sécurité de l'ANSSI, l'agence nationale de la sécurité des systèmes d'information. La liste des prestataires qualifiés est publiée et tenue à jour par l'ANSSI : c'est la seule source qui fasse foi.
- Le service d'IA lui-même est-il couvert par cette qualification, ou seulement l'hébergement sous-jacent ? La distinction est fréquente et rarement mise en avant.
- Quels modèles pouvez-vous y exécuter ? Certaines offres se limitent à des modèles ouverts, d'autres donnent accès à des modèles commerciaux via des accords spécifiques.
Plateformes d'IA éthiques et transparentes développées en Europe
Transparence et éthique sont des mots faciles à afficher. Voici ce qui les rend vérifiables.
La publication des poids du modèle. Un modèle dit ouvert peut être téléchargé, exécuté et audité par des tiers. C'est le degré de transparence le plus fort, et plusieurs acteurs européens en publient.
La documentation technique. Le règlement européen impose une documentation aux fournisseurs de modèles à usage général. Sa qualité est un signal fiable.
L'évaluation indépendante. Un fournisseur qui publie des résultats d'évaluation menés par des tiers, y compris défavorables, en dit plus long qu'une charte éthique.
Méfiez-vous du raccourci qui associe automatiquement européen et éthique. L'origine géographique est un critère de souveraineté, pas une garantie de qualité ni de transparence.
Quels services d'IA souverains sont recommandés pour les administrations publiques en France ?
Pour le secteur public, le cadre est plus contraint que pour une entreprise privée, et c'est une bonne nouvelle : les critères sont écrits.
La doctrine d'usage du cloud par l'État oriente les administrations vers des offres qualifiées lorsque les données sont sensibles. La qualification SecNumCloud de l'ANSSI est la référence en la matière, et les centrales d'achat publiques proposent des marchés déjà cadrés.
Une administration qui s'interroge devrait donc partir de trois éléments : la doctrine applicable à son ministère ou à sa collectivité, la liste officielle des prestataires qualifiés, et les marchés existants. Ces trois sources évoluent, et elles priment sur toute recommandation générale, y compris celle d'un article.
Comment trouver un fournisseur cloud IA européen conforme aux normes nationales
Une méthode simple, dans cet ordre.
- Partez des listes officielles plutôt que des pages commerciales : la liste des prestataires qualifiés par l'ANSSI pour la sécurité, et les référentiels sectoriels s'il en existe pour votre activité.
- Distinguez la qualification de l'hébergeur de celle du service que vous allez réellement consommer.
- Demandez les trois engagements par écrit : lieu de traitement, non-réutilisation de vos contenus pour l'entraînement, conditions de réversibilité.
- Testez la sortie avant l'entrée. Demandez un export complet pendant la phase d'essai. Un fournisseur qui ne sait pas vous le fournir en essai ne saura pas davantage le faire trois ans plus tard.
Ce qu'il faut retenir
La souveraineté n'est pas une case à cocher chez un fournisseur, c'est une propriété de votre organisation. Un service parfaitement hébergé en France, utilisé sans règles d'accès par des équipes qui ignorent ce qu'elles ont le droit de lui confier, protège moins qu'un service étranger encadré par une politique claire et connue de tous.
Commencez par écrire ce qui ne doit pas sortir. Le reste en découle.