#20 - Souveraineté, le mot creux qu'on va essayer de décoder avant de tout débrancher

La situation

On te vend du « souverain » partout, sans jamais t'expliquer ce que le mot recouvre. Je suis, moi-même, perdue !

Ton éditeur bureautique t'assure que tes données sont « en Europe ». Un outil d'IA français te promet la souveraineté. Ta DSI évoque le CLOUD Act sans vraiment l'expliquer, un prestataire te vante un hébergement « qualifié SecNumCloud ». Tu hoches la tête, et tu te demandes ce qui se joue vraiment derrière tout ça : es-tu exposé, prends-tu des risques, réponds-tu bien à toutes tes obligations ?

J'accompagne des entreprises de tailles et de politiques très différentes, et ce sujet est au cœur du réacteur. Des DSI ou des comex peuvent tout bloquer par peur de voir les données sortir. En attendant, la transformation par l'IA et les gains qui vont avec n'arrivent pas, et l'entreprise prend du retard.

Ce que je voulais : cocher une case. Choisir une IA française, et ne plus avoir à caviarder mes documents avant de les lui confier. Le caviardage ne marche pas : la plupart du temps, l'IA devine quand même de qui et de quoi on parle. Et il repose sur la vigilance de chaque utilisateur, avec des oublis qu'on connaît tous.

Ce que j'ai trouvé : une question bien plus complexe que prévu, pleine de nuances, ni noire ni blanche. Selon la taille de ton entreprise et les interlocuteurs qui la composent, les réactions et les trajectoires changent du tout au tout. Je n'ai pas fini de creuser le sujet, je te partage mes premières découvertes. Un lecteur aguerri les trouvera sûrement basiques : j'ai voulu en faire un outil d'aide à la décision pour les dirigeants qui ne sont pas spécialistes du sujet.

L'enjeu pour le dirigeant

Derrière le mot souveraineté, je vois deux questions.

1. Qui peut lire tes données ? C'est une question de droit. Depuis 2018, le CLOUD Act oblige les sociétés soumises au droit américain à remettre à la justice des États-Unis les données qu'elles détiennent, même stockées en Europe. Un serveur de Microsoft à Paris n'y échappe pas : c'est la nationalité de la société qui garde tes données qui décide. La Chine va plus loin : sa loi sur le renseignement de 2017 oblige toute organisation à coopérer avec ses services, y compris hors de Chine (Sénat, juillet 2023). Ce que tu confies à DeepSeek en ligne est donc à sa portée.
2. Qui peut couper ton accès ? C'est une question de dépendance. Le 12 juin 2026, Anthropic, l'éditeur de Claude, a dû suspendre l'accès à deux de ses modèles pour se conformer à des contrôles à l'export décidés à Washington. L'accès a été rétabli le 1er juillet (France 24, 13 juin 2026). Les entreprises qui en dépendaient ont perdu un outil de travail pendant près de trois semaines, sans que leurs données soient en cause.

La première question concerne tes secrets, la seconde ta continuité d'activité, et un même outil peut bien répondre à l'une et mal à l'autre.

Selon ta place, l'enjeu ne se pose pas pareil :

• Si tu diriges une TPE ou une PME, tes documents sont souvent chez Microsoft ou Google, et ton CRM chez HubSpot ou Salesforce, sur des serveurs en Europe ou aux États-Unis selon la façon dont tes comptes ont été ouverts. Certaines PME sont déjà très cadrées, certifiées ISO 27001 par exemple, et ont déjà posé leurs règles. D'autres n'ont jamais eu à se poser la question, jusqu'au jour où un client demande où partent ses données quand l'équipe les fait analyser par l'IA.
• Si tu diriges une ETI, tes clients régulés, tes appels d'offres ou ton board poseront la question avant toi. La réponse engage ta trajectoire sur plusieurs années. Tu dois prendre des décisions engageantes.
• Si tu diriges un métier dans un grand groupe, tu connais sans doute l'une de ces trois situations. Tes équipes utilisent déjà des assistants, souvent sans cadre : lesquels, et chez qui partent les extraits de documents qu'elles y collent ? Ou la DSI a déployé une IA qui n'est branchée sur rien et ouverte à peu de monde, donc qui ne sert à rien. Ou elle a tout coupé après une fuite de données sensibles.

Le cas testé, ce qu'on en retient

J'ai cartographié la chaîne des outils les plus cités par les dirigeants que j'accompagne et que je rencontre, en lisant les listes de sous-traitants et les pages de sécurité des éditeurs. J'en ai sûrement oublié. J'en ai tiré une grille.

Trois choses qu'on confond

• Des serveurs physiquement en Europe. Tes données ne quittent pas l'Union, ce qui simplifie ta conformité au RGPD sans la garantir à elle seule : il faut toujours un contrat de traitement des données avec l'éditeur. Microsoft et Google le font pour leurs clients européens. Ça ne règle rien face au CLOUD Act, puisque la société reste américaine.
• Un hébergeur dont la société est européenne. OVHcloud, Scaleway, Outscale, NumSpot, Mistral Compute. Le CLOUD Act ne s'applique pas à eux. Pour obtenir leurs données, la justice américaine doit visiblement passer par un accord d'entraide entre États.
• La qualification SecNumCloud de l'ANSSI. C'est un label de sécurité auditée, exigé par l'État, la Défense, les opérateurs d'importance vitale et certains appels d'offres. Il vient en plus de la nationalité de l'hébergeur, comme la certification HDS pour les données de santé.

Trois briques, souvent plus de trois sociétés

Quand tu utilises l'IA sur tes documents, trois briques entrent en jeu, et chacune est tenue par une ou plusieurs sociétés.

• Là où vivent tes documents : ta bureautique, mais aussi ton CRM, qui contient à la fois tes contacts, tes devis et tes contrats, ta messagerie, tes outils de partage. Souvent plusieurs éditeurs.
• L'assistant que tes équipes utilisent : le logiciel qui va chercher les passages utiles dans tes documents et prépare la question (ChatGPT, Claude, Copilot, Dust, Mistral Vibe…).
• Le modèle qui rédige la réponse : le moteur d'IA lui-même (GPT, Claude, Mistral…). C'est parfois la même société que l'assistant, parfois une autre.

Chacun de ces logiciels tourne soit sur tes propres serveurs (on dit « on site / on premise »), et personne d'autre n'en a la garde, soit chez un hébergeur (Microsoft Azure, Google Cloud, OVHcloud…), qui en a alors la garde lui aussi. Ta protection réelle est celle du maillon le plus exposé des toutes tes briques. Une IA très protégée qui lit des documents stockés chez Microsoft protège ce que l'IA lit et produit, pas les documents eux-mêmes. Selon ce que tu cherches à protéger, ça peut suffire, ou ressembler à une porte blindée posée sur une tente.

ChatGPT, Claude, Copilot, Dust, Delos, Mistral Vibe : tous peuvent aller lire tes documents pour donner de meilleures réponses. Concrètement, l'outil fouille ton SharePoint ou ton Drive, copie les passages utiles et les envoie, avec ta question, au modèle qui rédige la réponse. On appelle ça le RAG. Des extraits de tes documents partent donc chez la société qui fait tourner ce modèle : c'est elle qu'il faut identifier.

Ce que montre ce tableau : en abonnement, aucun de ces six outils n'échappe aujourd'hui au droit américain. ChatGPT, Claude et Copilot parce que leurs éditeurs sont américains, même quand les données restent en Europe ; Dust et Mistral Vibe parce qu'ils tournent en tout ou partie sur des clouds américains ; Delos parce que les passages de tes documents partent vers des modèles américains. Être une société française ne suffit pas : il faut regarder où tourne l'outil et à quel modèle il envoie ces passages.

Ma grille pour m'y retrouver : quatre niveaux

Pour ranger tout ça, j'ai construit ma propre grille, du plus exposé au plus protégé. Ce n'est pas une norme : je l'ai imaginée pour m'y retrouver, tout y est discutable, et tes objections m'intéressent. Elle repose sur la première question, qui a la garde de tes données, et sur la règle du maillon le plus exposé.

Toute entreprise dont les documents sont chez Microsoft ou Google part en général du niveau 2, et du niveau 1 si ses données sont stockées hors d'Europe, aux États-Unis par exemple. Ce niveau, l’entreprise l'a choisi en signant ses licences bureautiques, parfois sans y penser. Ce n'est pas pour autant la porte ouverte : Microsoft s'est engagé à contester toute demande d'un gouvernement portant sur les données de ses clients entreprises quand il a une base légale pour le faire, et à indemniser les utilisateurs si une divulgation violait le RGPD (Microsoft, « Defending your data »). Le risque existe (surtout en ce moment !) mais il n'est pas automatique. Pour atteindre le niveau 4, il faut aussi changer de bureautique : quitter Microsoft ou Google pour une suite dont aucune société américaine n'a la garde. C'est un vrai chantier. Les voies ne manquent pas, mais je ne les ai pas testées. Des suites collaboratives françaises qualifiées SecNumCloud, comme Wimi (Clubic, 3 juin 2026) ou Whaller DONJON, hébergé chez OVHcloud (Whaller). Des suites open source comme Nextcloud, proposée en abonnement par l'hébergeur IONOS sur des serveurs en Allemagne (IONOS, consulté le 12 octobre 2026). Et les « clouds de confiance », où une société française exploite la technologie d'un géant américain : S3NS (Thales et Google Cloud) est qualifié SecNumCloud depuis décembre 2025, Bleu (Orange et Capgemini, technologie Microsoft) vise sa qualification pour la fin de l'année, et la partie Microsoft 365 viendra dans un second temps (Next, 9 octobre 2026).

Le niveau 3, c'est le souhait actuel de beaucoup de dirigeants : protéger ce que l'IA voit passer sans avoir à refaire sa bureautique. Tu gardes tes outils et tes habitudes, et tout ce que l'IA voit passer reste en Europe : tes questions, les passages de documents qu'elle lit, les réponses qu'elle rédige. Aucune société américaine dans la boucle de l'IA.

Mais le niveau 3 ne s'achète pas encore en abonnement, il s'assemble. Dust et Mistral Vibe en abonnement tournent sur des clouds américains. Un outil open source comme LibreChat, installé chez un hébergeur européen et branché sur les modèles de Mistral servis à Paris par Scaleway, y parvient visiblement. Il faut quelqu'un pour l'installer, le relier à tes documents et le maintenir (LibreChat, Scaleway, vérifiés le 12 octobre 2026). Et c'est là que le bât blesse pour un dirigeant de PME qui n'a ni budget développeur ni équipe technique interne.

Le modèle, lui, n'a pas besoin d'être européen, à condition d'être ouvert. Un modèle ouvert, c'est un modèle dont l'éditeur publie le fichier lui-même : n'importe quel hébergeur peut le télécharger et le faire tourner sur ses propres serveurs, sans plus jamais passer par l'éditeur. Quand Scaleway fait tourner à Paris un modèle chinois comme GLM, DeepSeek ou Qwen, tes questions restent chez Scaleway : l'éditeur chinois ne les voit pas, il ne sait même pas que tu l'utilises (Scaleway, consulté le 12 octobre 2026). C'est tout l'inverse de l'application DeepSeek, qui envoie tes données en Chine.

La limite de ce cas : je cherchais un outil clé en main, du type Dust, que j'aurais pu brancher sur mes documents sans développeur, avec des serveurs et un hébergeur européens. Je ne l'ai pas trouvé. L'assemblage avec LibreChat, je l'ai vérifié sur les documentations, sans le monter moi-même. Je n'ai pas non plus chiffré ce que coûterait un développeur pour le mettre en place.

Pour essayer de m'y retrouver, j'ai construit un simulateur. Je te le présente à la fin de cet article : en quelques minutes, il place ta propre entreprise sur cette grille.

Mes erreurs, pour que tu ne les refasses pas

J'ai cru en un Mistral souverain. J'ai confondu outil français et données protégées : un éditeur européen qui loue ses serveurs à un cloud américain te laisse au niveau 2. Mistral Vibe en abonnement, par exemple, tourne sur des serveurs de Microsoft, de Google et de CoreWeave, en plus des siens en France, sans que le client choisisse (liste des sous-traitants de Mistral, consultée le 6 octobre 2026). La seule question qui tranche, à poser à chaque éditeur : « sur quel cloud tournent vos serveurs, et est-ce garanti par contrat ? ».

J'ai cru que choisir la région Europe suffisait. Dans mes premières versions, je citais Dust avec Mistral comme exemple du niveau 3. Or Dust tourne sur Google Cloud, même quand on choisit l'Europe à la création du compte. La région change l'adresse du serveur, pas le propriétaire du cloud.

J'ai oublié le CRM. Je ne regardais que la bureautique. La leçon vaut au-delà du CRM : dans ce genre d'analyse, il est très facile d'oublier une brique. Il faut vraiment tout regarder, bureautique, messagerie, CRM, outils de partage, et les assistants que les équipes ont adoptés seules. Ton CRM contient tes contacts, tes devis, tes contrats et tes marges : c'est le seul outil où données personnelles et données stratégiques vivent ensemble. Les CRM européens que j'ai vérifiés (Brevo, Attio, folk) tournent eux aussi, en tout ou partie, sur des clouds américains.

Avant de choisir quoi que ce soit, cinq questions

• Si un client te demandait demain où partent ses données quand ton équipe les fait analyser par l'IA, que lui répondrais-tu ?
• Si ton entreprise est certifiée ISO 27001, tes outils d'IA figurent-ils dans ton analyse des risques fournisseurs ? La norme demande d'évaluer les risques d'un service cloud avant de s'y engager, et de les faire accepter par la direction.
• Si ton outil d'IA était coupé trois semaines, quel processus dans ton entreprise s'arrêterait le premier ?
• Si tu visais la Défense, le secteur public ou un acheteur allemand dans deux ans, ce que tu construis aujourd'hui tiendrait-il ?
• Et toi, accepterais-tu qu'une société américaine ait la garde de ta R&D ou de ta stratégie ?

Ce que je voulais et ce que j'ai en vrai

Je voulais cocher une case. Choisir une IA française et ne plus avoir à caviarder mes documents.

En vrai, il n'y a pas de case à cocher. Une IA française peut tourner sur des serveurs américains, et l'endroit où sont stockés tes documents compte autant que l'IA que tu choisis. Je n'ai pas tout résolu, mais je sais maintenant quelle question poser à chaque éditeur, et je peux dire à mes clients où partent leurs données.

Ce que je n'ai pas trouvé : un outil clé en main de niveau 3, c'est-à-dire un abonnement que l'on branche sur ses documents sans développeur, et dont l'outil comme le modèle tournent chez des hébergeurs européens. Aujourd'hui, garder en Europe tout ce que l'IA lit et produit demande un assemblage, avec quelqu'un pour le monter. Une offre française managée, NumSpot avec Mistral, a été annoncée le 15 septembre 2026 (NumSpot) ; périmètre, prix et date ne sont pas publiés.

Alors pour essayer d’y voir plus clair dans ce grand bazar, dans la partie payante, je te donne le simulateur que j'ai construit. Tu y décris tes outils, tes clients, tes marchés et ce que tu veux faire avec l'IA. En retour, il te dit à quel niveau tu es vraiment, ce que tes clients et tes marchés pourraient attendre de toi, quel maillon te fait décrocher, les questions à te poser, et celle à poser à chaque éditeur avant de signer quoi que ce soit. De quoi avoir ta réponse prête le jour où un client te demandera où partent ses données. Mais attention ce n’est pas exhaustif. Ce n’est pas un conseil juridique. C’est une analyse à un moment déterminée pour essayer d’y voir plus clair.