IA souveraine : de quoi parle-t-on vraiment ?

Le 12 juin 2026, l’accès à Claude Fable 5 a été coupé pour tous les utilisateurs situés hors des États-Unis. Le modèle venait d’être lancé trois jours plus tôt. La décision venait du Département du Commerce américain, au nom de la sécurité nationale. Elle a été levée dix-neuf jours plus tard.

Dix-neuf jours, c’est court. C’est assez pour rappeler une chose. L’accès à un outil sur lequel vos équipes travaillent ne dépend pas seulement de son éditeur. Il dépend aussi du pays où cet éditeur est installé.

Derrière cet épisode se cache une question beaucoup plus large : qu’est-ce qu’une IA souveraine ? Le terme est omniprésent, mais rarement expliqué concrètement. Essayons de le rendre utile.

Définition

L’IA souveraine désigne un système d’intelligence artificielle dont les données, les modèles, les algorithmes et les infrastructures sont maîtrisés par des acteurs européens ou nationaux.

L’acteur français le plus connu est Mistral AI. Mais il en existe d’autres, en France comme en Europe, nous le verrons plus loin.

L’objectif d’une IA française comme Mistral AI n’est pas seulement de « faire de l’IA en France » par chauvinisme ou patriotisme. Il est surtout de passer de la localisation à la possession ou au contrôle effectif :

• Données sous juridiction européenne

• Pas de lois extraterritoriales. Le Cloud Act américain, par exemple, autorise les autorités américaines à réclamer des données détenues par une entreprise américaine, où qu’elles soient hébergées.
• Continuité d’usage même en cas de blocage politique, comme lors de l’épisode Fable 5

Cette distinction entre localisation et contrôle est le cœur du sujet. Beaucoup d’offres commerciales s’arrêtent à la première. « Vos données sont hébergées en France » ne dit rien du droit applicable ni de qui détient les clés.

Les quatre piliers concrets

On distingue quatre piliers concrets quand on parle d’IA souveraine :

• Données : hébergées et traitées en UE. Conformité RGPD et IA Act. Pas de transfert non maîtrisé.
• Modèles : préférence pour les modèles open source, hébergés localement ou en cloud souverain. Un LLM, ou grand modèle de langage, est le moteur qui produit le texte. C’est la brique derrière ChatGPT, Claude ou Mistral.
• Infrastructures : GPU, stockage et réseau situés en France ou en UE. Idéalement qualifiés SecNumCloud 3.2, la qualification délivrée par l’ANSSI aux offres cloud jugées aptes à héberger des données sensibles, à l’abri du droit extraterritorial.
• Gouvernance et opérations : traçabilité des usages, pas de Shadow IA, capacité d’audit et de continuité, pilotage par une DSI.

Ces quatre piliers ne se valent pas. Les trois premiers se règlent avec un contrat. Le quatrième se règle avec de l’organisation, et c’est celui qui décroche le plus souvent. J’ai consacré un article complet au Shadow IA et à ses conséquences en entreprise.

Pourquoi la question se pose maintenant

L’épisode de juin 2026 illustre concrètement un risque qui, jusque-là, restait largement théorique. Le gouvernement américain n’a pas restreint une machine, il a restreint un logiciel nommé. Fable 5 et Mythos 5 ont été coupés aux utilisateurs non américains le 12 juin. Les restrictions sur Fable 5 ont été levées le 30 juin. Mythos 5 reste réservé à des organisations américaines validées par le gouvernement. Dans le même temps, GPT-5.6 a été réservé douze jours à une vingtaine d’organisations avant son ouverture au public.

Retenez le mécanisme plutôt que l’épisode. L’accès a été rétabli, mais il avait été suspendu sans préavis, et il l’est toujours pour l’un des deux modèles. Ce qui s’est joué avec les États-Unis peut se rejouer ailleurs.

L’IA Act s’applique par ailleurs de façon échelonnée : interdictions depuis février 2025, obligations sur les modèles à usage général depuis août 2025, régime général depuis le 2 août 2026. Il impose la traçabilité, la documentation et la supervision humaine.

Le point le plus problématique reste la dépendance aux GPU avancés. Ils sont conçus par Nvidia et fabriqués par TSMC à Taïwan. À ma connaissance, l’UE n’a rien à opposer à cette dépendance. C’est la limite honnête de tout ce qui suit. On peut relocaliser les données, les modèles et les datacenters. Pas encore les puces.

Mais tout n’est pas noir. La France a annoncé lors du sommet de Paris de février 2025 des investissements privés de 109 milliards d’euros dans l’IA, avec un focus sur les infrastructures de calcul. Ce sont des annonces étalées sur plusieurs années, pas un budget engagé, et on reste loin de la Chine ou des États-Unis. La volonté, elle, est là.

Ce qui existe en France et en Europe

Une distinction avant d’entrer dans le détail. Sur les LLM généralistes, Mistral n’a pas de véritable concurrent européen. Sur les usages spécialisés, l’écosystème européen est solide. Les deux constats sont vrais en même temps, et on les confond souvent.

La France compte aujourd’hui un acteur majeur avec Mistral AI. Son datacenter est situé à Bruyères-le-Châtel, en Essonne, exploité avec Eclairion : 44 MW et environ 13 800 puces Nvidia GB300, en service échelonné depuis le deuxième trimestre 2026. Un second site est prévu en Suède. Les puces restent signées Nvidia. Mais l’objectif de disposer de capacités d’entraînement et d’inférence souveraines demeure. Mistral a également des partenariats avec l’Allemagne pour l’administration publique.

Côté hébergement, plusieurs offres sont qualifiées SecNumCloud 3.2 ou en voie de l’être :

Prestataire	Statut SecNumCloud 3.2
Outscale	Qualifié
OVHcloud (certaines offres)	Qualifié
Scaleway	Qualifié
S3NS (PREMI3NS)	Qualifié (fin 2025)
Cloud Temple, Orange Business, Worldline, Cegedim, Oodrive…	Qualifiés
Bleu (Orange + Capgemini)	En cours de qualification (jalon J1 validé en novembre 2025)

Un point que peu d’articles précisent, et qui change tout au moment de signer. La qualification porte sur une offre précise, à une date précise, jamais sur une entreprise en général. Un prestataire peut être qualifié sur son infrastructure et pas sur ses services applicatifs. Demandez le périmètre exact, et vérifiez-le sur le site de l’ANSSI.

Le cas de Bleu illustre bien la nuance. La coentreprise est détenue à 100 % par Capgemini et Orange, mais elle fait tourner des technologies Microsoft. Le capital est français, la brique technique ne l’est pas. C’est exactement ce que la qualification a pour rôle de trancher, et elle n’est pas encore délivrée.

Concernant les LLM, Mistral AI reste de loin le plus visible et le plus avancé. Il n’est pas le seul en France :

Acteur	Spécialité	Ce que ça vaut pour une PME
LightOn	LLM privés, OCR, RAG, documents sensibles	Entreprise française cotée, positionnée sur les données sensibles. Le plus directement sollicitable.
Kyutai	Voix et dialogue vocal (Moshi)	Laboratoire parisien en open science. Pas un fournisseur, mais ses modèles sont réutilisables.
AMI Labs	Modèles du monde physique	Fondé à Paris par Yann LeCun fin 2025, 1,03 milliard levé en amorçage. Rien d’exploitable avant plusieurs années.
Dust, Photoroom, H Company, Noota…	Agents, image, comptes rendus	Applicatifs et verticalisés. Ce sont ceux que vos équipes utilisent déjà, souvent sans que vous le sachiez.

La dernière ligne est la plus importante pour vous. Le débat public porte sur les modèles de fondation. La réalité des PME se joue sur les outils applicatifs, qui s’installent sans passer par la DSI.

L’Europe n’est pas en reste. Black Forest Labs, basé à Fribourg, produit les modèles d’image FLUX, souvent cités comme la meilleure alternative européenne à Midjourney. DeepL, également allemand, reste la référence de la traduction neuronale de haute qualité.

Le cas d’Aleph Alpha mérite qu’on s’y arrête. Ce champion allemand de la souveraineté est passé sous contrôle du canadien Cohere en avril 2026, avec le soutien affiché des deux gouvernements. On peut y voir une alliance transatlantique face aux géants américains. On peut aussi constater qu’un acteur présenté comme européen ne l’est plus tout à fait.

Dernière précision, rarement faite. ElevenLabs, Synthesia et Wayve figurent dans la plupart des listes d’acteurs européens. ElevenLabs a son siège social à New York. Synthesia et Wayve sont britanniques, donc hors Union européenne et sous un régime d’adéquation distinct. Ce sont d’excellents produits. Ce ne sont pas des réponses au problème de juridiction.

Ce que ça change pour vous

Pour un dirigeant de TPE ou PME, la souveraineté n’est pas un débat abstrait. C’est une question de maîtrise du risque, et elle se traite avant le choix de l’outil.

Vérifiez la juridiction, pas seulement l’hébergement. La bonne question n’est pas « où sont mes données », mais « quelle entreprise, soumise à quel droit, y a légalement accès ». Un serveur à Roubaix opéré par la filiale d’un groupe américain reste dans le périmètre du Cloud Act. L’information figure dans vos conditions contractuelles, à la section transferts et sous-traitants.

Réservez SecNumCloud à ce qui le mérite. Ces offres coûtent plus cher et sont moins riches en fonctionnalités. Elles se justifient pour les données de santé, RH, clients ou contractuelles. Pas pour votre site vitrine. Faites le tri d’abord, vous saurez ensuite quel budget engager.

Cadrez les usages avant de choisir un modèle. Le Shadow IA, c’est-à-dire les outils adoptés sans validation, rend caduque toute stratégie de souveraineté décidée par ailleurs. Une règle écrite en une page sur ce qui ne se colle jamais dans un outil grand public vous protège davantage qu’un changement de fournisseur.

Gardez une porte de sortie. Un modèle peut devenir indisponible sans préavis, l’épisode de juin l’a montré. Si un usage est critique pour votre activité, sachez par quoi vous le remplacez.

Reste une idée à déplacer, et c’est peut-être la seule à retenir. La souveraineté ne se joue pas au niveau du modèle. Un modèle français hébergé chez un prestataire soumis au droit américain ne vous protège pas. Un modèle américain en open source, installé sur vos propres serveurs, vous expose beaucoup moins.

La question n’est pas de savoir si votre IA est française. C’est de savoir quel droit s’applique à vos données, et qui, chez vous, en répond.