IA souveraine pour une PME : un tri de vos données, pas un choix tout ou rien

Une IA souveraine, pour une PME, c’est un outil d’IA qui passe quatre critères : il est exploité par une entreprise européenne, il traite vos textes en Europe, il relève du droit européen, et son éditeur ne réutilise pas vos textes pour entraîner son IA. Ce n’est pas un logiciel de plus à acheter : c’est une façon de trier vos données entre ce qui peut partir dans n’importe quel outil, ce qui doit aller chez un éditeur européen bien réglé, et ce qui ne sort jamais de l’entreprise.

Avant le tri, l’intérêt. L’IA aide une PME sur des tâches simples et quotidiennes : résumer un long échange de mails avant un rendez-vous, corriger ou traduire un courrier, préparer le premier jet d’une relance ou d’une offre. La CNIL range elle-même les résumés, les corrections et les traductions parmi les usages types de ces outils, dans ses recommandations pour déployer une IA générative du 18 juillet 2024. À mon sens, le gain vient de là, pas d’un grand projet.

Mon avis : la souveraineté ne compte pas pour tout, et elle ne protège pas toute seule.

• Elle ne change rien pour ce qui est déjà public. Un brouillon de post ou une fiche produit en ligne ne dit rien de confidentiel : n’importe quel outil convient.
• Elle compte pour vos informations sensibles : clients, salariés, prix, contrats. Celles-là vont dans un outil exploité par une entreprise européenne, qui ne réutilise pas vos textes.
• Elle ne suffit pas pour ce qui ne doit jamais sortir. Ces informations restent hors de l’IA, ou dans un système installé chez vous.

Deux faits datés justifient ce tri. Le 10 juin 2025, devant le Sénat, Microsoft France a dit ne pas pouvoir garantir que des données confiées par l’achat public ne seraient jamais transmises aux autorités américaines (détail plus bas). Et à l’inverse, un outil européen n’est pas protecteur par défaut : selon l’aide de Mistral, mise à jour le 31 août 2026, son assistant Vibe (le nouveau nom de Le Chat) se sert de vos échanges pour entraîner ses modèles, sauf si vous le désactivez ou si vous êtes en formule Enterprise.

Que veut dire « IA souveraine » pour une PME ?

Pour une PME, une IA est souveraine quand l’outil passe quatre critères : qui l’exploite (une entreprise européenne), où vos textes sont traités (en Europe), sous quel droit (le droit européen, dont le RGPD, le règlement européen sur les données personnelles) et ce que l’éditeur fait de vos textes (il ne les réutilise pas pour entraîner son IA). « Hébergé en France » ne répond qu’au deuxième critère.

1. Qui exploite l’outil

C’est ce que l’audition du Sénat du 10 juin 2025 a montré. Le rapporteur, Dany Wattebled, a demandé à Microsoft France de garantir « sous serment » que les données des citoyens français confiées à Microsoft via l’Ugap, la centrale d’achat public, ne seraient jamais transmises sur injonction du gouvernement américain « sans l’accord explicite des autorités françaises ». Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, a répondu : « Non, je ne peux pas le garantir, mais, encore une fois, cela ne s’est encore jamais produit. » Il a ajouté : « Lorsque nous sommes obligés de les donner, nous les donnons. Mais aucune des entreprises européennes qui figurent parmi nos clients n’a été concernée par un tel cas. » Le tout figure au compte rendu officiel de l’audition.

La raison tient dans une loi américaine, le Cloud Act, adoptée en mars 2018 selon le ministère américain de la Justice. Elle a ajouté au code fédéral américain un article 2713 : quand la loi américaine oblige un fournisseur de services en ligne à conserver ou à communiquer des données, cette obligation vaut pour celles qu’il détient ou contrôle, « que ces communications, registres ou autres informations se trouvent à l’intérieur ou à l’extérieur des États-Unis ». Un serveur à Paris exploité par une société soumise à cette loi reste donc concerné.

2. Où vos textes sont traités

Le lieu d’hébergement compte, mais il faut lire le détail. Même chez un éditeur européen, certaines fonctions peuvent faire sortir vos textes de l’Union : on le voit plus bas avec Mistral.

3. Sous quel droit

Scaleway, hébergeur français, l’écrit ainsi dans sa documentation sur la confidentialité de ses services d’IA : « En tant qu’entreprise européenne, les services d’IA de Scaleway ne sont pas soumis aux lois extraterritoriales comme le Cloud Act américain. » C’est l’affirmation de l’éditeur sur lui-même, à lire comme telle.

4. Ce que l’éditeur fait de vos textes

Ce critère se vérifie outil par outil. La CNIL demande de « déterminer dans quelle mesure le prestataire opérant le système est susceptible de réutiliser les données fournies au système d’IA, et adapter l’usage en conséquence ». Un outil peut cocher les trois premiers critères et rater celui-ci.

Comment les entreprises françaises utilisent-elles l’IA aujourd’hui ?

En 2025, 18 % des entreprises françaises de 10 salariés ou plus déclarent utiliser au moins une technologie d’intelligence artificielle, contre 10 % en 2024 et 6 % en 2023, selon l’enquête de l’Insee parue le 21 juillet 2026. L’usage grimpe avec la taille : 15 % sous 50 salariés, 31 % entre 50 et 249, 58 % à partir de 250. Les petites structures sont donc les moins équipées.

Chez les entreprises qui s’en servent, l’usage le plus courant est l’analyse automatique de textes écrits (56 %), devant l’IA qui rédige du texte ou de la parole (43 %) et celle qui produit des images, des vidéos ou du son (41 %).

Le frein qui compte ici est chiffré lui aussi. Parmi les entreprises qui utilisent déjà l’IA :

• 53 % disent manquer d’expertise ;
• 43 % ont des inquiétudes sur la protection des données et de la vie privée ;
• 42 % évoquent un manque de clarté juridique ;
• 33 % trouvent les coûts trop élevés.

Chez celles qui ne l’utilisent pas, la première raison est tout autre : 71 % n’en voient pas l’utilité. Viennent ensuite, pour 38 % d’entre elles chacun, l’incompatibilité avec leurs équipements, logiciels ou systèmes existants, les inquiétudes sur les données et le flou juridique. Une limite à garder en tête : ces chiffres ne couvrent pas les entreprises de moins de 10 salariés.

Ce que j’en retiens pour un dirigeant : l’inquiétude sur les données n’est pas un cas isolé, elle freine plus de quatre entreprises utilisatrices sur dix. À mon sens, un tri écrit y répond mieux qu’un changement d’outil fait à l’aveugle.

Quels sont les avantages réels et les limites d’une IA hébergée en Europe ?

Héberger en Europe ne suffit pas : un outil hébergé en Europe par une société américaine reste soumis au Cloud Act, comme on l’a vu plus haut. Les avantages ci-dessous valent pour un éditeur européen bien choisi, et tiennent en deux points : vos textes restent en Europe par défaut, et l’éditeur peut s’engager à ne pas les réutiliser. Les limites sont tout aussi nettes : il faut souvent le régler vous-même, certaines fonctions peuvent sortir de l’Union, les réglages les plus protecteurs sont parfois réservés aux formules entreprise, et aucun outil ne remplace une règle d’usage écrite pour votre équipe.

Ce que vous gagnez

• Un hébergement en Europe par défaut. L’aide de Mistral sur le stockage des données, datée du 12 août 2026, l’écrit : « Par défaut, vos données sont hébergées dans l’Union européenne. » Scaleway indique que les données personnelles de son offre d’IA peuvent être stockées dans la région suivante : Paris, France.
• Pas de réutilisation de vos textes, quand l’éditeur s’y engage. Scaleway écrit que vos données ne servent pas à entraîner, réentraîner ou améliorer les modèles de base, et qu’il applique par défaut une politique de « rétention zéro » : il ne garde que ce qui est nécessaire pour faire fonctionner le service. Chez Mistral, les clients Enterprise sont exclus de l’entraînement par défaut.
• Hors du Cloud Act, selon l’éditeur. C’est ce qu’affirme Scaleway pour ses services d’IA, comme cité plus haut.

Ce qui reste à votre charge

• Européen ne veut pas dire protecteur par défaut. Sur Vibe, l’aide de Mistral sur l’entraînement de ses modèles indique que vos questions et les réponses servent par défaut à entraîner ses modèles, avec la possibilité de vous désinscrire à tout moment. Autre piège : cliquer sur le pouce levé ou baissé et ajouter un commentaire autorise Mistral à utiliser l’échange, « quelle que soit la formule ». Sur Mistral Studio, une autre offre de Mistral, le mode gratuit permet aussi à Mistral d’utiliser vos données pour l’entraînement.
• Européen ne veut pas dire 100 % en Europe. Selon la même aide de Mistral sur le stockage, vos données peuvent, selon la fonction utilisée, être transférées temporairement hors de l’Union, vers les lieux listés dans l’onglet des sous-traitants de son centre de confiance. Et si vous choisissez vous-même le point d’accès américain de son API, vos données sont hébergées aux États-Unis. Mistral annonce des garde-fous : ses contrats avec les prestataires qui traitent des données personnelles hors de l’Union prévoient des garanties conformes à l’article 46 du RGPD, l’article qui encadre les transferts de données hors d’Europe. Les clients Enterprise peuvent désactiver, pour toute l’organisation, une partie de ces fonctions.
• Pas de zéro absolu non plus. Chez Scaleway, en cas d’erreur ou d’abus, le contenu complet des requêtes peut être conservé jusqu’à deux semaines pour diagnostic, et des données d’usage agrégées et anonymisées jusqu’à six mois. Un cache automatique, propre à chaque projet, ne peut pas être désactivé.
• La souveraineté ne remplace pas une règle d’usage. La CNIL demande d’« encadrer les usages en définissant une liste d’utilisations autorisées et interdites » et de former les utilisateurs. Elle rappelle aussi que ces outils peuvent produire des résultats inexacts qui paraissent pourtant plausibles. Cela vaut quel que soit l’hébergement. Pour l’écrire noir sur blanc, partez d’un modèle de charte IA pour l’entreprise.

Quelles données garder sous contrôle, et quelles tâches confier à l’IA ?

Gardez sous contrôle tout ce qui touche à une personne ou à un secret d’affaires : données clients, salariés, santé, prix, contrats. Confiez à l’IA le travail sur du texte sans enjeu, dans n’importe quel outil, et le travail sur du texte sensible, seulement dans un outil européen réglé. La CNIL demande depuis le 18 juillet 2024 de partir d’un besoin concret, de fixer des usages autorisés et interdits, et de privilégier des systèmes locaux et sécurisés.

Je conseille de tout ranger dans trois cases.

La troisième case s’appuie sur la CNIL, qui recommande de privilégier « le recours à des systèmes locaux, sécurisés et spécialisés ». La deuxième est ma lecture de son « à défaut » : quand l’outil n’est pas chez vous, vérifier ce que le prestataire fait de vos données et adapter l’usage. La CNIL va plus loin dans un exemple : elle cite « ne pas fournir de données personnelles au système » parmi les usages qu’une entreprise peut interdire. Si votre règle interne l’interdit, la case 2 se vide de ses données personnelles.

En pratique, la souveraineté compte pour :

1. les données clients (coordonnées, échanges, réclamations) ;
2. les données des salariés (entretiens, rémunérations, absences) ;
3. les données de santé, qui relèvent de la troisième case ;
4. les contrats, devis et grilles de prix.

Elle compte rarement pour les brouillons de posts, les textes déjà publiés ou les recherches générales.

Un scénario imaginé, pour voir le tri en action. Prenons un cabinet comptable de douze personnes. La chargée de communication écrit ses posts dans l’outil de son choix : case 1. Les collaborateurs résument les mails des clients et relisent les lettres de mission dans un assistant européen, entraînement coupé, boutons de notation jamais utilisés : case 2. Les bulletins de paie nominatifs, les arrêts maladie et les accès aux banques des clients ne passent dans aucune IA : case 3. Dans ce scénario, le cabinet ne change pas tout son parc d’outils : il écrit une règle d’une page.

« Vos équipes utilisent déjà l’IA, et personne n’a écrit la règle » : c’est le point de départ de la formation IA et RGPD, où l’on construit cette règle avec votre équipe. Le premier jour, on ouvre les réglages de deux ou trois outils utilisés chez vous, on cherche l’option d’entraînement sur vos échanges et on la coupe en direct quand elle existe. Le second jour, on définit avec vos mots trois niveaux, ce qui est public, ce qui reste interne, ce qui ne sort jamais (le niveau « interne » correspond à la case 2 de cet article) ; chaque participant classe cinq documents qu’il a apportés, la direction tranche les désaccords, et on associe à chaque niveau les outils autorisés, nommés un par un. Dix modules sur deux jours, soit 14 heures, de l’inventaire de vos usages à la charte tenue dans la durée : 2 750 € à distance, 3 400 € sur place, pour un groupe jusqu’à huit personnes. Ce n’est pas un conseil juridique : la formation porte sur l’usage et l’organisation.

Quels outils hébergés en Europe regarder pour une PME ?

Je recommande de regarder deux options européennes, selon l’usage. Pour un assistant prêt à l’emploi, sur le web ou sur mobile : Vibe, de Mistral AI, à condition de couper l’entraînement. Pour brancher l’IA dans vos propres logiciels : l’offre d’IA générative de Scaleway, hébergée à Paris, sans réutilisation de vos données selon l’éditeur. Pages des éditeurs lues le 12 octobre 2026.

Votre équipe veut un assistant pour écrire, résumer, traduire

Regardez Vibe, l’assistant de Mistral AI. C’est le nouveau nom de Le Chat : l’aide de Mistral écrit que « Vibe est le nouveau nom de ce que vous connaissiez sous le Chat », compte, abonnement et conversations conservés, et Mistral l’a annoncé le 28 mai 2026. Ce que dit l’éditeur : hébergement dans l’Union par défaut, entraînement sur vos échanges par défaut sauf désinscription, entraînement coupé par défaut en formule Enterprise. Avant de le confier à l’équipe :

1. Créez les comptes avec les adresses de l’entreprise, jamais des comptes personnels.
2. Désactivez l’entraînement sur vos échanges, pour chaque compte : Mistral indique qu’on peut s’en désinscrire à tout moment.
3. Demandez à l’équipe de ne jamais utiliser les pouces levés ou baissés : un retour avec commentaire autorise l’usage de l’échange, quelle que soit la formule.
4. Si la case 2 pèse lourd chez vous, regardez la formule Enterprise : l’entraînement y est coupé par défaut et réglé par un administrateur, et certaines fonctions qui font sortir les données de l’Union peuvent y être désactivées.

Vous voulez que l’IA travaille dans vos outils

Regardez les API d’IA générative de Scaleway. Une API, c’est une prise que votre développeur branche dans un logiciel métier, un outil de suivi client ou un site, pour que l’IA y travaille sans copier-coller à la main. Ce que dit l’éditeur : données stockées à Paris, rétention zéro par défaut (il ne garde que le nécessaire), aucune réutilisation pour entraîner les modèles, et aucun accès des créateurs des modèles à vos données. Ce n’est pas un assistant à ouvrir le matin : il faut un développeur, chez vous ou chez un prestataire, pour le brancher.

Ce qui ne doit jamais sortir

Aucun service en ligne, même européen, ne remplace la troisième case. Ces informations restent hors de l’IA, ou passent par un système installé sur vos propres machines, la voie que la CNIL recommande de privilégier.

Choisir entre ces voies, ou vérifier qu’un outil déjà payé chez vous passe les quatre critères, je le fais en tant que consultant IA indépendant pour choisir l’outil : je passe vos outils aux quatre critères et je vous dis lesquels garder pour la case 2. Et pour comprendre le moteur qui tourne derrière ces assistants, le grand modèle de langage (LLM), modèles français compris, voyez ce qu’est un LLM, expliqué simplement.

Sources

• Sénat, « Commission d’enquête sur la commande publique : audition de MM. Anton Carniaux et Pierre Lagarde, de Microsoft France », 10 juin 2025.
• Insee, « Les technologies de l’information et de la communication dans les entreprises en 2025. Le taux d’usage de l’intelligence artificielle multiplié par trois entre 2023 et 2025 », Insee Première n° 2120, 21 juillet 2026.
• CNIL, « Comment déployer une IA générative ? La CNIL apporte de premières précisions », 18 juillet 2024.
• Legal Information Institute (Cornell), « 18 U.S. Code § 2713 - Required preservation and disclosure of communications and records » (conservation et communication obligatoires des communications et des registres), article ajouté le 23 mars 2018 par la loi publique 115-141, lu le 12 octobre 2026.
• Ministère américain de la Justice, « CLOUD Act Resources » (ressources sur le Cloud Act), lu le 12 octobre 2026.
• Scaleway, « Data privacy » (page en anglais, confidentialité des données des API d’IA générative), lue le 12 octobre 2026.
• Mistral AI, « Where do you store my data or my organization’s data? » (page d’aide en anglais : où stockez-vous mes données ?), mise à jour le 12 août 2026.
• Mistral AI, « Do you use my user data to train your Artificial Intelligence models? » (page d’aide en anglais : utilisez-vous mes données pour entraîner vos modèles ?), mise à jour le 31 août 2026.
• Mistral AI, « Le Chat devient Vibe » (page d’aide), 12 août 2026, et « Vibe gets to work. » (annonce en anglais : Vibe se met au travail), 28 mai 2026.