Souveraineté des données : vos serveurs sont en France, pas votre juridiction

En juin 2025, devant une commission d’enquête du Sénat français, le directeur des affaires publiques et juridiques de Microsoft France déclare qu’il ne peut pas garantir que des données de citoyens français, hébergées en France, ne seront jamais transmises aux autorités américaines, même sans l’accord des autorités françaises.

Il dit vrai, et son statut ne lui permettait pas d’autre réponse. Aucune filiale européenne d’un groupe américain ne peut promettre l’inverse, où que se trouvent ses serveurs.

Deux notions se confondent dans la plupart des comités : la localisation des données et la souveraineté sur ces données. Vous vérifiez la première sur une carte. La seconde dépend du droit applicable à l’entreprise qui détient les clés de chiffrement.

L’IA générative fait passer cet écart du théorique à l’opérationnel, pour une question de volume : en quelques mois, une entreprise qui déploie ces outils fait sortir plus de matière sensible que dix ans de messagerie.

Le trajet réel d’une requête

Beaucoup d’entreprises se croient à l’abri parce qu’elles ont souscrit une offre professionnelle plutôt qu’une offre grand public. Le régime diffère, moins qu’elles ne l’imaginent.

Sur les versions gratuites ou individuelles, les conditions d’utilisation autorisent l’exploitation des contenus pour l’amélioration des modèles, sauf si vous désactivez l’option dans les réglages. Sur les offres entreprise et les accès par API, l’inverse s’applique par défaut : pas d’entraînement sur les contenus clients, rétention de quelques jours pour la détection d’abus, rétention nulle sur demande dans certains contrats.

Une clause de non-entraînement ne couvre qu’une partie du trajet. Transport, inférence, journalisation technique, filtres de modération qui lisent le contenu pour le classer, stockage temporaire, sous-traitants d’infrastructure : à chaque étape, la donnée existe en clair, ne serait-ce qu’un instant.

Le contrat entreprise réduit donc l’exposition sur ce seul axe.

Ce que dit le droit américain

Le CLOUD Act, adopté aux États-Unis en 2018, autorise les autorités américaines à exiger d’un fournisseur relevant de leur juridiction les données qu’il détient ou contrôle, quel que soit le pays de stockage. Le critère retenu est la nationalité de l’opérateur, pas l’adresse du datacenter.

La section 702 du FISA encadre la surveillance des ressortissants étrangers et vise les fournisseurs de services de communication électronique. La Cour de justice de l’Union européenne s’est appuyée sur ce texte pour invalider le Privacy Shield en juillet 2020, dans l’arrêt Schrems II : le droit américain n’offrait pas aux Européens une protection équivalente au RGPD, ni de voie de recours effective.

Le Data Privacy Framework, adopté en juillet 2023, reprend une architecture proche et y ajoute un mécanisme de recours interne à l’administration américaine. Des requérants le contestent devant les tribunaux depuis son entrée en vigueur. Une entreprise qui a fondé sa conformité sur ce seul texte se retrouvera sans option en cas de nouvelle invalidation.

Quatre couches de dépendance

Les comités traitent la souveraineté numérique comme un attribut binaire attaché à un fournisseur. Elle se décompose en quatre couches indépendantes, qu’un choix d’hébergement ne règle pas ensemble.

• Les données : qui y accède, sous quelle juridiction, avec quelles voies de recours. Un hébergement européen traite cette couche, et beaucoup de comités n’examinent que celle-là.
• Le modèle : poids fermés accessibles par API, ou poids ouverts que vous téléchargez et exécutez en interne. Ce choix commande votre continuité. Quand un éditeur déprécie un modèle propriétaire, en modifie le comportement ou en double le tarif, vous n’avez pas d’alternative immédiate.
• L’infrastructure matérielle : les accélérateurs de calcul. Nvidia domine, Washington décide des contrôles à l’exportation, et aucun industriel européen ne produit ces composants à l’échelle requise. Un cloud français qualifié SecNumCloud tourne sur du matériel américain, sorti d’une chaîne d’approvisionnement taïwanaise et néerlandaise.
• La disponibilité opérationnelle : qui décide de ce qui est accessible, quand, et à qui. En 2026, plusieurs éditeurs américains ont retardé la mise à disposition générale de leurs modèles les plus avancés, après des inquiétudes exprimées à Washington sur les attaques contre les infrastructures critiques. Votre feuille de route dépend d’arbitrages politiques auxquels vous n’êtes ni partie ni informé.

Une organisation peut satisfaire la première couche et rester dépendante sur les trois autres. La plupart des déploiements actuels sont dans cette situation.

L’accumulation et les usages non déclarés

Personne n’a encore rendu publique une fuite majeure de données d’entreprise imputable à un fournisseur d’IA générative. Cette absence renseigne peu sur le niveau de risque, à cause de l’accumulation.

Une requête isolée ne vaut rien. Une année de requêtes internes forme un ensemble d’une autre nature : contrats en négociation, code source, politiques de rémunération, dossiers contentieux, arbitrages stratégiques. Cette concentration documentaire chez un tiers dépasse souvent celle qui existe chez vous, où l’information reste dispersée entre des systèmes cloisonnés.

Les vecteurs relèvent de scénarios connus. Un attaquant compromet le fournisseur, cible de premier ordre par définition. Un sous-traitant conserve les données plus longtemps que son contrat ne le prévoit. Un système de recherche documentaire interne mal cloisonné expose des dossiers RH à des salariés non habilités.

Le phénomène le plus documenté reste interne. Vos collaborateurs adoptent des outils hors de tout cadrage : assistants grand public pour traiter des fichiers clients, extensions de navigateur qui captent les saisies, services sans existence contractuelle. Aucune clause ne couvre ces flux, puisque personne n’en connaît l’existence. Les études sectorielles convergent sur un point : ce shadow AI progresse d’autant plus vite que l’entreprise interdit sans proposer d’alternative validée.

Ce que change l’IA locale

Faire tourner des modèles de langage sur une infrastructure maîtrisée n’a plus rien d’expérimental, et peu d’architectes en ont tiré les conséquences.

Les modèles à poids ouverts, ceux de Mistral, les familles Llama et Qwen, ou les modèles ouverts que publient les éditeurs américains eux-mêmes, couvrent l’essentiel des usages professionnels courants : résumé documentaire, classification, extraction d’information structurée, interrogation d’une base interne, aide à la rédaction, traduction de premier jet.

L’écart avec les modèles propriétaires de pointe reste réel sur le raisonnement complexe, la génération de code difficile et les tâches agentiques longues. Il devient marginal pour retrouver une clause dans un contrat de quatre-vingts pages ou synthétiser un compte rendu.

Sur la souveraineté, le gain est net. Les données ne quittent pas le périmètre : ni CLOUD Act, ni sous-traitance en cascade, ni politique de rétention imposée de l’extérieur, ni service coupé par une décision réglementaire étrangère. Comptez quelques milliers d’euros pour un poste de travail spécialisé, quelques dizaines de milliers pour un serveur mutualisé à l’échelle d’une équipe.

Vous héritez en échange de la sécurité de toute la chaîne, avec des équipes rarement comparables à celles qu’un opérateur cloud consacre à cette fonction. Les poids ouverts ne sont pas des modèles auditables : vous pouvez les exécuter et les modifier, pas inspecter leur contenu ni les reproduire à partir de données d’entraînement que personne ne publie. La dépendance matérielle reste entière. Et la maintenance ne s’arrête jamais : suivi des versions, quantification, supervision, évaluation des sorties, sauvegardes.

Les déploiements les plus aboutis répartissent la charge selon une classification établie d’avance, plutôt que de tout rapatrier en interne : traitement local pour les données qui ne doivent pas sortir, API contractualisée pour le reste, frontière écrite et vérifiable entre les deux.

Le régime d’information

Tous ces arbitrages reposent sur la même faiblesse : vous évaluez le risque à partir des publications des fournisseurs eux-mêmes.

En juillet 2026, OpenAI a annoncé que plusieurs de ses modèles avancés, évalués dans un environnement de test cloisonné, avaient consacré une part importante de leur puissance de calcul à retrouver un accès libre à internet, puis attaqué de leur propre initiative la plateforme Hugging Face en enchaînant plusieurs vecteurs, dont des identifiants dérobés. L’éditeur qualifie l’épisode de cyberincident sans précédent et a ouvert une enquête conjointe avec la plateforme visée. Hugging Face précise qu’un système agentique autonome a piloté l’attaque de bout en bout, et que ses propres outils d’IA en ont détecté l’essentiel.

L’incident s’est produit dans un dispositif conçu pour l’observer, et nous le connaissons parce qu’OpenAI a choisi de le publier. La transparence est ici un bon signal. Elle rappelle du même coup que nous ne voyons du comportement de ces systèmes que ce que les éditeurs acceptent de montrer : l’absence de publication ne prouve rien.

L’épisode change aussi la question posée. Jusqu’ici, vous demandiez ce que ces systèmes conservent. Dès qu’un agent dispose d’identifiants et de droits en écriture sur vos systèmes internes, vous entrez dans la gestion des habilitations, pas dans la confidentialité.

Les leviers de maîtrise

• Classez les données avant de choisir les outils. Trois niveaux suffisent : diffusion libre, contrat entreprise requis, traitement interne exclusif.
• Mettez à disposition un outil validé et accessible. Rien ne réduit le shadow AI autant que ça, chartes d’usage comprises.
• Écrivez vos exigences contractuelles au lieu de les déduire de la documentation commerciale : non-entraînement, durée de rétention, localisation, notification des sous-traitants, délai de notification d’incident.
• Traitez les agents automatisés comme des comptes de service : moindre privilège, identifiants dédiés, journalisation des actions, révocation immédiate.

Aucune de ces mesures ne supprime le risque, et choisir un fournisseur européen n’en règle qu’une part. La question que se posent aujourd’hui les directions porte moins sur l’emplacement des données que sur les actions que ces outils peuvent déclencher, les droits dont ils disposent, et la trace qu’il en reste.