L’illusion du cloud souverain : pourquoi seule l’IA Local gratuit physique dans vos murs protège vos données
Le 10 juin 2025, dans une salle feutrée du Palais du Luxembourg, une phrase a suffi à fissurer dix ans de discours commerciaux. Interrogé sous serment par la commission d’enquête sénatoriale sur la commande publique, le directeur des affaires publiques et juridiques de Microsoft France a dû répondre à une question simple : son entreprise peut-elle garantir que les données des citoyens français ne seront jamais transmises aux autorités américaines sans l’accord de Paris ? La réponse d’Anton Carniaux tient en quelques mots : « Non, je ne peux pas le garantir. » Il a ajouté que cela ne s’était encore jamais produit. Maigre consolation pour les directions informatiques qui avaient cru acheter de la souveraineté en choisissant une région « France » dans une console d’administration.
Cet aveu n’a rien d’un scoop pour les juristes. Il agit pourtant comme un révélateur, au moment précis où l’intelligence artificielle générative aspire vers des serveurs distants les documents les plus stratégiques des entreprises : contrats, dossiers clients, plans techniques, échanges internes. Dans le secteur des télécoms, où un revendeur qui construit une offre en marque blanche eSIM manipule chaque jour des identifiants d’abonnés et des données de facturation, la question n’est plus théorique. Elle devient une affaire de responsabilité.
Un serveur IA Local à Paris ne fait pas une donnée française
La confusion la plus répandue tient à la géographie. Beaucoup d’entreprises pensent qu’un centre de données installé en Île-de-France ou à Francfort place leurs fichiers sous la protection du droit européen. C’est une erreur de lecture. Ce qui compte n’est pas l’endroit où tourne le disque dur, mais la nationalité juridique de celui qui le contrôle.
Le Cloud Act, promulgué aux États-Unis en mars 2018, permet aux autorités américaines d’exiger d’un fournisseur soumis à leur juridiction les données qu’il détient, où qu’elles soient stockées. Microsoft, Amazon, Google et leurs filiales européennes entrent dans ce périmètre. À ce texte s’ajoute la section 702 du Foreign Intelligence Surveillance Act, qui autorise la collecte de communications de personnes non américaines situées à l’étranger avec la coopération contrainte des prestataires. Ce dispositif, déjà renouvelé pour deux ans en avril 2024, arrivait à échéance en avril 2026 et n’a été prolongé qu’à titre provisoire, le temps de nouvelles tractations au Congrès. Autrement dit, la règle du jeu se rediscute périodiquement à Washington, sans que les entreprises européennes aient voix au chapitre.
Le chiffrement ne règle pas tout. Un avis juridique commandé par le ministère allemand de l’Intérieur, rendu public, souligne que même des données chiffrées restent exposées si le fournisseur peut être contraint de livrer les clés. Tant que la clé dort chez l’hébergeur, le coffre-fort n’appartient pas vraiment à son client.
Le « cloud de confiance », une réponse juridique à un problème plus large
L’État français n’est pas resté inerte. Sa doctrine « cloud au centre », lancée en 2021, oriente les données sensibles de l’administration vers des offres qualifiées SecNumCloud par l’ANSSI. Ce référentiel, dans sa version 3.2, compte 354 exigences et intègre des critères d’immunité face aux lois extraterritoriales non européennes. Des acteurs comme OVHcloud, Outscale, Cloud Temple ou Numspot figurent parmi les prestataires engagés dans cette voie.
Pour ne pas priver les organisations des outils américains qu’elles utilisent au quotidien, un compromis est apparu : le « cloud de confiance ». Bleu, coentreprise d’Orange et de Capgemini, exploite sous licence la technologie Microsoft. S3NS, filiale de Thales, fait de même avec celle de Google. S3NS a obtenu la qualification SecNumCloud 3.2 fin 2025, tandis que Bleu poursuivait encore sa démarche à la mi-2026. Le directeur général de l’ANSSI, Vincent Strubel, a estimé devant le Sénat que ces montages ne seraient pas exposés à une captation au titre du Cloud Act ou du FISA.
Le progrès est réel, mais il reste circonscrit. Ces offres traitent la souveraineté juridique, pas la dépendance technologique. Le logiciel, ses mises à jour, sa feuille de route et son modèle économique demeurent pilotés depuis la côte ouest américaine. Plusieurs spécialistes s’interrogent d’ailleurs sur la solidité de cette immunité en cas de forte pression politique outre-Atlantique. Et la facture suit : les offres qualifiées coûtent couramment 30 à 50 % de plus que les hyperscalers non qualifiés, selon les estimations relayées par plusieurs cabinets de conseil. Pour une PME, un intégrateur ou une boutique de téléphonie, ce ticket d’entrée reste souvent hors de portée.
L’IA générative dans vos locaux, change l’échelle du risque
Pendant des années, le débat sur la souveraineté concernait surtout le stockage : où sont rangés mes fichiers ? L’arrivée des assistants conversationnels a modifié la nature du problème. Désormais, les données ne dorment plus dans un entrepôt, elles circulent en permanence vers des modèles distants qui les lisent, les résument, les indexent.
Chaque question posée à un assistant hébergé dans le cloud est un transfert. Un commercial qui colle une proposition tarifaire pour la reformuler, un technicien qui soumet un journal d’incidents réseau, un juriste qui fait analyser un contrat : autant de fragments d’information stratégique qui quittent le périmètre de l’entreprise. Les politiques de conservation varient selon les fournisseurs, les contrats évoluent, les conditions générales se modifient parfois sans éclat. Le salarié, lui, ne lit pas ces clauses.
La dépendance s’installe aussi par les usages. Quand les procédures internes, les bases documentaires et les automatisations reposent sur une interface de programmation étrangère, une hausse tarifaire, une restriction d’accès ou une décision politique suffit à paralyser une activité. Les opérateurs qui gèrent des milliers d’objets connectés via une plateforme IoT connaissent bien ce raisonnement : on ne confie pas le pilotage de son parc à une brique que l’on ne maîtrise pas.
Rapatrier l’intelligence en local au lieu d’exporter les données
La solution la plus radicale consiste à inverser le mouvement. Plutôt que d’envoyer les documents vers le modèle, on installe le modèle à côté des documents. C’est ce que recouvre l’expression d’IA physique ou locale : un serveur, parfois une simple station de travail équipée d’une carte graphique, qui exécute dans les locaux de l’entreprise un modèle de langage ouvert.
Cette approche était réservée aux laboratoires il y a trois ans. Elle est devenue accessible. Des modèles à poids ouverts, dont ceux publiés par le français Mistral AI, tournent aujourd’hui sur du matériel de bureau haut de gamme. Des outils libres permettent de les installer en quelques commandes, de les brancher sur une base documentaire interne et de les interroger en langage naturel. Aucune requête ne sort du réseau local. Aucune clé ne dort chez un tiers. Aucune loi étrangère ne peut contraindre un prestataire qui n’existe pas.
L’argument économique pèse aussi. Un abonnement à un assistant en ligne se paie chaque mois, par utilisateur, sans fin. Une machine locale représente un investissement initial, puis des coûts d’électricité et de maintenance prévisibles. Pour une équipe qui sollicite l’IA toute la journée, l’équation devient vite favorable. Certains acteurs du numérique francophone proposent déjà des infrastructures clés en main pour accompagner ce type de déploiement maîtrisé.
Les limites qu’il faut regarder en face
Il serait malhonnête de présenter l’IA locale comme une baguette magique. Les modèles qui tiennent sur une machine de bureau restent en retrait des plus grands systèmes commerciaux sur les tâches de raisonnement complexe. Leur exploitation exige des compétences : mises à jour, sauvegardes, supervision, contrôle des accès. Un serveur mal protégé dans un placard constitue une cible bien plus facile qu’un centre de données qualifié, surveillé jour et nuit par des équipes spécialisées.
La souveraineté locale ne dispense donc pas de sécurité. Elle la déplace. L’entreprise redevient seule responsable de la protection de ses données, ce qui suppose un réseau segmenté, un chiffrement des disques, une politique de mots de passe sérieuse et une journalisation des usages. Le RGPD s’applique pleinement à ces installations, tout comme les obligations issues de la directive NIS2 pour les entités concernées.
Le bon schéma, pour la plupart des organisations, sera sans doute hybride. Les traitements banals, sans enjeu de confidentialité, peuvent continuer à s’appuyer sur des services en ligne. Les données réellement stratégiques, elles, méritent de ne jamais quitter les murs. Tout l’enjeu consiste à cartographier ce qui relève de chaque catégorie, puis à assumer ce choix.
La souveraineté se mesure à ce que l’on peut débrancher
Le vrai test de souveraineté tient en une question : si demain un fournisseur étranger coupait l’accès, que resterait-il de votre activité ? Pour une entreprise dont l’intelligence artificielle tourne sur ses propres machines, la réponse est simple : tout. Pour celle qui a externalisé sa mémoire documentaire et ses automatisations, la réponse est plus inconfortable.
L’aveu prononcé au Sénat en juin 2025 n’a pas créé le problème. Il a seulement retiré le voile. Le « cloud souverain » vendu par des filiales de groupes américains relevait d’une promesse que leurs propres juristes ne peuvent tenir. Les offres qualifiées françaises constituent une avancée sérieuse, mais elles déplacent la confiance plus qu’elles ne la suppriment. Seule la maîtrise physique du calcul offre une garantie qui ne dépend d’aucune signature étrangère.
Les acteurs des télécoms le savent mieux que quiconque. Devenir opérateur mobile virtuel, c’est précisément reprendre la main sur une chaîne de valeur longtemps confisquée par quelques géants. La même logique s’impose désormais à l’intelligence artificielle : la valeur ne réside plus seulement dans l’outil, mais dans la capacité à le faire tourner chez soi, selon ses propres règles.
Les directions générales qui tarderont à se poser la question découvriront peut-être la réponse dans un courrier venu d’outre-Atlantique. Celles qui investissent dès maintenant dans une IA installée dans leurs murs auront, elles, une longueur d’avance que nul décret étranger ne pourra leur retirer.
