IA souveraine pour PME : garder le contrôle de vos données

Une IA souveraine est un système d’intelligence artificielle dont l’hébergement, la gouvernance et l’accès aux données échappent au contrôle d’un acteur étranger soumis à des lois comme le Cloud Act américain. Pour une PME, la question n’est pas géopolitique : elle est pratique. Où partent les données de vos devis, contrats et fiches clients quand un salarié les colle dans ChatGPT ? Trois niveaux de réponse existent, du service européen au modèle installé en local, avec des coûts et des limites très différents selon celui que vous choisissez.

Qu’est-ce qu’une IA souveraine pour une PME

Le terme « souveraineté numérique » évoque souvent un débat entre États ou une bataille de géants technologiques. Pour une PME, il se traduit très concrètement : qui peut techniquement et légalement accéder aux données que vous confiez à un outil d’IA ?

Une IA souveraine désigne un système dont l’hébergement et la gouvernance restent hors du contrôle d’un acteur soumis à une législation étrangère extraterritoriale, comme le Cloud Act américain. Concrètement, vos données ne peuvent pas être réclamées par une autorité étrangère simplement parce que l’éditeur du logiciel est une entreprise américaine.

Ce sujet n’est plus réservé aux grands comptes. Une PME qui utilise l’IA au quotidien pour rédiger des devis, gérer des contrats ou analyser des fiches clients pose, sans toujours le savoir, la même question que l’État français s’est posée en développant sa propre IA. Ce cadre rejoint directement les enjeux de l’automatisation par l’IA en PME, où la question de la donnée occupe une place centrale.

Albert, l’IA souveraine de l’État français

L’État français applique cette logique à lui-même avec Albert, développée par la DINUM, l’administration numérique de l’État. Bâtie sur OpenGateLLM, un socle open source dont le code est public, elle est hébergée chez Outscale et équipe aujourd’hui plus de 70 projets publics, pour plus de 100 000 requêtes traitées chaque semaine.

Attention à une confusion fréquente : Albert est réservée aux administrations et services publics. Une PME ne peut pas l’utiliser directement — mais elle illustre le principe transposable à son échelle, via un hébergeur français équivalent.

Le vrai risque : où partent les données de votre PME

Le scénario est banal : un salarié colle un extrait de devis, une fiche client ou un contrat dans un chatbot grand public pour gagner du temps. Ce texte part alors sur les serveurs de l’éditeur, avec des règles de conservation et d’accès qui dépendent de sa nationalité juridique.

Selon les juristes spécialisés en droit du numérique, le Cloud Act permet aux autorités américaines d’exiger l’accès à des données détenues par une entreprise de droit américain, même si le serveur physique se trouve en Europe. La localisation du serveur ne suffit donc pas à garantir où vont réellement vos données.

Ce risque n’est plus théorique : selon le Baromètre France Num 2025, 26 % des TPE-PME utilisent déjà au moins un outil d’IA, un chiffre qui a doublé en un an. L’usage existe, souvent sans que la destination des données ait été questionnée.

Les 3 niveaux de souveraineté possibles, et lequel choisir

Trois niveaux de souveraineté existent, du plus simple à mettre en place au plus exigeant en compétences. Le tableau ci-dessous résume l’essentiel pour arbitrer selon la sensibilité de vos données et vos moyens.

Niveau	Ce que ça protège	Coût indicatif (marché)	Compétence requise	Pour quelle PME
1. Service IA européen (ex. Mistral, Vibe)	Données traitées par un acteur soumis au droit européen, pas au Cloud Act — entraînement activé par défaut sur l’offre gratuite, réglage à vérifier selon la formule	Abonnement mensuel, de quelques euros à quelques dizaines d’euros par utilisateur	Aucune compétence technique particulière	Sortir de ChatGPT/Copilot sans changer d’organisation
2. Modèle hébergé en France (ex. OVHcloud, Scaleway)	Données stockées et traitées sur un cloud souverain français	De quelques centaines d’euros par mois en facturation à l’usage à environ 2 100 € par mois pour un GPU dédié en continu	Compétences infra/DevOps, souvent via un prestataire	Données sensibles récurrentes (contrats, RH) et budget IT
3. Modèle en local (ex. Ollama, sur site)	Données qui ne sortent jamais du réseau de l’entreprise	Matériel à l’achat, coût ponctuel	Compétence technique interne ou prestataire	Données très sensibles ou obligations de confidentialité strictes

Niveau 1 — Un service IA opéré en Europe (Mistral, Vibe)

Le niveau le plus accessible : remplacer un chatbot américain par un service équivalent opéré par un acteur européen, soumis au droit européen et non au Cloud Act.

Mistral AI, société française fondée à Paris en avril 2023, annonce pour son assistant Vibe (ex-Le Chat, renommé fin mai 2026) un hébergement en France et en Europe et une certification ISO 27001 — des éléments communiqués par l’éditeur, à considérer comme tels. La rétention zéro des données existe bien chez Mistral, mais côté API uniquement : elle n’est pas proposée sur l’assistant grand public, qui conserve l’historique des conversations pour fonctionner.

Le détail qui compte : sur la formule gratuite, les conversations alimentent par défaut l’entraînement des modèles, et la désactivation est manuelle, dans les paramètres de confidentialité. L’éditeur indique que les formules payantes en sont exclues par défaut. Sur ce point, ses pages d’aide et sa documentation technique ne disent pas exactement la même chose : le réflexe utile reste d’aller vérifier le réglage dans la console d’administration avant de déployer l’outil.

Le coût reste celui d’un abonnement mensuel classique, de quelques euros à quelques dizaines d’euros par utilisateur, sans compétence technique requise.

Limite honnête : les modèles Mistral sont aussi distribués via des clouds non européens, Microsoft Azure notamment. Selon l’infrastructure retenue par le client, la souveraineté effective peut donc être bien moindre que ce que le choix de l’éditeur laisse penser — le fournisseur du modèle ne suffit pas, l’hébergement compte tout autant.

Niveau 2 — Un modèle hébergé en France (OVHcloud, Scaleway)

Ce niveau consiste à faire tourner un modèle open source sur l’infrastructure d’un hébergeur français plutôt que de dépendre d’un service tiers. Les données sont stockées et traitées sur un cloud souverain français, sous droit français.

OVHcloud propose des offres dédiées à l’IA (entraînement, déploiement, points de terminaison). L’hébergeur détient par ailleurs une qualification SecNumCloud de l’ANSSI, mais sur ses offres de cloud privé dédié — pas sur ses briques IA à ce jour ; une extension de la qualification vers le Public Cloud fait partie de sa feuille de route. Scaleway propose des serveurs GPU dans ses centres de données parisiens.

Côté budget, OVHcloud facture ses points de terminaison à l’usage. Ses tarifs distinguent les tokens envoyés et les tokens générés : de l’ordre de quelques dizaines de centimes par million de tokens en entrée, à plusieurs euros par million en sortie selon le modèle (catalogue public de l’éditeur, juillet 2026). Chez Scaleway, un GPU H100 à la demande démarre autour de 2,87 € de l’heure, tarif relevé au 1er juin 2026. En usage continu, cela représente de l’ordre de 2 100 € par mois. Ce sont des ordres de grandeur à vérifier auprès de chaque éditeur, pas des tarifs garantis.

Ce niveau demande des compétences infra/DevOps, en interne ou via un prestataire, pour l’installation et le maintien en conditions opérationnelles.

Niveau 3 — Un modèle en local (Ollama, sur site)

Le niveau le plus exigeant, mais aussi le plus protecteur : faire tourner le modèle directement sur une machine de l’entreprise, sans connexion à un service externe. Aucune donnée ne sort du réseau interne.

Un outil comme Ollama permet d’installer et de faire tourner localement des modèles open source (Llama, Gemma, Mistral, Phi, Qwen ou DeepSeek selon les besoins). Côté matériel, les tarifs Apple constatés fin juillet 2026 démarrent autour de 950 € pour un Mac Mini M4 en 16 Go, environ 1 390 € en 24 Go, et près de 1 900 € pour un M4 Pro. Ces prix sont à revérifier au moment de l’achat : les gammes évoluent régulièrement. Un GPU dédié est recommandé, avec un minimum de 16 Go de RAM en usage CPU sur les petits modèles.

La compétence requise reste technique, en interne ou via un prestataire. Limite honnête : la performance reste en retrait face aux modèles cloud de pointe sur les tâches complexes — nous y revenons plus loin.

IA souveraine, RGPD et AI Act : ce qui change pour votre PME

Le RGPD n’impose pas d’IA souveraine : il impose un traitement licite des données, où qu’il ait lieu. Une IA souveraine simplifie la démonstration de conformité, notamment sur les transferts hors Union européenne, mais elle n’est pas une obligation légale en soi. Les recommandations de la CNIL, publiées le 22 juillet 2025, rappellent l’exigence de finalité définie, de minimisation des données, d’information des personnes et de protection dès la conception. Elles recommandent une analyse d’impact (AIPD) en particulier pour les systèmes considérés comme à haut risque au sens du règlement européen sur l’IA — en pratique, les usages RH et juridiques appellent la plus grande vigilance.

Autre échéance : l’article 50 de l’AI Act impose, dès le 2 août 2026, d’informer clairement tout utilisateur qu’il échange avec une IA lorsqu’un chatbot est exposé au public — sans exemption pour les PME.

Le report des obligations « haut risque » est désormais acté par le règlement (UE) 2026/1744, publié au Journal officiel de l’Union européenne le 24 juillet 2026 et entré en vigueur trois jours plus tard. Il décale ces obligations au 2 décembre 2027 pour les systèmes autonomes, et au 2 août 2028 pour les systèmes intégrés à des produits. Pour la plupart des PME, l’essentiel des usages génératifs reste classé en risque limité ou minimal ; le point de vigilance concerne surtout les outils RH avec scoring automatisé. Les obligations réglementaires qui en découlent sont détaillées dans notre article dédié.

Agent IA, IA locale, IA cloud : ne pas confondre

Trois notions se mélangent souvent dans les discussions sur l’IA en entreprise, alors qu’elles répondent à des questions différentes.

Un agent IA répond à une question d’autonomie fonctionnelle : peut-il enchaîner plusieurs tâches et orchestrer des outils sans intervention à chaque étape ? Cette capacité n’a rien à voir avec l’hébergement du modèle qui l’alimente. Un agent peut très bien tourner sur un modèle cloud comme sur un modèle installé en local — ce sont deux axes indépendants, à ne pas confondre.

De la même manière, choisir un niveau de souveraineté ne veut pas dire abandonner les outils cloud grand public. Pour un usage quotidien non sensible — reformuler un email, préparer un brouillon —, les outils IA du quotidien comme ChatGPT ou Claude restent parfaitement pertinents. La question de souveraineté se pose surtout quand une donnée sensible entre en jeu.

Ce qu’on observe en déployant l’IA en local

Chez TechPath, nous déployons concrètement ce niveau 3 chez nos clients : Ollama associé à des modèles Mistral, installés selon les cas sur un Mac Mini ou sur un serveur loué chez un hébergeur français comme OVH. Ce n’est pas une configuration théorique.

Ce que ça permet, concrètement : un contrôle réel des données, qui ne transitent jamais par un service tiers. Ce que ça demande, tout aussi concrètement : une mise en place initiale, puis un entretien dans la durée — mises à jour des modèles, surveillance de la machine. C’est cette partie-là que nous prenons en charge, et c’est souvent ce qui décide une PME à franchir le pas : l’auto-hébergement fait peur surtout quand on imagine devoir le maintenir seul.

Ce qu’on constate, sans détour : la performance de ces modèles en local reste en retrait face aux modèles cloud les plus avancés sur les tâches complexes. C’est un compromis assumé — le contrôle des données a un coût en performance, et c’est ce qui doit guider le choix du niveau.

Questions fréquentes

Qu’est-ce qu’une IA souveraine et pourquoi ce sujet concerne aussi les PME ?

Une IA souveraine est un système dont l’hébergement et la gouvernance échappent au contrôle d’un acteur étranger soumis à des lois comme le Cloud Act. Pour une PME, la question devient concrète : où partent les données de vos devis, contrats et fiches clients quand un salarié les colle dans un chatbot grand public ?

Quelle IA souveraine choisir quand on dirige une petite ou moyenne entreprise ?

Le choix dépend de la sensibilité de vos données. Un service européen comme Mistral convient pour un usage quotidien non critique. Un hébergement français (OVHcloud, Scaleway) s’impose pour des contrats ou données RH récurrentes. Un modèle en local (Ollama) reste réservé aux exigences de confidentialité les plus strictes.

Comment s’appelle l’IA souveraine développée par l’État français et est-elle utilisable en entreprise ?

Elle s’appelle Albert, développée par la DINUM sur le socle open source OpenGateLLM et hébergée par Outscale. Non, elle n’est pas utilisable par une entreprise privée : elle est réservée aux administrations et services publics. Elle illustre néanmoins la logique transposable à une PME via un hébergeur français équivalent.

Est-il obligatoire d’utiliser une IA souveraine pour respecter le RGPD ?

Non. Le RGPD n’impose pas d’IA souveraine, mais un traitement licite des données où qu’il ait lieu. Un outil hébergé hors Union européenne complique la démonstration de conformité, notamment sur les transferts internationaux, mais une IA souveraine reste un choix, pas une obligation légale en soi.

Combien coûte l’hébergement d’un modèle d’IA open source en France pour une PME ?

Il n’existe pas de tarif unique : le coût dépend de la puissance GPU louée et du modèle choisi. Chez des hébergeurs comme OVHcloud ou Scaleway, l’ordre de grandeur va de quelques centaines d’euros par mois en facturation à l’usage, à environ 2 100 € par mois pour un GPU dédié en continu. Montants à vérifier auprès de chaque éditeur.

Une IA locale installée en interne est-elle aussi performante qu’un modèle cloud comme ChatGPT ?

Pas encore, de manière générale. Un modèle open source installé en local sur du matériel de PME reste moins performant qu’un modèle cloud de pointe sur les tâches complexes. En contrepartie, il offre un contrôle total des données et aucune dépendance à un service tiers externe.

---

À propos de l’auteur

TechPath est une agence web basée à Marseille, spécialisée dans la création de sites et l’automatisation par l’IA pour les PME et TPE de la région PACA. Cet article s’appuie sur les déploiements d’IA locale que l’agence installe et maintient chez ses clients.

Reprendre le contrôle de vos données avec l’IA

Vous dirigez une PME à Marseille, Aix-en-Provence ou ailleurs en PACA et vous vous demandez par où commencer pour reprendre la main sur vos données ? Un premier échange de cadrage, gratuit et sans engagement, suffit pour identifier le niveau de souveraineté adapté à votre activité. Et si vous partez sur une IA hébergée ou installée chez vous, nous vous accompagnons de la mise en place à la maintenance. Pour en discuter : notre accompagnement en automatisation IA.