IA souveraine : pourquoi les ETI françaises ne peuvent plus attendre

Un DRH qui colle un extrait de fiches de paie dans un assistant conversationnel grand public pour préparer une note de synthèse. Un contrôleur de gestion qui importe des données budgétaires confidentielles dans un outil dont personne n’a vérifié où elles sont hébergées, ni si elles nourrissent l’entraînement du modèle. Ces situations ne sont pas des scénarios catastrophe : elles se produisent chaque semaine dans des ETI qui n’ont jamais posé la question de la souveraineté de leurs outils IA. Ce n’est plus un sujet réservé aux grands groupes dotés d’un DPO à temps plein. Voici ce que souveraineté veut dire concrètement, et pourquoi la repousser à plus tard devient, en soi, une décision à risque.

Ce que « souveraineté » ne veut pas dire

Le mot est devenu un argument marketing avant d’être un critère technique, et cette confusion coûte cher. Souveraineté ne signifie pas « éditeur français » — un outil développé en France peut très bien héberger vos données chez un fournisseur cloud américain soumis au Cloud Act, avec les mêmes questions de juridiction qu’un éditeur étranger. Souveraineté ne signifie pas non plus « sans intelligence artificielle américaine » — un modèle développé aux États-Unis, déployé sur votre propre infrastructure, sans remontée de données vers son éditeur, pose infiniment moins de problèmes qu’un outil français hébergé ailleurs.

La vraie question n’est pas qui a écrit le modèle. C’est qui a accès à vos données, où elles sont stockées, sous quelle juridiction, et ce qu’il advient d’elles une fois le traitement terminé. Ce sont des questions contractuelles et architecturales, pas des questions de nationalité.

Cette confusion entretenue par le marketing a un effet pervers : elle pousse certaines ETI à choisir un fournisseur pour son drapeau plutôt que pour ses garanties, et à s’arrêter là. Un audit rapide des conditions générales suffit souvent à révéler qu’un outil présenté comme souverain sous-traite en réalité l’hébergement à un acteur soumis à une juridiction étrangère — ce qui ne rend pas l’outil inutilisable, mais rend la promesse marketing trompeuse si elle n’est pas vérifiée avant signature.

Le vrai risque n’est pas la fuite de données, c’est la dépendance

On imagine la souveraineté IA comme une protection contre le piratage ou l’espionnage industriel. Le risque le plus concret pour une ETI est ailleurs : c’est la dépendance opérationnelle à un fournisseur unique, dont les conditions d’usage, les prix ou les modèles peuvent changer du jour au lendemain, sans négociation possible pour une entreprise de taille moyenne. Une ETI qui a construit ses processus RH ou finance autour d’un outil propriétaire, sans capacité de migration, se retrouve otage d’une décision commerciale prise à des milliers de kilomètres.

La souveraineté, dans ce sens-là, est d’abord une question de réversibilité : pouvoir changer de modèle ou de fournisseur sans reconstruire tout le dispositif. Un déploiement conçu pour fonctionner avec n’importe quel modèle, plutôt que verrouillé sur un seul éditeur, transforme un risque de dépendance en simple paramètre technique.

Cette dépendance ne se voit pas immédiatement. Elle se construit progressivement, à mesure que des processus métier s’organisent autour des spécificités d’un outil précis — un format de sortie, une intégration particulière, une habitude d’équipe. Deux ans plus tard, migrer vers un autre fournisseur, même moins coûteux ou plus performant, représente un chantier que plus personne ne veut ouvrir. C’est cette inertie, plus que le coût du contrat initial, qui constitue le vrai prix de la dépendance.

Ce que l’AI Act change concrètement, et à quelle échéance

Le cadre réglementaire européen accélère ce calendrier. L’AI Act impose des obligations de documentation aux usages à haut risque à partir d’août 2026 — décembre 2027 pour les entités bénéficiant du mécanisme Omnibus. Concrètement, cela signifie qu’une ETI qui utilise l’IA pour des décisions touchant au recrutement, à l’évaluation ou à la gestion RH devra pouvoir démontrer comment le système fonctionne, sur quelles données il a été validé, et quels contrôles humains encadrent ses recommandations.

Une organisation qui découvre cette obligation au moment de l’audit part avec des mois de retard. Une organisation qui a construit sa gouvernance IA sur des bases traçables — données localisées, contrats de traitement clairs, journal des décisions assistées par IA — répond à la demande en quelques semaines, avec des preuves déjà disponibles.

Ce calendrier réglementaire ne concerne pas que les grands comptes. Une ETI qui utilise l’IA pour trier des candidatures, évaluer des performances ou orienter des décisions de mobilité interne entre directement dans le périmètre des usages à haut risque au sens de l’AI Act. Le texte ne fait aucune distinction de taille sur ce point : l’obligation de documentation s’applique à l’usage, pas à l’effectif de l’entreprise qui le déploie.

Les quatre piliers d’une gouvernance IA défendable

Une gouvernance IA sérieuse pour une ETI repose sur quatre éléments concrets, pas sur une charte de principes :

• Localisation et hébergement des données — savoir précisément où sont traitées les données sensibles, et pouvoir l’exiger contractuellement plutôt que le déduire des conditions générales d’un fournisseur.
• Neutralité vis-à-vis des modèles — une architecture qui fonctionne avec plusieurs modèles évite qu’un choix technique initial ne devienne une dépendance stratégique irréversible.
• Traçabilité des usages — un historique de qui a utilisé quel outil, sur quelles données, pour quelle décision, disponible en cas de contrôle CNIL ou de consultation du CSE.
• Non-réutilisation des données pour l’entraînement de modèles tiers — une garantie contractuelle explicite, pas une hypothèse implicite fondée sur la bonne foi du fournisseur.

La souveraineté IA n’est pas une option philosophique réservée aux grands groupes ; c’est une clause contractuelle que toute ETI peut négocier dès aujourd’hui, à condition de savoir laquelle exiger.

Pourquoi les grands groupes ont un temps d’avance — et pourquoi ce n’est pas une fatalité

Les grands groupes disposent de DPO à temps plein, de directions juridiques dédiées et de budgets de conformité que la plupart des ETI n’ont pas. Ils ont commencé à documenter leurs usages IA dès les premières discussions sur l’AI Act, quand une ETI de taille moyenne découvre parfois le sujet à l’occasion d’un audit fournisseur ou d’une question posée en CSE.

Ce retard n’est pas irrattrapable, mais il exige une méthode différente de celle des grands groupes : pas un service conformité de dix personnes, mais des choix architecturaux simples posés dès le départ — déploiement sur site plutôt qu’API tierce par défaut pour les données sensibles, contrats de traitement systématiquement revus avant signature, et un inventaire, même sommaire, des outils IA réellement utilisés dans l’organisation. La plupart des ETI n’ont, à ce jour, aucune vision consolidée de cet inventaire.

C’est là que se joue l’écart réel : non pas dans la sophistication des outils déployés, mais dans la rigueur du cadre contractuel qui les entoure. Une ETI qui négocie systématiquement une clause de non-réutilisation des données et une option d’hébergement sur site pour ses usages sensibles se retrouve, en pratique, avec une gouvernance aussi solide que celle d’un grand groupe — sans le budget ni l’effectif dédié que celui-ci mobilise.

Une gouvernance qui se construit en trois étapes, pas en un grand programme

Face à l’ampleur apparente du sujet, la tentation est de le reporter en attendant un « grand projet de conformité IA ». C’est l’inverse qui fonctionne :

1. Cartographier l’existant — recenser les outils IA effectivement utilisés dans l’organisation, y compris ceux adoptés spontanément par les équipes sans validation formelle, et identifier ceux qui traitent des données sensibles.
2. Fixer une règle simple de déploiement — pour toute donnée RH, financière ou stratégique, imposer un traitement sur infrastructure maîtrisée ou un contrat garantissant la non-réutilisation des données, sans exception tacite.
3. Documenter au fil de l’eau — consigner les usages à mesure qu’ils se déploient, plutôt que de tenter une reconstitution rétroactive au moment où un audit ou une consultation du CSE l’exige.

Cette séquence ne demande ni budget disproportionné ni recrutement immédiat. Elle demande une décision : traiter la gouvernance IA comme un sujet de direction générale, et non comme un chantier informatique différé.

Les ETI qui attendront un cadre réglementaire totalement stabilisé pour agir découvriront, au moment de l’audit, qu’elles ont deux ans de retard à rattraper en quelques mois. Celles qui posent aujourd’hui les bonnes questions contractuelles n’auront, le moment venu, qu’à sortir un dossier déjà prêt.