Page mise à jour le
La réponse courte
La « souveraineté numérique » n'est pas une obligation légale opposable à une PME, et ce n'est pas un label. C'est un ensemble de choix : où tournent les données, qui détient les clés, sous quelle licence tourne le modèle, dans quel format sortent les exports, et en combien de temps on change de prestataire. Le droit positif qui s'en rapproche le plus, pour une entreprise privée, c'est le RGPD (chapitre V, article 28, article 32), le secret des affaires, et, le cas échéant, des exigences contractuelles de donneurs d'ordre. Aucun de ces textes n'impose « un hébergeur français » ni « un modèle ouvert ». Ils imposent de savoir ce qu'on fait, et de pouvoir le démontrer. Une PME souveraine, concrètement, c'est une PME qui part sans tout reconstruire.
Quatre leviers, pas un drapeau
Localisation : Union européenne, pays adéquat, ou ailleurs — nommé, pas suggéré. Chiffrement : qui a les clés, est-ce que le fournisseur peut lire en clair. Licence du modèle : Apache, licence communautaire à usage acceptable, API propriétaire sans poids, contrat qui interdit l'entraînement. Réversibilité : export des données, des prompts, des réglages, des journaux, dans un format que quelqu'un d'autre sait lire. Chacun de ces leviers se décide séparément. Un modèle ouvert hébergé chez un cloud extra-européen sans vos clés n'est pas « souverain ». Un modèle fermé, en UE, avec opt-out d'entraînement, DPA borné et export quotidien, l'est davantage sur le seul critère qui compte le jour du problème : vous tenez encore quelque chose. Le débat ouvert contre fermé, traité ailleurs sur ce site, est un de ces leviers, pas le tout.
Ce que le droit demande, et ce qu'il ne demande pas
Le RGPD n'exige pas un prestataire français. Il exige une base, une information, un contrat, une sécurité appropriée, un encadrement des transferts. L'AI Act n'exige pas un modèle européen. Il exige, selon les cas, de la transparence, plus tard un contrôle humain et des journaux pour le haut risque. Le code de commerce protège le secret des affaires si vous avez pris des « mesures de protection raisonnables » : coller un secret dans un assistant grand public, sans contrat, n'en est pas une. Les marchés publics, eux, peuvent imposer des clauses de localisation ou de qualification SecNumCloud : ce n'est pas votre cas par défaut, c'est le cas si vous en êtes prestataire. Prétendre qu'une TPE « doit » être sur un cloud qualifié, c'est copier une exigence qui vise d'autres acteurs.
Ce qui est à portée, ce qui ne l'est pas
À portée : choisir un hébergeur dans l'UE, refuser l'entraînement, isoler l'appel au modèle derrière une seule interface, garder les données chez vous, tester un export, chiffrer les sauvegardes, écrire qui a les accès. Pas à portée, pour une équipe de cinq : opérer un cloud complet, certifier SecNumCloud, entraîner un modèle de fondation, garantir une indépendance vis-à-vis de toute pile étrangère (processeurs, réseau, DNS). Vendre le second sous le nom du premier est de la politique industrielle, pas du conseil à une TPE. La souveraineté utile, ici, est défensive : réduire le nombre de jours où un changement de conditions générales, un retrait de licence ou une panne de région vous arrête.
Comment en parler à un donneur d'ordre sans bluffer
Les questionnaires « êtes-vous souverain ? » se répandent. Une réponse honnête tient en quatre phrases : où sont les données de production et les sauvegardes ; qui détient les clés ; le fournisseur d'IA entraîne-t-il sur nos données ; en combien de temps on restitue un export. Tout le reste est du vocabulaire. Un label, une nationalité d'actionnaire, un partenariat « IA de confiance » sans ces quatre réponses, ne tiendront pas un audit. Si vous ne savez pas répondre, le chantier n'est pas de souveraineté : il est de cartographie. C'est le même geste que pour le RGPD et pour l'article 50 : une liste de systèmes, une liste de données, un contrat lu.
À vérifier chez vous
Ce que vous pouvez contrôler vous-même
Des points vérifiables sans expertise juridique. Si l'un d'eux coince, c'est celui-là qu'il faut apporter à votre conseil.
- Répondre par écrit aux quatre questions : lieu, clés, entraînement, export.
- Isoler l'appel au modèle dans une seule couche, pour pouvoir en changer.
- Garder prompts, exemples et historiques hors de la console du fournisseur.
- Ne pas signer un questionnaire donneur d'ordre avec des mots que le contrat ne porte pas.
- Traiter SecNumCloud et les qualifications d'État comme des exigences de marché public, pas comme la loi des TPE.
Sources
Chaque affirmation de cette page renvoie au texte qui fait foi. En cas d'écart entre cette page et la source, c'est la source qui a raison.
- EUR-Lex — règlement (UE) 2016/679 (RGPD) (nouvel onglet)
Articles 5, 6 (base légale), 9, 13-14, 22, 24, 28 (sous-traitant), 32, 35 (AIPD), chapitre V (transferts).
- CNIL — transférer des données hors de l'UE (nouvel onglet)
Chapitre V du RGPD : décision d'adéquation, clauses types, garanties appropriées. La localisation du serveur n'épuise pas la question.
- Légifrance — code de commerce article L.151-1 (secret des affaires) (nouvel onglet)
Trois critères cumulatifs : information non généralement connue, valeur commerciale du secret, mesures de protection raisonnables.
- EUR-Lex — règlement (UE) 2024/1689 consolidé (CELEX 02024R1689-20260727) (nouvel onglet)
Seul texte de l'AI Act à citer depuis le 27 juillet 2026. Article 113 (calendrier), articles 4, 5, 6, 25, 26, 27, 50, 99, annexes I et III.
- ANSSI — guide d'hygiène informatique (nouvel onglet)
Mesures concrètes : sauvegardes testées, chiffrement, journalisation, mises à jour. Référentiel de bonnes pratiques, pas une obligation légale autonome.
Vos questions
Faut-il un hébergeur français, ou un hébergeur dans l'UE suffit ?
Pour le RGPD, l'Union européenne (et, avec un régime différent, un pays adéquat) est le critère, pas la nationalité française. Un hébergeur français peut être un plus contractuel, une exigence de marché, une préférence. Ce n'est pas une obligation générale. Un hébergeur français qui sous-traite l'essentiel hors UE n'apporte rien. Un hébergeur allemand ou néerlandais, avec DPA, clés et sauvegardes dans l'Union, apporte le chapitre V. Choisissez le contrat, pas le drapeau. Si un donneur d'ordre exige la France, c'est sa clause, pas le règlement.
Un modèle ouvert rend-il souverain ?
Il rend plus difficile qu'on vous retire le modèle, et plus facile de le faire tourner où vos données doivent rester. Il ne paie pas la machine, ni la personne qui la met à jour, ni les correctifs de sécurité. Un modèle ouvert sous licence restrictive (usage acceptable, clauses commerciales, marque) n'est ouvert qu'à moitié. La page de ce site sur les licences des modèles ouverts entre dans ce détail. La souveraineté n'est pas le fichier des poids : c'est le droit de s'en servir encore demain, sur une machine que vous tenez, pour une finalité que vous avez choisie.
La souveraineté est-elle réservée aux « données sensibles » ?
Non. Le secret des affaires vise aussi un fichier clients, une grille tarifaire, un process. Le RGPD vise toute donnée personnelle, pas seulement la santé. Réserver la discussion aux dossiers médicaux, c'est laisser sortir le reste sans contrat. En pratique, on priorise : d'abord ce qui ne doit pas entraîner un modèle tiers, ensuite ce qui ne doit pas quitter l'UE, ensuite ce qui peut vivre dans un cloud courant avec un DPA borné. Cette priorisation est du jugement, pas une catégorie juridique. Elle évite de tout traiter comme secret-défense, ce qu'une TPE ne tiendrait pas.
Une idée en tête ?
Réservez un rendez-vous ou écrivez-nous — réponse sous 24 h.