IA souveraine pour PME : ce qui existe vraiment en 2026

IA souveraine : de quoi parle-t-on ?

Le mot est employé à toutes les sauces. Pour une PME, il recouvre trois questions concrètes :

1. Où sont traitées vos données ? Dans un centre de données en France ou dans l’Union européenne, ou ailleurs.
2. Quel droit s’applique au fournisseur ? Une entreprise américaine reste soumise au Cloud Act, une loi américaine de 2018 qui permet aux autorités des États-Unis de lui demander des données, même stockées en Europe.
3. Qui maîtrise le modèle d’IA ? Un modèle « à poids ouverts » peut être installé sur un serveur que vous choisissez. Un modèle fermé ne s’utilise que chez son éditeur.

Une offre peut répondre à une question sans répondre aux autres. Un service américain hébergé en France règle la question de l’emplacement, pas celle du droit applicable. C’est pourquoi il vaut mieux poser les trois questions avant de choisir.

Pourquoi la question se pose en 2026

Vos équipes utilisent déjà l’IA

Selon le baromètre France Num 2026, publié le 28 septembre 2026, 40 % des TPE et PME utilisent au moins un outil d’IA, mais 19 % seulement paient un outil (source). Une bonne partie des usages passe donc par des outils gratuits, souvent ouverts à titre personnel. Les textes collés dedans (un devis, un courrier client, un tableau de prix) sortent alors de l’entreprise sans contrat ni réglage. En 2023, Samsung avait ainsi interdit ces outils en interne après qu’un salarié y avait collé du code confidentiel.

Le RGPD s’applique déjà

Dès qu’un outil d’IA reçoit des données personnelles (nom d’un client, CV, adresse), c’est un traitement au sens du RGPD. Il faut savoir où vont les données, si elles quittent l’Union européenne, et si le fournisseur les réutilise. La CNIL recommande de partir d’un besoin concret, de privilégier un déploiement sécurisé, de vérifier si le fournisseur réutilise vos données et de ne pas confier la prise de décision à une IA générative (CNIL).

Le règlement européen sur l’IA, avec un calendrier revu

Le règlement européen sur l’IA s’applique par étapes :

• Depuis le 2 février 2025 : les pratiques interdites le sont (notation sociale, manipulation, par exemple).
• Depuis le 2 août 2026 : l’article 50 impose d’informer les personnes qu’elles échangent avec une IA, par exemple avec un assistant sur un site.
• Au plus tard le 2 décembre 2027 : les obligations des systèmes « à haut risque » comme le tri de candidatures ou l’évaluation de crédit. Elles étaient prévues pour août 2026 ; un règlement dit « omnibus », entré en vigueur le 27 juillet 2026, les a repoussées (Commission européenne). Pour l’IA intégrée à des produits, c’est le 2 août 2028.

Le même texte a assoupli l’obligation de « maîtrise de l’IA » qui pesait sur les entreprises, et étend certains allègements prévus pour les PME à des entreprises un peu plus grandes. Les amendes prévues vont jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, et 15 millions ou 3 % pour les autres manquements. Pour une PME, c’est le montant le plus bas des deux qui s’applique.

Ce qui existe en France et en Europe (octobre 2026)

Mistral AI et Le Chat

Mistral AI, entreprise française, propose l’assistant Le Chat : une formule gratuite, une formule Pro autour de 15 € par mois, une formule Team autour de 25 € par utilisateur et par mois, et une offre Entreprise sur devis. Elle propose aussi une API, une porte d’accès technique qui permet de brancher ses modèles dans vos logiciels.

Selon son centre d’aide, les données sont hébergées par défaut dans l’Union européenne. Certaines fonctions peuvent les faire transiter temporairement hors de l’UE, chez des sous-traitants listés, et l’offre Entreprise permet d’en désactiver une partie. Vérifiez aussi, dans les réglages, que vos conversations ne servent pas à entraîner les modèles.

Plusieurs modèles de Mistral sont publiés en poids ouverts sous licence Apache 2.0. On peut les installer sur son propre serveur. Cela demande une machine équipée d’une carte graphique adaptée et quelqu’un pour l’entretenir.

Les hébergeurs français

Si vous voulez utiliser des modèles ouverts sans gérer de serveur, des hébergeurs français les proposent à l’usage. OVHcloud a lancé AI Endpoints en 2025 : une API vers des dizaines de modèles open source, hébergés dans ses centres de données européens (source). Scaleway propose un service équivalent, Generative APIs, avec des modèles hébergés à Paris. Dans les deux cas, le fournisseur est français et les données restent en Europe.

SecNumCloud : le niveau le plus exigeant

SecNumCloud est une qualification délivrée par l’ANSSI, l’agence nationale de la sécurité informatique. Elle impose notamment des garanties contre l’application de lois non européennes. Des offres d’OVHcloud, d’Outscale, de Cloud Temple ou de S3NS (Thales et Google) sont qualifiées ; la liste évolue régulièrement (exemple de septembre 2026). Ce niveau est exigé pour certaines données publiques ou sensibles. Pour la plupart des PME, un service hébergé dans l’UE par un fournisseur européen, avec un contrat clair, est déjà une bonne réponse.

Les grands fournisseurs américains

Microsoft, Google ou Amazon proposent des régions d’hébergement en France. Les données y sont stockées, ce qui règle la question de l’emplacement. Mais ces entreprises restent soumises au droit américain. À vous de juger, selon la sensibilité de vos données, si c’est acceptable.

Cinq usages concrets pour une PME

1. Rédaction et e-mails

Premières versions de courriers, de comptes rendus, de propositions ; reformulation, traduction, résumé d’un long fil d’e-mails. Un assistant comme Le Chat en formule équipe suffit. La règle : pas de données sensibles de clients sans contrat adapté, et une relecture avant chaque envoi.

2. Un assistant pour vos clients

Un assistant branché sur votre FAQ, vos fiches produits et vos conditions répond aux questions courantes, à toute heure, et passe la main à une personne pour le reste. Avec un modèle hébergé en Europe et vos documents conservés chez vous, vous gardez la maîtrise des données. N’oubliez pas la mention « assistant automatique » exigée depuis le 2 août 2026. Le détail de la mise en place est dans notre article intégrer l’IA à son site internet.

3. Ressources humaines

Rédiger une fiche de poste, une annonce, un plan d’accueil d’un nouveau salarié, répondre aux questions courantes (congés, mutuelle) : ces usages sont simples. Le tri automatique de candidatures, lui, est classé « à haut risque » par le règlement européen, avec des obligations au plus tard le 2 décembre 2027. Le RGPD et le droit de la non-discrimination s’appliquent déjà. Règle pratique : l’IA peut résumer un CV ; la décision reste à une personne, et elle est tracée.

4. Factures et tâches administratives

L’IA peut lire une facture fournisseur en PDF, en extraire le fournisseur, la date, le montant et la TVA, puis préparer l’écriture pour votre logiciel comptable. Depuis le 1er septembre 2026, toutes les entreprises doivent pouvoir recevoir des factures électroniques : une partie des données arrive donc déjà structurée. L’IA reste utile pour les notes de frais, les justificatifs papier et les relances.

5. Recherche dans vos documents internes

Procédures, fiches techniques, anciens devis, plans : un salarié pose une question en langage courant, l’IA cherche dans vos documents et répond en citant ses sources. C’est l’usage où la souveraineté compte le plus, car il touche à votre savoir-faire. Il peut fonctionner entièrement sur un serveur que vous contrôlez, avec un modèle ouvert. Prévoyez des droits d’accès : chacun ne doit retrouver que les documents qu’il a le droit de lire. C’est un projet de logiciel sur mesure plus qu’un abonnement.

La liste à vérifier avant de choisir un outil

• Où sont traitées et stockées les données, et est-ce écrit dans le contrat ?
• Le fournisseur est-il soumis à une loi non européenne ?
• Les conversations servent-elles à entraîner les modèles, et peut-on le refuser ?
• Combien de temps les données sont-elles conservées, et peut-on les supprimer ?
• Quels sous-traitants interviennent, et dans quels pays ?
• Un contrat de sous-traitance RGPD est-il signé avec le fournisseur ?
• Votre registre des traitements et votre politique de confidentialité sont-ils à jour ?
• Une analyse d’impact est-elle nécessaire, si le traitement présente un risque élevé pour les personnes ?
• Vos règles internes sont-elles écrites : outils autorisés, données interdites, relecture obligatoire ?
• Vos équipes ont-elles été formées aux bons usages et aux limites de ces outils ?

Trois pièges fréquents

Interdire sans proposer d’outil

Bloquer les assistants grand public sans offrir d’alternative pousse les équipes à les utiliser sur leur téléphone personnel. Proposez d’abord un outil autorisé et réglé, puis fixez les règles.

Brancher une IA sur le service client sans base vérifiée

Sans contenus de référence contrôlés, un assistant peut inventer un prix, un délai ou une garantie. Partez de vos documents, testez avec de vraies questions et relisez les échanges au début.

Avancer sans responsable

Quelqu’un doit décider des outils autorisés, valider les nouveaux usages et suivre les règles. Dans une petite entreprise, c’est souvent le dirigeant. L’important est que ce soit écrit.

Questions fréquentes

Mistral est-il forcément plus sûr que ChatGPT ?

Pas automatiquement. Tout dépend de la formule, des réglages et du contrat. Mistral a l’avantage d’être une entreprise française, soumise au droit européen, avec un hébergement dans l’UE par défaut. Les deux demandent les mêmes précautions sur les données que vous y mettez.

Peut-on utiliser ChatGPT dans une PME ?

Oui, ce n’est pas interdit. Mais le fournisseur est américain. Pour des données personnelles ou confidentielles, préférez une formule professionnelle avec contrat, vérifiez les réglages d’entraînement, ou choisissez une solution européenne.

Faut-il installer l’IA sur son propre serveur ?

Pas forcément. C’est utile pour des documents très sensibles ou de gros volumes. Pour la plupart des usages, un fournisseur européen avec un contrat clair suffit, sans matériel à entretenir.

Le tri de CV par IA est-il interdit ?

Non, mais il est classé « à haut risque » : documentation, contrôle humain et absence de discrimination seront exigés au plus tard le 2 décembre 2027. Dès aujourd’hui, le RGPD (article 22) encadre strictement les décisions prises entièrement par une machine, comme le rejet automatique d’une candidature.