IA souveraine : un DSI témoigne de sa sortie progressive de la dépendance américaine

# IA souveraine : un DSI témoigne de sa sortie progressive de la dépendance américaine

*En 2026, plusieurs DSI européens ont commencé à reconsidérer leur rapport aux outils d'intelligence artificielle fournis par des acteurs américains. Les raisons ? Une accumulation de signaux réglementaires, de risques juridiques et de dépendances techniques qui deviennent difficiles à ignorer. Nous avons rencontré le DSI d'une ETI industrielle française de taille intermédiaire, engagé depuis dix-huit mois dans une démarche de souveraineté numérique. Il témoigne.*

Pouvez-vous nous expliquer ce qui vous a poussé, concrètement, à remettre en question vos outils d'IA américains ?

Il n'y a pas eu un seul déclencheur, mais une accumulation. Le premier signal a été le Cloud Act américain. Pour ceux qui ne connaissent pas : c'est une loi américaine adoptée en 2018 qui autorise les autorités américaines à réclamer l'accès aux données hébergées par des entreprises américaines — y compris les données stockées en Europe. Donc, même si votre fournisseur d'IA vous dit que vos données sont hébergées en France ou en Allemagne, si l'entreprise qui opère ce service est américaine, elle reste juridiquement soumise à cette loi.

Quand j'ai commencé à intégrer des outils d'IA dans nos processus internes — analyse de documents, aide à la rédaction de rapports techniques, traitement de données clients — j'ai réalisé que je faisais transiter des informations sensibles à travers des infrastructures potentiellement exposées à une juridiction étrangère. Ça ne respecte pas l'esprit du RGPD. Et ça m'exposait personnellement en tant que responsable du traitement.

Vous évoquez le RGPD. Mais beaucoup de DSI pensent que leurs fournisseurs américains sont « conformes RGPD ». Qu'est-ce qui cloche dans ce raisonnement ?

C'est l'erreur classique. Le RGPD — Règlement Général sur la Protection des Données — est le cadre européen qui encadre la collecte et le traitement des données personnelles. Il est obligatoire pour toute entreprise qui traite des données de résidents européens.

Le problème, c'est que la conformité RGPD d'un acteur américain repose souvent sur un accord appelé Data Privacy Framework, qui est le successeur du Privacy Shield. Or, ce type d'accord a déjà été invalidé deux fois par la Cour de Justice de l'Union Européenne. La stabilité juridique de ces mécanismes est donc très fragile. Si demain un nouveau contentieux aboutit à une invalidation, toutes les entreprises qui s'appuient sur ces accords pour justifier leurs transferts de données se retrouvent en infraction du jour au lendemain.

En clair : déléguer sa conformité à un acteur américain, c'est construire sur du sable.

Quels autres cadres réglementaires européens ont pesé dans votre décision ?

Deux textes ont vraiment accéléré notre réflexion.

Le premier, c'est NIS2. La directive NIS2 — pour Network and Information Security, dans sa deuxième version — est entrée en application en 2024. Elle oblige un nombre beaucoup plus large d'entreprises, y compris des ETI dans des secteurs considérés comme essentiels ou importants, à renforcer leur cybersécurité. Elle impose notamment de maîtriser la chaîne d'approvisionnement numérique. Si un de vos fournisseurs d'IA est compromis ou soumis à une injonction étrangère, vous êtes potentiellement responsable de ne pas avoir anticipé ce risque.

Le second, c'est DORA. Le Digital Operational Resilience Act s'applique au secteur financier, mais nous avons des clients dans ce secteur. DORA exige une résilience opérationnelle numérique très stricte, y compris une cartographie des prestataires critiques. Un fournisseur d'IA américain qui peut couper l'accès à son service unilatéralement — parce qu'une sanction économique l'y oblige, parce que son modèle commercial change, parce qu'il est racheté — est un risque de concentration que DORA vous demande explicitement d'évaluer.

Ces deux textes ensemble créent une obligation de facto de regarder vers des alternatives souveraines.

Concrètement, comment avez-vous identifié des alternatives européennes crédibles sur l'IA ?

Je vais être honnête : il y a dix-huit mois, le marché européen de l'IA générative était limité. Aujourd'hui, c'est différent. Des acteurs comme Mistral AI ont démontré qu'il était possible de produire des modèles de langage — c'est-à-dire les moteurs qui font fonctionner les IA conversationnelles — compétitifs avec les offres dominantes américaines, et ce depuis l'Europe.

Ce qui m'intéresse dans cette évolution, c'est moins la performance brute du modèle que les garanties juridiques et opérationnelles. Un modèle hébergé par une entité de droit français, sur des infrastructures européennes, avec un contrat soumis au droit européen : c'est une autre catégorie de risque. Je peux auditer, je peux exiger, je peux me retourner.

Je ne dis pas que tout est parfait. Je dis que le rapport de force a changé. Et que l'excuse « il n'existe pas d'alternative européenne » ne tient plus.

Certains de vos pairs objectent que les modèles européens sont moins performants. Comment répondez-vous ?

C'est une question légitime, mais elle repose sur un malentendu. La performance d'un modèle d'IA dépend énormément du cas d'usage. Pour de la génération de code en anglais à grande échelle, les modèles américains ont une avance historique liée à leurs volumes de données d'entraînement. Mais pour des usages professionnels en français, en allemand, en espagnol, sur des données métier spécifiques, l'écart est beaucoup plus mince qu'on ne le croit.

Surtout, il faut raisonner en coût total. Si vous intégrez le risque de non-conformité RGPD, le risque d'extraterritorialité Cloud Act, le risque de rupture de service unilatérale, et le coût d'un audit de conformité NIS2 mal préparé — alors le modèle américain « moins cher » au premier abord devient vite plus coûteux sur le cycle complet.

Ma responsabilité de DSI n'est pas de choisir le meilleur benchmark technique. C'est de choisir la solution qui maintient l'entreprise opérationnelle, conforme et maîtresse de ses données dans la durée.

Quel conseil donneriez-vous à un DSI qui commence tout juste à s'interroger sur ces sujets ?

Commencez par cartographier. Avant de prendre la moindre décision technique, listez tous les outils d'IA que vous utilisez aujourd'hui — y compris ceux adoptés en dehors de la DSI par des équipes métier, ce qu'on appelle le shadow IT. Identifiez pour chacun : quelle entreprise opère ce service ? Sous quel droit ? Où sont hébergées les données ? Quelles données y transitent ?

Vous allez probablement découvrir que vous avez une exposition beaucoup plus grande que vous ne le pensiez. C'est inconfortable, mais c'est le point de départ nécessaire.

Ensuite, priorisez par criticité. Tous les usages ne se valent pas. L'IA qui aide à rédiger des newsletters internes, ce n'est pas le même niveau de risque que l'IA qui analyse des contrats clients ou traite des données RH. Commencez la migration souveraine par les cas à fort impact réglementaire.

Et enfin, ne faites pas cavalier seul. Les textes comme NIS2 ou DORA ont été conçus pour être interprétés avec l'appui de juristes spécialisés en droit du numérique. La souveraineté numérique, ce n'est pas qu'un sujet technique. C'est d'abord un sujet de gouvernance.

*Cet entretien a été réalisé avec un DSI d'ETI européenne qui a souhaité conserver l'anonymat. Les opinions exprimées engagent son expérience propre et non celle de son employeur.*