IA souveraine : trois architectures pour ne plus dépendre des data centers américains

# IA souveraine : trois architectures pour ne plus dépendre des data centers américains

En 2026, une question s'impose sur le bureau de chaque DSI européen : où s'exécutent réellement les modèles d'intelligence artificielle que mon entreprise utilise ? La réponse est souvent décevante. Dans la majorité des cas, les données transitent par des infrastructures situées en dehors du territoire européen, ou soumises au droit américain — même quand les serveurs sont physiquement en Europe.

L'implantation de Cerebras Systems en Finlande a relancé le débat. Mais Cerebras est-il vraiment la réponse souveraine qu'on attend ? Et quelles sont les vraies alternatives ? Ce comparatif passe en revue trois approches concrètes, sous l'angle de la sécurité et de la conformité réglementaire européenne.

Quelques définitions pour commencer

Cloud Act : loi américaine de 2018 qui autorise les autorités américaines à exiger l'accès aux données stockées par des entreprises américaines, y compris sur des serveurs situés en Europe. C'est le risque d'extraterritorialité numéro un pour les entreprises européennes.

RGPD : Règlement Général sur la Protection des Données. Il encadre le traitement des données personnelles en Europe.

NIS2 : directive européenne sur la cybersécurité des infrastructures critiques, entrée en vigueur en 2024.

DORA : règlement européen sur la résilience opérationnelle numérique du secteur financier, applicable depuis janvier 2025.

Edge computing : traitement des données au plus près de leur source (dans un bâtiment, une région), plutôt que dans un data center centralisé lointain.

Trois approches à comparer

Nous allons examiner trois architectures qui se présentent comme des alternatives aux offres dominantes américaines pour l'inférence IA :

1. Le modèle Cerebras en Europe du Nord (infrastructure spécialisée à grande échelle)

2. L'edge computing IA souverain (traitement local ou régional)

3. Le cloud souverain certifié européen (hébergement qualifié SecNumCloud ou équivalent)

Critère 1 — Architecture technique

Cerebras : des puces dédiées, mais une logique centralisée

Cerebras a construit sa réputation sur une approche radicalement différente des GPU classiques. Ses processeurs WSE (*Wafer Scale Engine*) sont des puces de très grande taille, conçues spécifiquement pour l'entraînement et l'inférence de modèles de langage. L'installation finlandaise repose sur cette architecture pour offrir une puissance de calcul concentrée sur un petit nombre de machines physiques.

L'avantage architectural : moins de nœuds à sécuriser, moins de surface d'attaque réseau entre les machines. L'inconvénient : c'est une infrastructure centralisée. Toutes les requêtes convergent vers un point unique en Finlande. Si ce point est compromis ou indisponible, il n'y a pas de basculement local.

Edge IA : distribué par nature

L'approche edge distribue le calcul. Des accélérateurs IA compacts — cartes dédiées, serveurs de proximité — sont déployés dans des locaux clients ou dans des micro data centers régionaux. Des acteurs européens comme Ateme (France) pour les flux vidéo, ou SiPearl (concepteur du processeur Rhea, cœur du projet EuroHPC) illustrent cette tendance à rapprocher le calcul des données.

Architecturalement, cette approche élimine le transit réseau longue distance. Les données ne quittent pas le périmètre maîtrisé. Le calcul est plus lent qu'avec un cluster Cerebras, mais il est structurellement souverain.

Cloud souverain certifié : virtualisation avec garanties juridiques

Le cloud souverain européen — qualifié SecNumCloud en France, ou selon des critères équivalents dans d'autres États membres — repose sur une virtualisation classique (serveurs, stockage, réseau) mais encadrée par des exigences juridiques strictes. L'opérateur doit être européen, sans lien de subordination avec une entité non européenne. C'est actuellement l'approche de Outscale (filiale de Dassault Systèmes) ou de IONOS (groupe United Internet, Allemagne).

Ces plateformes peuvent héberger des modèles IA open source (LLaMA, Mistral, Falcon) et les faire tourner sur des infrastructures dont la chaîne de contrôle est entièrement européenne.

Critère 2 — Exposition au Cloud Act et risques d'extraterritorialité

C'est le critère le plus important pour une DSI soucieuse de conformité.

| Architecture | Exposition Cloud Act | Contrôle capitalistique | Juridiction applicable |

|---|---|---|---|

| Cerebras (Finlande) | Élevée — société américaine | Américain | Droit US applicable |

| Edge IA souverain | Faible à nulle si acteur européen | Européen | Droit européen |

| Cloud souverain certifié | Nulle si qualification maintenue | Européen (exigé) | Droit européen |

Cerebras est une société américaine cotée au Nasdaq. Sa présence physique en Finlande ne change pas sa nationalité juridique. Les autorités américaines peuvent légalement lui demander l'accès à des données traitées sur ses serveurs européens. C'est exactement le même mécanisme qui a conduit l'Europe à invalider deux fois le Privacy Shield (accord de transfert de données UE-États-Unis).

Un cloud souverain certifié coupe ce lien par construction. La certification exige l'absence de toute dépendance envers une entité soumise à une législation extraeuropéenne.

Critère 3 — Conformité RGPD, NIS2 et DORA

RGPD

Le RGPD interdit en principe le transfert de données personnelles vers des pays sans niveau de protection adéquat. Or, l'inférence IA sur des données clients ou RH implique souvent des données personnelles. Utiliser un acteur américain — même hébergé en Europe — crée un risque de transfert illicite dès lors que cet acteur peut être contraint de divulguer ces données.

L'edge IA et le cloud souverain éliminent ce risque structurellement. Cerebras ne le fait pas.

NIS2

La directive NIS2 impose aux opérateurs de services essentiels et aux entités importantes de maîtriser leur chaîne de sous-traitance. Un prestataire IA américain représente un maillon à risque dans cette chaîne. Les autorités de contrôle nationales (en France, l'ANSSI) examinent désormais ces dépendances lors des audits.

DORA

Pour les acteurs financiers, DORA va plus loin. Il exige une cartographie des prestataires tiers critiques, des droits d'audit contractuels, et une démonstration de résilience. Un modèle IA hébergé chez un acteur américain sans clause d'audit accessible est difficilement compatible avec DORA.

Le cloud souverain certifié est la seule des trois approches à offrir des garanties contractuelles et techniques alignées avec DORA dès le départ.

Critère 4 — Gouvernance des modèles et traçabilité

Qui contrôle le modèle IA qui traite vos données ? C'est une question de gouvernance souvent négligée.

Avec Cerebras, le modèle tourne sur une infrastructure dont vous ne maîtrisez ni le code d'exploitation, ni les mises à jour, ni les accès internes. C'est une boîte noire américaine, même si elle est physiquement en Finlande.

L'edge IA souverain, couplé à un modèle open source auditable (dont les poids sont publics et vérifiables), offre une traçabilité maximale. Vous savez exactement quelle version du modèle tourne, sur quelle machine, avec quels paramètres.

Le cloud souverain certifié offre un niveau intermédiaire : vous choisissez et déployez votre modèle, mais vous dépendez de l'opérateur pour la couche infrastructure. Les contrats incluent généralement des clauses de réversibilité et d'audit, exigées par la qualification.

Ce que cela signifie concrètement pour votre SI

L'annonce Cerebras en Finlande est une bonne nouvelle pour la capacité de calcul IA en Europe du Nord. Ce n'est pas une réponse à la question de la souveraineté numérique européenne. Ce sont deux choses différentes.

Pour une PME ou une ETI européenne qui doit répondre à un audit NIS2, justifier sa conformité RGPD ou passer une revue DORA, la question n'est pas « où sont les serveurs ? » mais « qui peut y accéder sans me le dire ? ».

Sur ce critère, seules les architectures dont la chaîne de contrôle est entièrement européenne — edge souverain ou cloud certifié — offrent une réponse satisfaisante. Le reste, quelle que soit la localisation physique, reste soumis au risque d'extraterritorialité américaine.

La construction d'une alternative IA souveraine en Europe est en cours. Elle passe par des choix d'architecture autant que par des choix politiques. Les DSI ont un rôle à jouer dans ce choix — à chaque appel d'offres, à chaque renouvellement de contrat.