Nos modèles, nos règles : pourquoi l'open-weight européen n'est plus une option de repli

# Nos modèles, nos règles : pourquoi l'open-weight européen n'est plus une option de repli

Je vais être direct. En 2026, si vous déployez encore un modèle de fondation américain au cœur de votre SI sans avoir sérieusement pesé les alternatives européennes open-weight, vous ne faites pas un choix technologique. Vous signez une exposition juridique que vous ne maîtrisez pas, sur des données que vous ne contrôlez pas, pour un fournisseur qui ne vous doit rien.

Ce n'est pas une posture. C'est une lecture froide du cadre réglementaire dans lequel nous opérons.

Le Cloud Act n'a pas disparu. Il s'est banalisé.

On a beaucoup parlé du Cloud Act en 2019, 2020, 2021. Puis le sujet s'est dilué dans le bruit. Les acteurs américains ont sorti leurs offres souveraines, leurs enclaves, leurs architectures isolées. Et beaucoup de DSI ont baissé la garde, rassurés par des SLA épaisses comme des annuaires.

Mais la réalité juridique n'a pas bougé d'un centimètre. Un acteur soumis au droit américain peut être contraint de transmettre des données à des autorités américaines, y compris lorsque ces données sont hébergées hors des États-Unis, y compris dans un datacenter étiqueté « souverain ». Ce n'est pas une hypothèse d'école. C'est la lettre du texte.

Or, ce que nous faisons avec les LLM en 2026, ce n'est plus de la génération de texte anodine. Nous faisons tourner des modèles sur des données contractuelles, des données RH, des analyses concurrentielles, des flux financiers. Si ce modèle est hébergé chez un acteur américain — même derrière dix couches d'abstraction — la question de l'extraterritorialité n'est pas théorique. Elle est opérationnelle.

NIS2 et DORA ne vous demandent pas d'être paranoïaques. Ils vous demandent d'avoir cartographié vos risques de dépendance tierce. Un modèle IA sur lequel repose un processus critique, et dont le fournisseur est soumis à une juridiction étrangère, c'est une dépendance tierce. Point.

L'open-weight change la donne. Mais pas par magie.

C'est là que les modèles open-weight européens entrent en jeu — et pas comme alternative « pour ceux qui n'ont pas les moyens ».

Prenons ce que font Mistral AI et Aleph Alpha depuis maintenant deux ans. Les deux ont fait des choix structurellement différents, mais convergents sur un point fondamental : ils permettent un déploiement on-premise ou dans un environnement cloud que vous contrôlez. Le poids du modèle vous appartient. L'inférence se fait dans votre périmètre. Aucune donnée n'est envoyée vers une API tierce dont vous ne maîtrisez pas la chaîne de sous-traitance.

Pour un RSSI, c'est la différence entre un périmètre auditable et une boîte noire. Pour un DPO, c'est la différence entre une base légale RGPD solide et une construction précaire. Pour un DSI soumis à DORA, c'est la différence entre une architecture dont vous pouvez démontrer la résilience et une dépendance que vous ne pourrez jamais tester en conditions réelles.

Mais soyons honnêtes : open-weight ne signifie pas « gratuit », « simple » ou « sans risque ». Déployer et opérer un modèle de sept ou soixante-dix milliards de paramètres en production demande une infrastructure, une compétence de fine-tuning, une chaîne MLOps que beaucoup de PME et ETI n'ont pas encore en interne. L'open-weight n'est pas un raccourci. C'est un transfert de responsabilité — et c'est précisément ce que nous voulons.

La pression chinoise rend l'enjeu encore plus lisible

La montée en puissance des modèles chinois open-weight depuis 2025 a au moins eu le mérite de clarifier le débat. Quand une DSI me demande « pourquoi ne pas utiliser tel modèle chinois open-weight, il est performant et gratuit ? », ma réponse tient en une question : dans quel cadre de gouvernance des données voulez-vous opérer ?

Le RGPD n'est pas qu'une contrainte. C'est un avantage concurrentiel et une promesse contractuelle vis-à-vis de vos clients. Déployer un modèle dont la chaîne de développement, de supervision et potentiellement de télémétrie est liée à une juridiction qui n'a pas ratifié les mêmes standards, c'est prendre un risque de conformité que vous ne pouvez pas compenser avec un beau rapport d'audit.

L'Europe a choisi un cadre. Ce cadre a un coût. Il a aussi une valeur — pour vos clients, pour vos partenaires, pour vos régulateurs. Les modèles open-weight européens sont l'une des rares technologies qui permettent d'honorer ce cadre sans sacrifier la performance.

Ce que je vous recommande de faire cette semaine

Pas une liste de produits. Trois questions à poser en CODIR avant votre prochain budget IA.

Première question : pour chaque cas d'usage IA en production ou en POC, où s'exécute l'inférence, et sous quelle juridiction est soumis le fournisseur de cette inférence ? Si vous n'avez pas la réponse immédiatement, vous avez un angle mort de conformité.

Deuxième question : avez-vous documenté la dépendance IA tierce dans votre registre des risques NIS2 ou DORA ? Un modèle qui pilote un processus critique sans plan de continuité alternatif, c'est une non-conformité en attente d'un incident.

Troisième question : avez-vous évalué le coût réel d'un déploiement on-premise open-weight européen — infrastructure, compétences, maintenance — contre le coût de la dépendance API américaine en cas de hausse tarifaire, de changement de conditions d'utilisation, ou de litige réglementaire ? Ce calcul, la plupart des équipes ne l'ont pas fait.

La souveraineté n'est pas un luxe de grand groupe

On me répond parfois que la souveraineté numérique, c'est pour les grands comptes, les OIV, les administrations. Que la PME ou l'ETI n'a pas les moyens de se payer cette exigence.

C'est faux, et c'est dangereux comme raisonnement. Les PME et ETI européennes sont précisément celles qui ont le moins de marge pour absorber un incident réglementaire, un contentieux client lié à une fuite de données, ou une rupture de service imposée par un acteur américain qui décide de modifier son offre ou ses tarifs unilatéralement — ce qui, rappelons-le, est arrivé plusieurs fois ces dernières années.

L'open-weight européen n'est pas parfait. L'écosystème est encore jeune, les outils de déploiement se professionnalisent, le support enterprise se structure. Mais il existe. Il est auditable. Il est juridiquement cohérent avec le cadre dans lequel nous opérons.

En 2026, choisir un modèle IA, c'est choisir une gouvernance. Je préfère choisir la nôtre.