Plan 'Osez l'IA' un an après : une fenêtre pour les ETI, pas une garantie de souveraineté

# Plan 'Osez l'IA' un an après : une fenêtre pour les ETI, pas une garantie de souveraineté

*Analyse approfondie — Focus sécurité & conformité*

Le plan 'Osez l'IA', lancé mi-2025 dans le sillage de la stratégie IA de la Commission européenne, avait une ambition claire : accélérer l'adoption de l'intelligence artificielle dans les PME et ETI françaises et européennes, avec des enveloppes d'accompagnement, des référentiels sectoriels et une promesse d'outillage accessible. Un an après, la question n'est pas de savoir si les ETI ont "osé". La question est de savoir ce qu'elles ont signé en le faisant — et avec qui.

Parce que dans les faits, une partie significative des déploiements réalisés dans le cadre de ce plan ont embarqué, par défaut ou par facilité, des briques technologiques dont la chaîne de dépendance remonte directement à des acteurs américains soumis au Cloud Act. Ce n'est pas un jugement de valeur sur la qualité des outils. C'est un constat juridique et stratégique que tout DSI d'ETI doit avoir en tête avant d'ouvrir son prochain tableau de bord IA.

Voici ce que ce bilan révèle vraiment — et ce que vous pouvez en faire.

Ce que le plan a effectivement produit : adoption accélérée, vigilance souveraineté en retard

Le plan 'Osez l'IA' a eu un mérite réel : il a normalisé la question de l'IA dans des organisations qui la considéraient encore comme un sujet de grand groupe. Des directions générales d'ETI industrielles, de cabinets de conseil régionaux, de sociétés de services ont mis le pied dans l'IA générative avec un cadre institutionnel qui leur donnait une forme de légitimité budgétaire.

Mais la logique du plan, dans son opérationnalisation, a souffert d'un angle mort majeur : l'accompagnement proposé — formations, diagnostics, subventions — n'intégrait pas systématiquement une grille de lecture souveraineté. Les référentiels de choix d'outils mis à disposition des entreprises bénéficiaires étaient, dans de nombreux cas, technologiquement agnostiques. Ce qui, en pratique, signifie que l'offre dominante US — la plus visible, la mieux distribuée, celle dont les commerciaux répondent le plus vite — a capté une part disproportionnée des déploiements.

Pour un DSI d'ETI, la conséquence est concrète : vous avez peut-être déployé une solution IA légitime sur le papier, financée en partie par des dispositifs publics, et vous avez simultanément ouvert une surface d'exposition juridique que votre juriste n'a pas encore cartographiée.

Cloud Act, extraterritorialité, NIS2 : le triptyque que votre IA ignore peut-être

Remettons les bases sur la table, parce que dans la pratique des ETI, ces trois acronymes sont encore trop souvent traités comme des sujets de conformité théorique plutôt que comme des risques opérationnels.

Le Cloud Act (Clarifying Lawful Overseas Use of Data Act, 2018) donne aux autorités américaines la capacité de contraindre une entreprise américaine à fournir des données hébergées n'importe où dans le monde, y compris sur des serveurs situés en Europe. Cela vaut pour les données que vous avez transmises à un modèle d'IA hébergé sur une infrastructure américaine — même si le datacenter est physiquement à Francfort ou à Dublin. Le droit de regard américain ne s'arrête pas à la frontière physique du serveur.

NIS2, en vigueur depuis octobre 2024 dans la majorité des États membres, élargit considérablement le périmètre des entités concernées par les obligations de cybersécurité. De nombreuses ETI qui se pensaient hors scope se retrouvent désormais dans les catégories "entités importantes" ou "entités essentielles", selon leur secteur et leur taille. À ce titre, elles doivent être en mesure de documenter leurs chaînes de dépendance technologique, leurs fournisseurs critiques, et leurs capacités de réponse aux incidents. Si votre IA repose sur une API tierce non documentée dans votre registre des risques, vous êtes déjà en écart.

DORA (Digital Operational Resilience Act), entré en application début 2025, cible prioritairement les entités financières — mais ses exigences en matière de résilience des tiers numériques ont un effet de cascade sur les prestataires technologiques de ce secteur. Si votre ETI travaille pour ou avec des acteurs financiers, les exigences de contractualisation et de traçabilité de vos outils IA remontent jusqu'à vous.

Le point commun de ces trois cadres : ils supposent que vous savez exactement qui traite vos données, où, selon quelle juridiction, et avec quelles garanties contractuelles. Or, un déploiement IA réalisé dans l'urgence d'un plan d'accompagnement public ne garantit aucunement que cette cartographie a été faite.

Ce que révèlent les configurations à risque les plus fréquentes

Sans nommer d'entreprises spécifiques — le principe de confidentialité des situations observées l'interdit — les configurations à risque qui émergent dans les retours terrain d'ETI ayant participé au plan présentent plusieurs patterns récurrents.

Premier pattern : l'API IA non qualifiée RGPD. L'entreprise a connecté son outil métier à une API d'un modèle de langage dont les conditions générales prévoient explicitement — souvent dans un avenant technique peu lu — que les données soumises peuvent être utilisées à des fins d'amélioration du modèle. Dans ce cas, votre base clients, vos contrats, vos données RH soumises en prompt deviennent potentiellement un matériau d'entraînement. Ce n'est pas une hypothèse catastrophiste. C'est une lecture directe de certaines CGU.

Deuxième pattern : le SaaS IA sur infrastructure US sans DPA (Data Processing Agreement) adapté. Le prestataire est une société de droit européen, mais son infrastructure sous-jacente repose sur un cloud américain. Le DPA signé avec le prestataire européen ne couvre pas la relation entre ce prestataire et son fournisseur d'infrastructure. Vous avez un contrat propre avec la couche du dessus, et un trou béant dans la couche du dessous.

Troisième pattern : l'intégration sans inventaire. L'outil IA a été déployé par une direction métier sans implication de la DSI, dans le cadre d'une licence SaaS souscrite en mode self-service. La DSI l'apprend lors d'un audit NIS2 ou, pire, lors d'un incident. Ce shadow IT IA est probablement le risque le plus sous-évalué dans les ETI de moins de cinq cents salariés.

Ces trois configurations ne sont pas des cas extrêmes. Elles sont documentées dans les retours d'expérience de plusieurs organismes d'accompagnement à la transformation numérique. Le plan 'Osez l'IA' n'en est pas la cause directe — mais son rythme d'adoption a créé un contexte favorable à leur multiplication.

L'opportunité réelle : un moment pour reprendre la main, pas pour attendre

Le bilan n'est pas qu'un constat d'échec. Il est aussi une carte d'opportunités pour les DSI qui veulent utiliser ce moment de bilan comme levier de transformation.

Première opportunité : l'audit de dépendance IA comme point d'entrée stratégique. Proposer à votre direction générale un audit des outils IA déployés — y compris ceux que vous ne contrôlez pas — est aujourd'hui un argument qui tient debout à la fois sur le plan juridique (NIS2, RGPD) et sur le plan business (risque de dépendance fournisseur, continuité de service). Ce n'est plus un sujet DSI isolé. C'est un sujet de gouvernance d'entreprise.

Deuxième opportunité : la requalification des choix technologiques à l'occasion des renouvellements de contrat. Les contrats SaaS signés dans l'urgence de 2025 arrivent à échéance. C'est le moment de remettre à plat les conditions d'hébergement, de traitement des données, de portabilité. Des acteurs européens — notamment dans l'espace des modèles de langage souverains et de l'hébergement certifié SecNumCloud — ont significativement structuré leurs offres depuis dix-huit mois. La comparaison n'est plus aussi défavorable qu'en 2023 sur le plan fonctionnel.

Troisième opportunité : l'IA Act comme cadre de différenciation. L'IA Act européen, entré progressivement en application depuis 2025, impose des obligations de transparence et de documentation sur les systèmes IA à risque élevé. Pour les ETI qui traitent des données RH, médicales, ou qui opèrent dans des secteurs réglementés, se mettre en conformité IA Act n'est pas qu'une contrainte : c'est un argument commercial vis-à-vis de donneurs d'ordre publics et parapublics qui vont progressivement en faire un critère d'appel d'offres. Rares sont les ETI qui ont anticipé cela. Celles qui le font maintenant ont dix-huit mois d'avance.

L'acteur Dust, éditeur français d'une plateforme d'IA pour entreprises, ou encore Clever Cloud, qui héberge des applications en infrastructure souveraine, illustrent — sans que cela constitue une recommandation commerciale — le type d'alternatives européennes qui ont gagné en maturité et en crédibilité depuis le lancement du plan. Ce ne sont pas les seuls. Mais ils signalent que le spectre des choix disponibles s'est élargi.

Ce que vous devez faire dans les quatre-vingt-dix prochains jours

Pas de liste à rallonge. Trois actions, par ordre de priorité.

Cartographier avant de construire. Avant tout nouveau déploiement IA, avant tout renouvellement de contrat, imposez une cartographie des flux de données impliqués. Qui traite quoi, où, sous quelle juridiction, avec quelle base contractuelle. Ce travail prend deux à quatre semaines avec un juriste spécialisé en données et un architecte SI. Il est nettement moins coûteux qu'une mise en demeure CNIL ou qu'un incident NIS2 non documenté.

Faire de la souveraineté un critère formel dans vos appels d'offres technologiques. Pas un critère symbolique. Un critère pondéré, documenté, opposable. Cela suppose de définir ce que vous entendez par souveraineté : hébergement sur sol européen, opérateur de droit européen, absence de subordination à une maison mère extra-européenne, certification SecNumCloud ou équivalent. Ce critère foralisé vous protège aussi en cas d'audit NIS2.

Imposer un processus de validation DSI pour tout outil IA, quelle que soit la direction métier qui le sollicite. Le shadow IT IA est le risque le plus immédiat et le plus sous-estimé. Une note de gouvernance interne, validée par la direction générale, qui impose un circuit de validation avant tout abonnement SaaS IA — même en version gratuite ou freemium — est la mesure la plus simple et la plus efficace que vous puissiez mettre en place cette semaine.

Le plan 'Osez l'IA' a joué son rôle d'accélérateur. Il a mis l'IA sur l'agenda de milliers d'ETI qui n'y étaient pas. Mais un accélérateur n'est pas un GPS. Il ne dit pas où aller, seulement plus vite. Un an après, la question souveraineté n'est plus un débat académique réservé aux think tanks. Elle est dans vos contrats, dans vos logs, dans vos flux de données. Et c'est maintenant que vous décidez si vous la traitez — ou si vous attendez qu'elle vous rattrape.