Le paysage réglementaire 2026 : EU AI Act et RGPD s'articulent
Le régime européen de l'IA est entré dans sa phase d'application concrète. Le AI Act, adopté en 2024, déploie ses obligations selon un calendrier étalé. Les pratiques interdites (notation sociale, manipulation, biometrie temps réel dans l'espace public) sont applicables depuis février 2025. Les obligations sur les modèles à usage général (GPAI) — transparence du corpus d'entraînement, documentation technique, respect du droit d'auteur — s'appliquent depuis août 2025. Les obligations complètes sur les systèmes à haut risque (gestion des ressources humaines, justice, infrastructures critiques) entrent en vigueur en août 2026. À cela s'ajoutent les exigences de gouvernance des données, d'audit et de traçabilité.
Le RGPD reste la matrice de fond. Une inférence IA qui traite des données personnelles déclenche les mêmes obligations qu'un traitement classique : base légitime (art. 6), minimisation (art. 5), droits des personnes (art. 15 à 22), délégation de traitement (art. 28). Une API américaine qui reçoit des CV de candidats français crée un transfert international soumis aux garanties appropriées (art. 44 à 49), et la jurisprudence Schrems II limite sévèrement les options viables.
La CNIL, dans ses recommandations IA publiées entre 2024 et 2026, a posé une doctrine claire : anonymisation renforcée des corpus d'entraînement, registre détaillé des traitements IA (selon l'art. 30), évaluation d'impact (DPIA) obligatoire pour tout système profilant, notation ou traitant des données sensibles. La CNIL a également publié un framework d'expérimentation (sandbox) qui permet de tester un système IA sous contrôle, bénéfice non négligeable pour une PME qui veut se lancer.
Pour un DSI ou un CTO français en 2026, la réalité est simple : dès qu'une donnée personnelle ou sensible entre dans une chaîne IA, l'architecture doit être pensée pour répondre à ces trois cadres simultanément. Sovereign AI n'est pas un slogan : c'est l'ensemble de décisions techniques qui rendent cette conformité possible sans pénaliser la production.
Pourquoi le sovereign AI compte vraiment
Souveraineté ne veut pas dire nationalisme technologique. C'est un ensemble de quatre propriétés techniques vérifiables. Premièrement, la résidence des données : aucune donnée personnelle ne transite ni n'est stockée hors Union européenne pendant l'inférence, le fine-tuning ou l'évaluation. Le payload qui contient un CV, une conversation support, un dossier médical reste dans un périmètre EU à chaque étape.
Deuxièmement, la gouvernance du modèle. Un modèle souverain est un modèle dont on connaît le corpus d'entraînement (au minimum sa composition catégorielle), la licence d'usage, le process d'évaluation, et le schéma de mise à jour. Mistral Large, Llama 3.3, Gemma 2 publient leurs model cards et leur politique d'usage. Un modèle propriétaire fermé derrière une API opéraée hors UE ne donne aucune de ces garanties, et la CNIL considère cela comme un risque de conformité.
Troisièmement, l'audit trail. Chaque inférence est journalisée : horodatage, identifiant utilisateur, version du modèle, prompt entrée (ou son hash si trop sensible), réponse produite. Sans cette trace, un droit d'accès RGPD sur un traitement IA est impossible à honorer, et une inspection de la CNIL devient un risque direct. Sur nos projets, ces logs vont dans un bucket dédié chiffré, retention 13 mois, accès restreint au DPO et à l'équipe sécurité.
Quatrièmement, l'absence de dépendance structurelle. Si votre pipeline IA repose intégralement sur une API propriétaire hors UE, vous êtes à la merci d'un changement de CGU, d'une augmentation tarifaire, d'une rupture de service, ou d'un Cloud Act ordonnant un accès aux données. La diversification (multi-fournisseurs EU, capacité de bascule) est une assurance opérationnelle, pas un luxe.
L'écosystème de modèles européens en 2026
Le paysage des modèles s'est densifié. Mistral AI, avec Mistral Large 2 et son successeur Mistral Large 3, Codestral pour la génération de code, Pixtral pour le multimodal vision-texte, est devenu l'acteur européen de référence. La société propose à la fois des modèles propriétaires via son API (hébergée en France) et des modèles ouverts en poids (Mistral Small, Mixtral) sous licence Apache 2.0 ou Mistral Research, déployables sur l'infrastructure de votre choix.
Aleph Alpha, en Allemagne, positionne ses modèles Luminance sur les créneaux souverains (public, défense, finance) avec une offre incluant l'audit et la certification. Silo AI, racheté par AMD, propose des modèles scandinaves open-source comme Poro et Viking, optimisés pour les langues européennes non-anglaises. La cataloguage Hugging Face, bien qu'américain, héberge aujourd'hui la majorité des modèles open-weight européens et fournit une infrastructure EU pour l'inférence depuis 2025.
Côté open-weight, le trio Mistral, Llama 3.3 (Meta, mais déployable sur EU cloud), Gemma 2 (Google, même logique) couvre 90 % des cas d'usage PME. Mistral Small 3 rivalise avec GPT-4 mini sur les tâches françaises, Llama 3.3 70B reste l'option la plus polyvalente pour un self-hosting maîtrisé, Gemma 2 9B couvre les usages légers avec un coût d'infrastructure modeste.
La stratégie gagnante en 2026 n'est plus de choisir un seul modèle. C'est de bâtir une couche d'abstraction (un router LLM, type LiteLLM ou un router maison) qui permet de basculer entre plusieurs modèles selon le coût, la latence, la sensibilité de la requête. Mistral Large pour les tâches complexes, Mistral Small pour le routing, un modèle self-hosted Llama 3.3 70B pour les données hautement sensibles. Cette agilité est la clé de la résilience.
Infrastructure souveraine : OVHcloud, Scaleway et la filière GPU
Le cloud européen propose désormais une couverture IA crédible. OVHcloud, acteur historique français, expose ses offres AI Deploy et AI Training sur des instances GPU H100 et H200, avec un choix de régions (Gravelines, Roubaix, Limburg, Varsovie) toutes en Union européenne. Scaleway, filiale d'Iliad, propose des instances GPU H100 à l'heure et un serverless Managed Inference qui simplifie le déploiement de Llama ou Mistral en quelques minutes. Hetzner et Outscale complètent l'offre, avec un positionnement plus orienté coût pour le premier, et souveraineté pour le second.
Pour les workloads sensibles, la certification SecNumCloud (niveau 2 délivré par l'ANSSI) est le référentiel de référence. Elle garantit l'absence d'accès non européen aux données, la transparence sur les conditions juridiques applicables, et une séparation étanche entre les clients. OVHcloud (offre Sovereign Cloud) et Outscale détiennent cette certification. Bleu, le consortium Orange-Capgemini-Thales formé en 2024, monte en charge sur ce segment avec une offre IA souveraine sécurisée.
La question GPU reste le point de friction. L'Europe n'a pas la capacité de production de Nvidia, et le paradoxe est réel : même les clouds souverains achètent des H100 américains. Les initiatives se multiplient. Sintra, le supercalculateur européen installé en Finlande (LUMI), fournit de la capacité GPU pour la recherche et l'industrie. EuroAI, le consortium IA annoncé en 2025, ambitionne de fédérer une filière complète du circuit à l'application. La disponibilité reste inférieure aux États-Unis mais s'améliore continuellement, et le ratio prix/perf des instances EU a rattrapé son retard depuis 2024.
Pour une PME, le critère décisionnel est clair : si vos données sont sensibles (santé, défense, RH, public), exigez SecNumCloud ou à minima un hébergement EU avec DPA signé et garanties contractuelles. Si vos données sont non sensibles (marketing, code public), une région EU d'un cloud généraliste suffit. Le surcoût d'un cloud souverain certifié est de 20 à 35 % en moyenne, à mettre en regard du risque juridique et réputationnel.
Build vs Buy : le TCO d'une IA souveraine
Deux modèles économiques s'opposent. Le premier, l'API commerciale (Mistral Large, Aleph Alpha Luminance), facture à l'usage. Un token d'entrée coûte entre 0,2 et 2 € par million selon le modèle, un token de sortie entre 0,6 et 6 €. Pour une PME qui traite 10 000 requêtes par jour de 1 500 tokens en moyenne, la facture mensuelle Mistral Large tourne autour de 1 500 à 3 500 €. Avantages : zéro capex, mise en production en jours, pas de gestion infrastructure.
Le second, le self-hosting d'un modèle open-weight (Llama 3.3 70B, Mistral Small 3), change radicalement la structure de coût. Le modèle tourne sur 2 à 4 GPU H100 (le 70B demande environ 140 Go de VRAM en FP16, soit 2 H100). Sur OVHcloud ou Scaleway, une instance H100 revient à 1,8 à 2,5 € l'heure, soit environ 1 500 à 2 200 € par GPU par mois. Une infra à 4 H100 en haute dispo représente donc 10 000 à 18 000 € par mois, plus 1 ETP pour l'opération (MLOps, supervision, mise à jour, optimisation vLLM/SGLang).
Le seuil de bascule se situe autour de 100 000 à 150 000 tokens par minute en sustained load. En dessous, l'API Mistral est largement gagnante. Au-dessus, le self-hosting devient économiquement compétitif et offre trois avantages structurels : maîtrise totale de la donnée (aucune fuite potentielle vers un vendor), contrôle de la latence (typiquement 200 à 400 ms en local vs 600 à 1 200 ms via API selon la zone), et possibilité de fine-tuner le modèle sur vos corpus métier.
Notre recommandation pour une PME en 2026 : démarrer par l'API Mistral ou Aleph Alpha sur les cas non critiques (3 mois pour valider l'usage), puis migrer vers du self-hosted Llama 3.3 70B uniquement sur les cas souverains critiques où la donnée ne doit jamais sortir de votre périmètre. Le modèle hybride est roi : 80 % de l'usage en API, 20 % en self-hosted, géré par un router LLM qui route en fonction de la classification de sensibilité de la requête.
Roadmap d'adoption pour une PME : la règle 80/20
Toute la difficulté d'un projet IA souveraine est d'éviter deux écueils symétriques. Le premier : tout basculer en souverain par principe, en acceptant un surcoût de 30 % et une dette opérationnelle que l'équipe ne sait pas porter. Le second : tout envoyer sur des API américaines et subir un incident RGPD dans les 18 mois. La méthode 80/20 évite les deux, en segmentant les usages par niveau d'exigence.
Trois catégories émergent. La catégorie S1 (souveraineté requise) couvre : données RH (CV, évaluations, entretiens), santé (dossiers patients, télémédecine), défense et souveraineté nationale, secteur public et marchés publics, finance réglementée, données clients sensibles (bancaires, contrats). Pour ces usages : API Mistral ou Aleph Alpha, ou à défaut self-hosted Llama 3.3 70B sur infrastructure SecNumCloud, DPA signé, DPIA documentée, logs d'audit horodatés.
La catégorie S2 (souveraineté souhaitable) concerne : support client avec données personnelles modérées, CRM enrichi par IA, génération de contenu marketing personnalisé, analyse de feedbacks clients. Pour ces usages : API européenne (Mistral, Hugging Face EU) ou API américaine avec garanties appropriées (SCCs, chiffrement transit, anonymisation des prompts si possible). C'est la zone grise où le rapport coût/bénéfice est à calculer au cas par cas.
La catégorie S3 (souveraineté non requise) regroupe : génération de contenu marketing public, assistance au code sur des bases publiques, traduction de contenus non sensibles, rédaction de documentation technique à partir de sources publiques, ideation créative. Pour ces usages, une API généraliste (Claude, GPT, Gemini) est acceptable et économiquement optimale. La règle empirique sur nos projets PME en 2026 : environ 20 % des usages en S1, 30 % en S2, 50 % en S3. Le ratio 80/20 (80 % d'usage non souverain, 20 % souverain) reflète la réalité et permet de concentrer l'investissement là où il compte.
La roadmap pratique tient en cinq étapes sur un trimestre. Premièrement, cartographier les usages IA existants et à venir, en les classant S1/S2/S3. Deuxièmement, signer les DPA avec les fournisseurs EU (Mistral, OVHcloud, Scaleway). Troisièmement, mettre en place un router LLM avec classification automatique de sensibilité. Quatrièmement, déployer les logs d'audit et le registre des traitements IA. Cinquièmement, former les équipes produit et technique à la grille S1/S2/S3, pour qu'ils l'appliquent en amont de tout nouveau projet. À l'issue, vous disposez d'une base solide, auditable, et prêt à répondre à une inspection CNIL sans friction.