Études & Réflexions › IA et souveraineté des données : un choix stratégique

La question se pose pour toute organisation qui confie des données à un tiers : où vont les données d'effectifs, de compétences, de finances qu'on traite ? Chez un prestataire américain soumis au Cloud Act ? La réponse détermine un choix stratégique, pas un détail technique.

Ce choix concerne toute organisation. Le règlement européen sur l'IA classe les systèmes utilisés dans la santé et les RH comme « haut risque », avec des obligations renforcées de transparence et de supervision ; ces obligations spécifiques entrent en application le 2 décembre 2027. En parallèle, le RGPD continue d'encadrer strictement le traitement des données personnelles, dès aujourd'hui.

La souveraineté n'est ni un absolu ni un luxe. C'est un curseur que chaque organisation doit positionner en fonction de la sensibilité de ses données. Voici comment s'y prendre.

Pourquoi la souveraineté des données est-elle devenue un sujet stratégique ?

Quand une organisation confie ses données à un tiers, elle délègue une partie de sa capacité à décider librement de leur usage. C'est un enjeu d'indépendance, pas seulement de conformité.

Quand des données sont hébergées chez un fournisseur américain, elles sont soumises au Cloud Act, qui autorise les autorités américaines à accéder aux données stockées par des entreprises américaines, quel que soit le pays d'hébergement. La localisation physique des serveurs ne suffit pas : ce qui compte, c'est la nationalité de l'opérateur.

Pour les organisations soumises au secret médical ou au secret des affaires, cette extraterritorialité est un risque réel, un fait juridique dont les implications doivent être évaluées.

Confier ses données à un fournisseur unique crée une dépendance. Si les tarifs augmentent, si les conditions changent, si le service est interrompu, l'organisation est captive. Ce risque est documenté : des organisations se retrouvent bloquées pendant des mois quand leur fournisseur change de stratégie produit sans préavis suffisant.

La souveraineté, c'est aussi la capacité à changer de fournisseur sans perdre ses données. L'article sur le pilotage de la masse salariale illustre ce risque : quand on construit son suivi sur un outil propriétaire unique, on est captif quand l'outil n'évolue plus.

Une majorité de dirigeants (56 %, selon le PwC CEO Survey 2026) déclarent n'avoir constaté ni hausse de revenus ni baisse de coûts grâce à leurs investissements IA sur les douze derniers mois : un déficit de preuve qui alimente un déficit de confiance, et la souveraineté des données est un des leviers pour reconstruire cette confiance. Dans le secteur de la santé en particulier, un établissement doit garantir que les données d'absentéisme, de rémunérations, de mouvements de personnel restent sous contrôle. C'est non négociable.

La confiance se construit par des choix vérifiables : hébergement identifié, conditions transparentes, politique de données documentée.

Ce n'est pas un sujet réservé aux DSI. Quand une organisation choisit un outil d'IA pour son processus budgétaire, elle confie la visibilité sur sa structure de coûts et ses projections. Ce choix ne peut pas être laissé à un acheteur informatique seul. Il implique les dirigeants.

Qu'est-ce que le cloud souverain et à qui s'adresse-t-il ?

Un hébergement opéré et hébergé en Europe, exempt des législations extraterritoriales, est aujourd'hui une alternative crédible aux hyperscalers américains. Le marché a considérablement mûri.

En France, la certification SecNumCloud 3.2 délivrée par l'ANSSI est devenue la référence : hébergement en France, immunité aux législations extraterritoriales, audit de sécurité approfondi. Pour la santé, la certification d'hébergement de données de santé (HDS) complète le dispositif en garantissant la conformité au code de la santé publique.

Ces certifications engagent les fournisseurs sur des critères vérifiables et auditables, un repère fiable pour justifier les choix d'hébergement auprès des tutelles.

Les commandes de cloud souverain de l'État français ont atteint 84 millions d'euros en 2025, en hausse de 62 % par rapport à 2024. OVHcloud, Scaleway, NumSpot, Outscale proposent des offres matures, y compris pour les charges de travail IA. Le cloud souverain est passé du statut de niche militante à celui d'option sérieuse dans les appels d'offres.

Le cloud souverain s'adresse en priorité aux organisations traitant des données sensibles : santé, défense, finances publiques. Mais le principe de maîtrise vaut pour toute organisation qui considère ses données comme un actif stratégique. Un diagnostic du pilotage commence par une question simple : quelles données utilisez-vous pour prendre des décisions, et où sont-elles ?

Souveraineté et IA : quelles implications concrètes ?

Ce ne sont pas des contraintes techniques insurmontables. Ce sont des choix de conception.

Premier niveau, l'hébergement européen. Les données restent sur des infrastructures soumises au droit européen. Pour les outils SaaS, il faut vérifier la garantie contractuelle d'hébergement en Europe, pas seulement le lieu de traitement.

Pour un niveau maximal, l'hébergement local. Une souveraineté par conception, pas par simple configuration a posteriori.

La question n'est pas « open source ou propriétaire ? » mais « peut-on comprendre et expliquer ce que fait le modèle ? ». En pilotage des effectifs ou en reporting financier, un écart de prévision inexpliqué par un modèle opaque n'a aucune valeur décisionnelle.

La capacité à migrer vers un autre fournisseur sans perte de données est un critère de souveraineté autant que de bonne gestion. Trois questions permettent de l'évaluer : les données sont-elles exportables dans un format standard ? La documentation de la structure des données est-elle complète et à jour ? Existe-t-il une clause contractuelle de réversibilité avec un délai raisonnable ? Un fournisseur qui rend la migration difficile n'est pas un partenaire fiable à long terme.

La transparence doit être opérationnelle. Trois questions auxquelles il faut pouvoir répondre à tout moment : quelles données l'IA utilise-t-elle ? Que produit-elle ? Qui a accès aux résultats ? Si on ne peut pas répondre, il y a un problème.

La souveraineté a-t-elle un coût ?

Oui, mais il est souvent surestimé. Et surtout, le coût de la non-souveraineté est rarement chiffré. Or c'est là que les vrais risques se cachent.

Les offres souveraines européennes sont compétitives pour la majorité des cas d'usage. Pour les charges de travail IA les plus intensives (calcul par processeur graphique notamment), un écart peut subsister, mais il doit être mis en perspective avec la valeur des données traitées.

Le coût de la non-souveraineté est rarement chiffré, mais il est réel, et se décompose en quatre risques.

Risque juridique. Non-conformité RGPD : amende pouvant atteindre 4 % du chiffre d'affaires mondial. Le règlement européen sur l'IA ajoute des obligations pour les systèmes haut risque, dont l'entrée en application est désormais fixée au 2 décembre 2027 pour les cas d'usage RH et santé. L'article sur la délégation à l'IA détaille le cadre de supervision humaine.

Risque de dépendance. Plus l'organisation est intégrée dans un écosystème, plus le coût de sortie est élevé.

Risque de confiance. Une fuite de données entame la confiance des collaborateurs et des partenaires, un actif intangible dont l'érosion a des conséquences durables.

Risque d'obsolescence. Un fournisseur qui change de stratégie peut rendre obsolètes les investissements réalisés.

La consommation électrique des centres de données a atteint 415 térawattheures en 2024, avec une projection à 945 térawattheures d'ici 2030 selon l'Agence internationale de l'énergie. Héberger localement, c'est aussi maîtriser l'empreinte énergétique de ses traitements, un argument de plus en plus présent dans les arbitrages.

Comment aborder la souveraineté de manière pragmatique ?

Pas de dogme : un curseur à positionner en fonction de la sensibilité des données et des contraintes. Quatre étapes structurent la démarche.

Classer les données en trois catégories. Sensibilité haute : données de santé, données RH nominatives, données financières stratégiques, données couvertes par le secret médical. Hébergement souverain requis. Sensibilité moyenne : indicateurs d'activité, données de pilotage agrégées. Hébergement standard acceptable avec garanties contractuelles solides. Sensibilité basse : données publiques, anonymisées, documentation. Pas d'exigence particulière.

Évaluer les fournisseurs sur cinq dimensions. La localisation et le droit applicable, les certifications détenues (SecNumCloud, HDS selon le secteur), la portabilité des données, la transparence sur les usages et les sous-traitants, et la pérennité financière et stratégique du fournisseur. Les données sont un actif : elles méritent la même rigueur dans le choix de leur hébergeur que dans le choix de n'importe quel partenaire stratégique.

Privilégier les formats ouverts. Formats standards, API documentées, absence de verrouillage propriétaire sont des garanties de souveraineté à long terme. Les architectures ouvertes permettent de combiner des outils de différents fournisseurs : un outil de consolidation budgétaire qui exporte en format standard peut alimenter un outil d'analyse d'un autre fournisseur. Cette modularité est une forme de souveraineté.

Anticiper le cadre réglementaire. Le règlement européen sur l'IA impose déjà, depuis février 2025, une obligation de maîtrise de l'IA par les personnels des organisations qui déploient des systèmes d'IA, et les obligations de transparence s'appliquent depuis août 2026. Les obligations renforcées pour les systèmes haut risque (Annexe III, dont RH et santé) entrent en application le 2 décembre 2027. Intégrer dès maintenant les principes de base (transparence, supervision, documentation) dans les projets IA, c'est prendre de l'avance, pas se contraindre.

Quelles sont les spécificités sectorielles ?

Dans la santé, le secret médical, la certification HDS et un cadre CNIL spécifique s'imposent. Un outil de pilotage des effectifs qui traite de l'absentéisme, des compétences, des mouvements de personnel doit offrir des garanties d'hébergement adaptées.

Dans le secteur public, la doctrine « cloud au centre » impose l'utilisation de clouds certifiés SecNumCloud pour les données sensibles. Pour les collectivités qui pilotent des budgets importants, le choix d'outils souverains est une obligation réglementaire autant qu'un choix de bonne gestion.

En PME, les données (clients, finances, savoir-faire) sont souvent l'essentiel de la valeur de l'entreprise. Avec des volumes modérés, le passage à des outils locaux est rapide et peu coûteux : pas besoin d'une infrastructure complexe pour héberger un suivi budgétaire en local.

Souveraineté et IA générative : un cas particulier

Un collaborateur qui utilise un service d'IA générative grand public pour résumer un rapport financier confidentiel transmet ces données à un tiers, sans garantie de confidentialité, sans traçabilité. Potentiellement, ces données servent à entraîner les modèles suivants. C'est un risque invisible et sous-estimé.

Des alternatives existent : instances dédiées d'un fournisseur cloud, modèles européens proposés par des partenaires, ou modèles open source déployables en local. Pour le pilotage, ces alternatives sont largement suffisantes. Analyser un écart budgétaire ne nécessite pas le modèle le plus puissant du marché, mais un modèle fiable dans un cadre maîtrisé.

Plutôt qu'interdire l'IA générative, ce qui ne fonctionne jamais, mieux vaut définir une politique claire : ce qui ne sort jamais, ce qui est mis à disposition, ce qui doit être vérifié. Trois règles claires sur une page seront appliquées. Un document de cinquante pages ne le sera pas.

Comment mesurer la maturité souveraine de son organisation ?

Une grille en cinq niveaux permet de se situer.

Niveau 1, aucune maîtrise. Données dispersées, pas d'inventaire, IA utilisée via des outils grand public.

Niveau 2, conscience. L'organisation sait où sont ses données sensibles. Réflexion engagée.

Niveau 3, cadrage. Politique de données, fournisseurs évalués, règles d'usage IA en place.

Niveau 4, maîtrise. Données sensibles en cadre souverain, instances dédiées, portabilité assurée.

Niveau 5, excellence. Souveraineté intégrée dans la culture, audits réguliers.

L'écosystème européen : où en est-on ?

Il a considérablement mûri. Côté cloud souverain : OVHcloud, Scaleway, NumSpot, Outscale proposent des offres certifiées SecNumCloud. Côté IA souveraine : Mistral AI propose des modèles déployables en Europe. GAIA-X et le règlement européen sur les données (Data Act) posent le cadre de l'interopérabilité.

Pour les cas d'usage courants du pilotage, consolidation budgétaire, suivi des effectifs, reporting automatisé, les alternatives souveraines sont matures et performantes.

Questions fréquentes

Le RGPD interdit-il l'utilisation de l'IA ?

Non. Le RGPD encadre le traitement des données personnelles, quel que soit l'outil. L'IA est compatible avec le RGPD si on respecte minimisation, transparence et base légale. L'enjeu n'est pas d'éviter l'IA, mais de l'utiliser dans un cadre qui respecte les droits des personnes.

Peut-on utiliser un assistant IA grand public avec des données sensibles ?

Les services grand public ne garantissent pas la confidentialité. Pour des données sensibles, il faut recourir à des instances dédiées ou à des modèles déployés en local. C'est non négociable.

La souveraineté est-elle un sujet uniquement pour le secteur public ?

Non. Toute organisation dont les données sont un actif stratégique a intérêt à maîtriser leur hébergement. La question vaut pour une PME comme pour un ministère : que se passe-t-il si votre fournisseur change ses conditions ?

La souveraineté freine-t-elle l'innovation ?

Non. C'est un cadre, pas une restriction. Les organisations qui maîtrisent leurs données sont mieux positionnées pour expérimenter, parce qu'elles savent ce qu'elles exposent et ce qu'elles protègent.

Par où commencer pour renforcer la souveraineté de ses données ?

Par un inventaire : quelles données sensibles l'organisation détient-elle, et où sont-elles hébergées ? Ensuite, prioriser : commencer par les données les plus sensibles et les outils les plus critiques.

Brice Béchet

Consultant en pilotage des organisations

Contrôleur de gestion sénior, data scientist et créateur d'effectivo.fr, application de prévision stratégique des effectifs (Anticipez. Simulez. Décidez), j'accompagne les organisations à structurer leurs données et optimiser leur pilotage.

En savoir plus LinkedIn