Une phrase prononcée sous serment
En juin 2025, lors d’une audition devant la commission d’enquête du Sénat sur la commande publique, le directeur des affaires publiques de Microsoft France a reconnu, sous serment, qu’il ne pouvait pas garantir que les données des citoyens français hébergées par l’entreprise ne seraient jamais transmises aux autorités américaines si celles-ci en faisaient la demande. Microsoft a précisé qu’à sa connaissance aucune entreprise ou administration européenne n’avait été concernée à ce jour. Mais l’essentiel était dit : la localisation des serveurs en Europe ne suffit pas à protéger les données d’un fournisseur soumis au droit américain.
Un an plus tard, cette déclaration reste la meilleure illustration de ce que recouvre le Cloud Act : une loi qui permet aux autorités américaines d’exiger des données détenues par une entreprise américaine, où qu’elles soient stockées dans le monde.
Un conflit de lois qu’aucun contrat ne résout
Côté européen, l’article 48 du RGPD n’autorise le transfert de données sur décision d’une autorité étrangère que si un accord international le prévoit. Or aucun accord de ce type ne couvre aujourd’hui les injonctions adressées directement aux fournisseurs au titre du Cloud Act. Le fournisseur se retrouve pris entre deux droits contradictoires, et les clauses contractuelles, si soignées soient-elles, ne peuvent pas trancher ce conflit à sa place.
Pour l’entreprise cliente, la conclusion est simple : le risque ne se négocie pas, il se supprime en choisissant où et par qui ses données sont traitées.
Et l’IA générative dans tout cela ?
La question se pose avec une acuité particulière pour l’IA générative. Quand un collaborateur interroge un assistant en ligne, il lui confie bien plus qu’un fichier : des contrats, des notes de réunion, des données clients, parfois une stratégie entière résumée dans un prompt. Ces contenus transitent par les serveurs du fournisseur du modèle, et souvent par ceux de son hébergeur.
- Les prompts sont des données : ils contiennent le contexte le plus sensible de l’entreprise, rédigé en clair.
- Les documents indexés aussi : un assistant connecté à votre base documentaire en cloud expose l’ensemble de cette base.
- Les journaux d’usage révèlent qui travaille sur quoi, et quand.
La réponse la plus directe : l’IA dans vos murs
Une IA déployée sur site (on-premise) change la nature du problème. Le modèle tourne sur un serveur qui vous appartient, dans votre réseau ; les documents, les conversations et les calculs ne sortent jamais de votre infrastructure. Il n’y a plus de tiers à qui adresser une injonction.
C’est le choix que nous avons fait avec MIA, notre assistant d’IA générative, et avec notre API locale : la souveraineté n’y est pas une promesse contractuelle, c’est une propriété de l’architecture.
Clouds souverains, clouds qualifiés : de quoi parle-t-on ?
Face à ce constat, plusieurs réponses coexistent. Les offres qualifiées SecNumCloud par l’ANSSI imposent notamment que le prestataire ne soit pas soumis à des législations extra-européennes. Des offres hybrides associent un opérateur européen et une technologie américaine, avec des garanties variables selon les montages. Enfin, l’hébergement sur site, ou chez un hébergeur choisi par l’entreprise, reste la solution la plus directe pour les données les plus sensibles.
Pour l’IA, la difficulté supplémentaire est que les modèles les plus connus ne sont disponibles qu’à travers les services de leurs éditeurs. Héberger ses fichiers en Europe ne sert à rien si chaque question posée à l’assistant part vers un modèle exploité ailleurs.
Par où commencer ?
Avant de choisir une solution, faites l’inventaire : quels outils d’IA vos équipes utilisent-elles déjà, avec quelles données, et pour quels usages ? C’est précisément l’objet d’un audit IA : cartographier les usages, mesurer l’exposition réelle et décider, usage par usage, de ce qui peut rester dans le cloud et de ce qui doit revenir chez vous.
Sources : comptes rendus de l’audition de Microsoft France devant la commission d’enquête du Sénat (juin 2025) ; règlement (UE) 2016/679, article 48.
