IA souveraine : vos agents IA hébergés en France, et ce que cela garantit vraiment
Une IA souveraine est un déploiement d'intelligence artificielle dont vous savez, poste par poste, où sont hébergées les données, où s'exécute le modèle, qui sont les prestataires et quel droit s'applique à chacun. Chez Blue Lemon Agent, l'hébergement des données se fait en France par défaut ; le lieu d'exécution du modèle dépend de la formule choisie, et l'architecture retenue, décrite au devis, vise à réduire l'exposition aux lois extraterritoriales sans pouvoir, à elle seule, la rendre nulle.
Une IA souveraine est un système d'intelligence artificielle dont la localisation des données, le lieu d'exécution du modèle, l'identité des prestataires et le droit qui leur est applicable sont connus, documentés et choisis. Elle se construit formule par formule : hébergement des données en France, modèle exécuté chez son éditeur ou en local, hébergement qualifié SecNumCloud pour les besoins renforcés. La localisation ne garantit pas à elle seule l'immunité à une loi extraterritoriale.
Pourquoi la souveraineté de l'IA est devenue un enjeu
La quasi-totalité des grands services d'IA grand public sont édités par des entreprises américaines. Les utiliser revient souvent à faire traiter vos données par un fournisseur soumis au droit des États-Unis, même lorsque ses serveurs sont en Europe. Tant qu'il s'agit de brouillons sans enjeu, le risque est faible. Mais dès qu'un agent IA traite des informations confidentielles — données personnelles de clients, secrets d'affaires, dossiers médicaux, pièces juridiques — la question du contrôle devient centrale. Qui peut accéder à ces données ? Sous quelle juridiction ? Que se passe-t-il si le fournisseur change ses conditions, augmente ses prix ou ferme un service ?
La souveraineté répond à ces trois préoccupations : la confidentialité (vos données ne sont pas lisibles par un tiers), la conformité (vous respectez le RGPD sans montage complexe) et la maîtrise (vous ne dépendez pas d'une plateforme étrangère que vous ne contrôlez pas).
Le CLOUD Act : pourquoi le lieu du serveur ne suffit pas
Le CLOUD Act est une loi américaine de mars 2018. Elle oblige un fournisseur de services de communication ou d'informatique à distance soumis à la juridiction des États-Unis à communiquer, sur réquisition, les données qu'il détient ou contrôle, qu'elles soient stockées aux États-Unis ou ailleurs (18 U.S.C. § 2713). Choisir la « région européenne » d'un tel fournisseur ne change donc pas le droit qui lui est applicable. C'est l'une des raisons pour lesquelles la Cour de justice de l'Union européenne a invalidé, le 16 juillet 2020, le « bouclier de protection des données » entre l'Union et les États-Unis (arrêt C-311/18, dit « Schrems II »), tout en maintenant les clauses contractuelles types sous conditions ; une nouvelle décision d'adéquation pour les États-Unis a été adoptée le 10 juillet 2023 (source : CNIL). Une architecture souveraine vise à réduire ce risque, sans le supprimer par principe : il faut vérifier, pour la configuration retenue, si un acteur de la chaîne — entité contractante, hébergeur, éditeur du modèle, sous-traitant, détenteur des clés — est soumis à une loi extraterritoriale. Tant que cette vérification n'est pas faite et écrite, l'immunité ne peut pas être affirmée.
RGPD : ce que l'hébergement en France règle, et ce qu'il ne règle pas
Le RGPD n'impose pas d'héberger vos traitements en France. Il s'applique à tout traitement effectué dans le cadre des activités d'un établissement situé dans l'Union (article 3) et soumet tout transfert vers un pays tiers, y compris en cascade, aux conditions de son chapitre V (article 44) : un transfert hors de l'Union ne fait pas sortir vos données du règlement, il vous oblige à l'encadrer. Héberger les données en France évite un transfert au titre de l'hébergement. Il reste à regarder chaque autre flux : l'appel au modèle d'IA, les sous-traitants, les canaux tiers. C'est l'objet du tableau ci-dessous. Le règlement impose aussi la minimisation, une base légale, la traçabilité des accès et la capacité à honorer les droits des personnes ; lorsque Blue Lemon Agent traite des données pour votre compte, il agit comme sous-traitant au sens de l'article 28, dans le cadre d'un accord de traitement annexé au contrat (CGV, article 13).
Formule par formule : où sont vos données, où s'exécute le modèle
Le tableau suivant compare les quatre configurations proposées, dimension par dimension.
| Dimension | Agilité et Sérénité (formules hébergées) | Agilité ou Sérénité avec l'option Modèle souverain exécuté en local | Option hébergement qualifié SecNumCloud (sur devis) | 100 % Souverain (matériel chez vous) |
|---|---|---|---|---|
| Hébergement applicatif | Serveur privé dédié et isolé par client, infogéré en France ; sauvegardes et supervision en France. Opérateur de l'hébergement : nommé au devis. | Même ressource, ou ressource isolée en France ou votre propre matériel. | Infrastructure d'un prestataire qualifié SecNumCloud par l'ANSSI, nommé au devis. | Ordinateur dédié installé dans vos locaux, dont vous êtes propriétaire (CGV, articles 2 et 21). |
| Lieu d'inférence (où s'exécute le modèle) | Chez l'éditeur du modèle, par son interface de programmation, hors de la ressource hébergée. Région d'appel (États-Unis, Union européenne) : précisée au devis. | Sur la ressource isolée en France ou sur votre matériel : aucune donnée n'est envoyée à une API d'IA externe pour le cœur du traitement. | Dans le périmètre qualifié si la ressource le permet, sinon modèle souverain exécuté en local. La faisabilité d'une inférence accélérée (GPU) dans le périmètre qualifié est à vérifier auprès du prestataire : sur devis. | En local, sur votre matériel ; modèle souverain inclus dans la formule (CGV, article 14). |
| Éditeur du modèle | Claude (Anthropic), GPT (OpenAI) ou Gemini (Google), selon le besoin. Entité contractante et pays : nommés au devis. | Mistral Small 3.2 (Mistral AI, France, licence Apache 2.0) par défaut ; EuroLLM 9B (projet financé par l'Union européenne) ; Lucie (OpenLLM-France) et Teuken (OpenGPT-X, Allemagne) sur devis seulement. | Comme pour l'option Modèle souverain, selon la ressource. | Comme pour l'option Modèle souverain. |
| Sous-traitants et transferts | L'appel au modèle est un traitement par un tiers ; selon l'entité et la région, c'est un transfert hors de l'Union à encadrer au titre du chapitre V du RGPD (article 44). Le filtre de pré-traitement avant transmission pseudonymise, masque ou écarte, « sans constituer une garantie d'absence de tout transfert lorsque le traitement demandé l'impose » (CGV, article 14). Liste des sous-traitants, lieux et transferts : au devis et à l'annexe de traitement (CGV, article 13). | Pour le cœur du traitement, pas d'appel à une API externe ; les services annexes à l'usage (synthèse vocale, OCR, traduction, SMS, plateformes tierces) peuvent impliquer des prestataires tiers nommés au devis. | Prestataire qualifié et ses sous-traitants : nommés au devis ; services annexes : de même. | Maintenance à distance par Blue Lemon Agent, accès fermés à la fin du contrat (CGV, article 21.5) ; canaux de dialogue tiers (Teams, WhatsApp, téléphonie) : chacun relève de son éditeur ; mode hors-ligne : option (CGV, article 14). |
| Clés, journaux, sauvegardes | Chiffrement en transit et au repos sur la ressource hébergée ; les mécanismes de chiffrement, leurs composants et la gestion des clés sont ceux documentés pour l'architecture retenue ; les événements journalisés, leur contenu, leur durée de conservation et leurs accès sont définis pour le déploiement retenu. Sauvegardes en France. | Comme pour les formules hébergées. | Selon le périmètre qualifié et le devis. | Données stockées sur votre matériel et vous appartenant (CGV, article 21.3) ; chiffrement au repos : option (CGV, article 14) ; lieu et responsable des sauvegardes : définis au devis. |
| Certifications applicables | Aucune certification propre à Blue Lemon Agent. Le RGPD et le règlement sur l'IA fixent des obligations à qualifier par traitement, non des certifications. Données de santé : hébergeur certifié HDS exigé par la loi, sur devis, en remplacement du serveur privé (CGV, article 13). | Comme pour les formules hébergées. | Qualification SecNumCloud du prestataire d'hébergement pour son périmètre qualifié ; elle « ne vaut que pour le périmètre, le prestataire, les activités, les composants et la période couverts par une preuve vérifiée » (CGV, article 13). | Aucune ; « un déploiement réalisé dans le système d'information du client ne vaut en aucun cas certification HDS du prestataire » (CGV, article 13). |
| Limites : ce que la localisation ne garantit pas à elle seule | Les données sont hébergées en France, mais le modèle s'exécute chez un éditeur tiers : la localisation de l'hébergement ne couvre pas l'inférence. | Le cœur du traitement reste en France ou chez vous ; les services annexes et les canaux tiers restent à examiner un par un. | Le périmètre qualifié couvre l'infrastructure du prestataire, pas l'agent, ses connecteurs ni les canaux tiers. | Les flux de maintenance et de dialogue sont des flux sortants, sauf option de mode hors-ligne ; le logiciel de l'agent reste sous licence et cesse à la fin du contrat (CGV, articles 12, 21.4 et 21.5). |
Dans tous les cas, l'architecture retenue vise à réduire l'exposition aux lois extraterritoriales ; elle ne la supprime pas par principe. Le devis fixe l'architecture effectivement commandée, nomme les prestataires et les lois qui leur sont applicables, et arrête les garanties.
Les prix de chaque formule et de chaque option sont sur la page Tarifs ; les options Modèle souverain et SecNumCloud s'ajoutent à l'abonnement, SecNumCloud sur devis.
Données sensibles : HDS, SecNumCloud et secteurs concernés
Certaines activités traitent des données particulièrement protégées et exigent un niveau de sécurité supérieur :
- Santé — déploiement santé sur devis. L'architecture cible prévoit un hébergement adapté aux données de santé, que la loi impose de confier à un hébergeur certifié HDS. Avant toute mise en service, BLA vérifie l'hébergeur retenu, le certificat HDS en cours de validité, les activités couvertes, les sous-traitants, les lieux de traitement, les accès distants, la conservation et les responsabilités contractuelles. Tant que ces éléments ne sont pas réunis, l'offre reste non commandable directement : écrivez-nous pour étudier votre déploiement santé.
- Secteur public & données stratégiques — qualification de l'ANSSI pour les prestataires de cloud, requise pour certaines administrations et certains opérateurs, choisie par les autres selon leur besoin.
- Juridique — secret professionnel des avocats : un assistant juridique ne peut pas exposer des pièces de dossier à un tiers.
- Finance & comptabilité — confidentialité des données financières, traitées par un agent comptable ou un agent d'analyse financière.
Comment nous réduisons l'exposition de votre agent IA
Selon l'architecture retenue, l'agent peut être déployé sur une ressource isolée hébergée en France, avec chiffrement, accès par rôle et journalisation. L'hébergeur, les sous-traitants, les lieux de traitement, les éventuels transferts et les mesures effectivement incluses sont précisés au devis et au registre de preuves.
- Hébergement des données en France, ou inférence locale chez vous, avec pour objectif de déploiement des traitements et des accès opérés dans l'Union européenne.
- Selon la formule, la dépendance à un fournisseur soumis au droit des États-Unis est soit réduite au seul appel du modèle (formules hébergées), soit écartée pour le cœur du traitement (option Modèle souverain, formule 100 % Souverain) ; l'hébergeur, l'éditeur du modèle, les sous-traitants et les lois qui leur sont applicables sont nommés au devis.
- Accord de traitement reprenant les obligations de l'article 28 du RGPD, chiffrement des accès, journalisation et moindre privilège, dans le périmètre documenté pour l'architecture retenue.
- Options hébergement HDS, lorsque la loi l'exige pour les données de santé, et hébergement SecNumCloud (prestataire qualifié) pour les données réglementées, sur devis, sur preuve vérifiée.
- Réversibilité : vos données vous sont restituées dans un format standard sur demande dans les trente jours suivant la fin du contrat ; l'agent, ses paramétrages et configurations restent sous licence (CGV, articles 12 et 21).
Aller plus loin
Questions fréquentes
Qu'est-ce qu'une IA souveraine ?
Un déploiement d'IA dont vous connaissez et choisissez, poste par poste, la localisation des données, le lieu d'exécution du modèle, les prestataires et le droit applicable à chacun. Chez Blue Lemon Agent, cela se construit formule par formule, et le devis fixe l'architecture commandée.
Le RGPD impose-t-il d'héberger l'IA en France ?
Non. Il s'applique à votre traitement où que soient les serveurs et encadre tout transfert hors de l'Union (chapitre V). Héberger en France évite un transfert au titre de l'hébergement ; l'appel au modèle, les sous-traitants et les canaux tiers restent à examiner.
Le CLOUD Act peut-il atteindre les données de mon agent IA ?
Il oblige un fournisseur soumis à la juridiction des États-Unis à communiquer les données qu'il détient ou contrôle, où qu'elles soient stockées. Le critère n'est pas le lieu du serveur mais le droit applicable au fournisseur. Un hébergement chez un prestataire non soumis à ce droit réduit l'exposition ; dans les formules hébergées, l'appel au modèle chez son éditeur reste un flux à examiner, et l'affirmer comme une immunité suppose d'avoir vérifié toute la chaîne.
Toutes les formules exécutent-elles le modèle en France ?
Non. En Agilité et Sérénité, les données sont hébergées en France et le modèle (Claude, GPT, Gemini, selon le besoin) est appelé chez son éditeur. Avec l'option Modèle souverain ou la formule 100 % Souverain, le modèle s'exécute sur une ressource isolée en France ou sur votre matériel.
Puis-je utiliser une IA souveraine pour des données de santé ?
Oui, et le déploiement santé se fait sur devis. Pour les données de santé, la loi française impose un hébergeur certifié HDS : l'exigence est arrêtée avec vous au cadrage, avant toute mise en service. BLA vérifie alors l'hébergeur retenu, le certificat en cours de validité, les activités couvertes, les sous-traitants, les lieux de traitement, les accès distants, la conservation et les responsabilités contractuelles ; tant que ces éléments ne sont pas réunis, l'offre n'est pas commandable directement. Pour les données de l'État ou réglementées, une qualification SecNumCloud de l'ANSSI est possible. Ces niveaux relèvent d'un cadre de sécurité renforcé en France.
Qu'est-ce qu'un hébergement qualifié SecNumCloud ?
SecNumCloud est la qualification délivrée par l'ANSSI aux prestataires de cloud qui satisfont son référentiel d'exigences (version 3.2), lequel comporte des exigences de protection vis-à-vis du droit extra-européen. Elle qualifie le prestataire d'hébergement et son périmètre, pas l'agent ni Blue Lemon Agent. Nous la proposons sur devis, parce que son prix dépend du prestataire qualifié retenu, du volume de ressources et de la durée d'engagement.
Responsabilité éditoriale — Page rédigée et publiée sous la responsabilité de Ronan Le Boulaire, directeur de la publication, Président de Lindbergh Formation, société éditrice de Blue Lemon Agent (voir « Qui sommes-nous »).
Première publication : . Dernière vérification substantielle : .
Politique de correction — Une erreur de fait, de droit ou de chiffre peut être signalée à contact@bluelemonagent.ai ; elle est examinée sous cinq jours ouvrés, et toute correction substantielle met à jour la date de dernière vérification. Les mises en ligne techniques sans changement de contenu ne la modifient pas.
Ce contenu est une information générale ; il ne constitue pas un avis juridique.
Sources
- Union européenne, Règlement (UE) 2016/679 (RGPD), — consulté le — articles 3, 28 et 44
- Union européenne, Règlement (UE) 2024/1689 (règlement sur l'intelligence artificielle), — consulté le — articles 12 et 14
- Cour de justice de l'Union européenne, grande chambre, Arrêt C-311/18, dit « Schrems II » (ECLI:EU:C:2020:559), — consulté le — invalidation du bouclier de protection des données ; clauses contractuelles types maintenues sous conditions
- CNIL, Transférer des données hors de l'UE — consulté le — page non datée ; décision d'adéquation pour les États-Unis du 10 juillet 2023
- Ministère de la Justice des États-Unis, CLOUD Act (Pub. L. 115-141, division V), — consulté le — codifié à 18 U.S.C. § 2713, dont le texte a été consulté sur law.cornell.edu
- ANSSI, Prestataires de services d'informatique en nuage (SecNumCloud), référentiel d'exigences, version 3.2, — consulté le — chapitre 19.6, protection vis-à-vis du droit extra-européen
- Agence du numérique en santé, Hébergement de données de santé (HDS) — consulté le — cadre de l'hébergement de données de santé et activités concernées ; article L. 1111-8 du Code de la santé publique
- Blue Lemon Agent, Conditions générales de vente, articles 2, 12, 13, 14 et 21 — voir aussi la page Tarifs
Une IA souveraine pour votre organisation ?
En 30 minutes, cadrons votre besoin et le bon niveau de souveraineté — hébergé en France, supervisé.