IA souveraine : comment héberger une IA en France, et quand c'est nécessaire

Ce que « IA souveraine » veut dire concrètement

Le terme désigne tout et son contraire : un éditeur français qui s'appuie sur une API américaine, un cloud américain avec des serveurs à Paris, ou un modèle chinois installé dans votre salle serveur. Remplacez le mot par quatre questions vérifiables.

1. Où les données sont-elles traitées ?

Le lieu physique des serveurs qui reçoivent vos prompts, vos documents et vos réponses. Cela se vérifie dans le contrat et dans la configuration technique (région du cloud, adresse de l'API).

2. Quel droit s'applique à l'hébergeur ?

Un serveur situé à Paris mais opéré par une société soumise au droit américain reste exposé aux demandes d'accès prévues par la législation américaine (Cloud Act). Un hébergeur de droit français ou européen n'est soumis qu'au droit européen. C'est la différence entre « données localisées » et « données sous juridiction européenne ».

3. Que peut voir l'éditeur du modèle ?

Trois points à lire dans les conditions d'utilisation : vos données servent-elles à entraîner les modèles futurs, les requêtes sont-elles conservées (et combien de temps), et qui détient les clés de chiffrement.

4. Pouvez-vous changer de modèle ?

Un modèle à poids ouverts (open weights) se télécharge et se fait tourner chez n'importe quel hébergeur, ou chez vous. Un modèle fermé n'existe que derrière l'API de son éditeur. Si l'éditeur change ses prix ou ses conditions, combien de temps vous faut-il pour migrer ?

Une « IA française » répond à la question de la nationalité de l'éditeur. Une « IA souveraine » répond aux quatre questions ci-dessus. Les deux se recoupent souvent, mais un modèle Mistral appelé via un cloud américain n'est plus tout à fait souverain, et un modèle Llama ou Qwen servi sur un serveur OVHcloud l'est davantage. Pour le cadre général de la confidentialité avec les outils grand public, voir le guide ChatGPT en entreprise et confidentialité.

Quelle est l'intelligence artificielle française ? Les options disponibles

Il n'existe aucune IA française unique. Il existe trois façons d'obtenir un modèle de langage (LLM, large language model) conforme à vos contraintes, de la plus simple à la plus contrôlée.

Option A : une API européenne (Mistral AI)

Mistral AI est l'éditeur français le plus utilisé en entreprise. Il propose une API hébergée en Europe, des modèles de tailles variées, et publie une partie de ses modèles avec des poids ouverts. Aucune infrastructure à gérer, facturation à l'usage, données traitées sous droit européen. En contrepartie, vous dépendez d'un tiers pour la disponibilité et les prix.

Option B : Claude ou GPT depuis une région européenne

Les modèles d'Anthropic sont accessibles via Amazon Bedrock ou Google Vertex AI dans des régions européennes ; ceux d'OpenAI via Azure OpenAI dans des régions françaises ou européennes. Les données restent physiquement en Europe et ne servent pas à l'entraînement dans les offres entreprise. En revanche, l'opérateur du cloud reste une société américaine : cette option couvre la localisation sans couvrir la juridiction. Elle convient à la majorité des PME et ETI hors secteurs réglementés. Le comparatif Mistral ou GPT en entreprise détaille les critères de choix.

Option C : un modèle ouvert sur un serveur en France

Vous téléchargez un modèle à poids ouverts (Mistral, Llama, Qwen, Gemma, ou un modèle spécialisé publié sur Hugging Face) et vous le servez vous-même. Deux outils dominent :

• vLLM : serveur d'inférence conçu pour la production, sur GPU, avec traitement par lots et API compatible OpenAI. C'est le choix pour un service utilisé par des dizaines ou des centaines de personnes.
• Ollama : installation en une commande, adapté à un poste de travail, à un prototype ou à un petit volume. Moins performant que vLLM sous charge.

Le serveur peut être loué chez un hébergeur français (OVHcloud, Scaleway, Outscale) ou installé dans vos locaux (on premise). Cette option couvre les quatre critères de souveraineté, au prix d'une infrastructure à exploiter.

Combien coûte une IA hébergée en France ? Coûts comparés

Le débat « API ou hébergement en propre » se tranche par le calcul. Voici la structure de coût de chaque option, en ordres de grandeur constatés.

La règle constatée : à faible volume (quelques milliers de requêtes par mois), l'API gagne largement. À volume élevé et régulier, ou quand un traitement de masse tourne en continu (extraction documentaire, classification de flux entrants), le serveur dédié divise la facture. C'est un calcul que je fais pendant chaque Audit IA : coût par requête, décomposé par étape, pour chaque option.

Le coût de mise en place du système lui-même est indépendant du choix d'hébergement. Pour un assistant documentaire, comptez de 8 000 à 40 000 € selon le volume et les sources, puis un hébergement mensuel : le détail se trouve sur la page prix d'un assistant documentaire RAG.

Performances : que perd-on avec un modèle ouvert hébergé en France ?

Moins que ce que l'on croit, à condition de mesurer. Les grands modèles fermés gardent une avance sur le raisonnement long et le code complexe. Mais la plupart des usages d'entreprise sont des tâches cadrées : répondre à partir de documents internes, extraire des champs d'un contrat, classer un e-mail. Sur ces tâches, un modèle ouvert de taille moyenne, bien instruit et alimenté par un bon retrieval, produit des résultats comparables.

Trois points d'attention :

• Le retrieval compte plus que le modèle. Dans un assistant documentaire (recherche augmentée par génération, RAG), la qualité de la réponse est plafonnée par la qualité des passages retrouvés. Chez Delibia, le passage de 53 % à 93 % de bons documents dans le Top 10 a fait plus pour la satisfaction des utilisateurs que n'importe quel changement de modèle. Le guide RAG expliqué détaille ce mécanisme.
• La latence peut s'améliorer. Un serveur dédié n'a ni file d'attente partagée ni limite de débit imposée par l'éditeur. Sur le même projet Delibia, le temps de réponse est passé de 15 s à 4,3 s après refonte de l'architecture.
• Le fine-tuning est rarement nécessaire. Avant d'entraîner un modèle sur vos données, il faut avoir épuisé le retrieval et le prompt. Le comparatif RAG ou fine-tuning explique quand chaque approche se justifie.

La méthode reste la même : un jeu de test construit à partir de vos cas réels, les candidats mesurés dessus, une décision fondée sur les chiffres et sur vos contraintes de confidentialité.

Quand héberger l'IA en France est obligatoire, ou fortement recommandé

Le RGPD s'applique à toute entreprise qui traite des données personnelles, quel que soit l'hébergement. Une IA hébergée en France simplifie la conformité sans l'assurer à elle seule. Certains secteurs ajoutent des contraintes qui rendent l'hébergement souverain nécessaire.

• Santé. Les données de santé doivent être hébergées chez un hébergeur certifié HDS (hébergeur de données de santé). Un système IA qui lit des comptes rendus, des dossiers patients ou des ordonnances tombe dans ce cadre. Voir IA pour le secteur de la santé.
• Juridique. Le secret professionnel des avocats et des notaires rend l'envoi de pièces de dossier à une API tierce difficile à justifier. Voir IA pour les professions juridiques.
• Secteur public. La doctrine « cloud au centre » de l'État oriente les administrations vers des offres qualifiées SecNumCloud pour les données sensibles. Les collectivités qui déploient un assistant sur leurs actes et délibérations sont concernées ; c'est le cadre dans lequel Delibia sert 1 200 collectivités. Voir IA pour les collectivités.
• Défense et opérateurs d'importance vitale. Réseaux isolés, matériel sur site, aucune connexion sortante : seule l'option on premise convient.
• Banque, assurance, finance. Les exigences de résilience opérationnelle (règlement DORA) et de contrôle des sous-traitants poussent vers des hébergeurs européens et une réversibilité documentée. Voir IA pour la banque et l'assurance.

Hors de ces secteurs, le choix relève de la politique de l'entreprise : sensibilité des documents, clauses imposées par les grands comptes, appétence pour la gestion d'infrastructure.

Architecture type d'une IA souveraine : modèle ouvert, vLLM, base vectorielle

Voici l'architecture que j'ai déployée pour Virteem, une plateforme LLM et RAG entièrement auto-hébergée, sans aucun appel vers une API externe. Elle se transpose à la plupart des assistants documentaires d'entreprise.

1. Serveur d'inférence. Un modèle à poids ouverts servi par vLLM sur GPU, exposé en interne via une API compatible OpenAI. L'application peut basculer sur un autre modèle en changeant une ligne de configuration.
2. Modèle d'embeddings ouvert. Il transforme documents et questions en vecteurs. Pour Delibia, j'ai entraîné un modèle d'embeddings quatre fois plus léger que bge-m3 pour 95 % de sa qualité en top 100, ce qui réduit encore le coût d'hébergement.
3. Base vectorielle. Milvus chez Virteem, Qdrant sur d'autres projets. Les deux s'installent sur vos serveurs et gèrent des millions de passages avec filtrage par métadonnées.
4. Chaîne d'ingestion. OCR et analyse de mise en page pour les documents scannés, découpage sémantique, enrichissement en métadonnées (source, date, section), indexation. Le guide OCR et IA documentaire détaille cette étape.
5. Orchestration. Du code Python pour la logique métier, ou n8n auto-hébergé pour les flux simples. Aucun composant SaaS dans la boucle.
6. Évaluation et supervision. Jeu de test, métriques de retrieval et de réponse, journalisation de chaque requête, tableau de bord des coûts et des temps de réponse.

Le même principe vaut pour le temps réel : pour Reality Academy, la chaîne complète (reconnaissance vocale, modèle de langage, synthèse vocale) a été benchmarkée puis déployée on premise. Et pour connecter vos outils métier à un modèle, le serveur MCP sur mesure est hébergé en France, avec un pilote de 30 jours sur vos usages réels.

Checklist avant de choisir votre IA souveraine

Dix questions à poser à votre prestataire, freelance IA ou agence IA, avant de signer.

1. Quelles données entrent dans le système, et lesquelles sont personnelles, de santé, couvertes par un secret professionnel ou classées par un client ?
2. Dans quel pays les serveurs d'inférence et la base vectorielle sont-ils situés ? Sous quel droit l'hébergeur opère-t-il ?
3. L'éditeur du modèle conserve-t-il les requêtes ? Combien de temps ? À quelle fin ?
4. Le modèle est-il à poids ouverts ? Si oui, combien de temps faut-il pour le faire tourner ailleurs ?
5. L'accord de sous-traitance RGPD est-il signé avec chaque acteur de la chaîne (cloud, éditeur du modèle, prestataire) ?
6. Quel est le coût par requête aujourd'hui, et à quel volume l'hébergement en propre devient-il rentable ?
7. Qui exploite le serveur au quotidien (mises à jour, sécurité, sauvegardes) ?
8. Un jeu de test existe-t-il pour comparer le modèle ouvert retenu aux API fermées sur vos cas réels ?
9. Le système journalise-t-il chaque requête et chaque réponse pour l'audit ?
10. Que se passe-t-il si l'éditeur ou l'hébergeur disparaît, double ses prix ou change ses conditions ?

Si trois de ces questions restent sans réponse, le projet n'est pas prêt. Un appel de 20 minutes suffit en général pour les trier, et pour dire si un assistant IA documentaire souverain est la bonne réponse ou si une API en région européenne fera l'affaire à moindre coût.