Un commercial vous vend une IA « européenne ». Vous signez. Six mois plus tard, vous découvrez que vos données transitent par un serveur au Texas, que le modèle est en réalité une API OpenAI déguisée, et que la clause de réversibilité tient en trois lignes floues.
Ce scénario, on le voit chaque semaine. La souveraineté numérique n'est pas un slogan marketing : c'est une grille de lecture concrète que vous devez appliquer avant toute signature. Voici les 7 questions qui filtrent 80 % des fournisseurs qui vendent du vent.
1. Où sont hébergées mes données, physiquement ?
Pas « en Europe ». Pas « chez un partenaire de confiance ». La ville. Le data center. Le nom du prestataire.
Un fournisseur sérieux vous répond en 30 secondes : « Roubaix, OVHcloud, site SBG5 ». Un fournisseur qui botte en touche vous parle de « cloud hybride multi-régions ». Traduction : personne dans la boîte ne sait vraiment.
Demandez aussi le contrat d'hébergement. Beaucoup de fournisseurs « français » revendent en marque blanche du AWS Paris. Ce n'est pas illégal, mais ce n'est pas ce que vous croyez acheter. Pour aller plus loin sur ce point, notre comparatif des hébergeurs IA français comme OVH, Scaleway ou Outscale détaille les différences réelles.
2. Quel modèle d'IA tourne réellement derrière votre interface ?
Beaucoup de « solutions IA françaises » sont des surcouches d'API OpenAI ou Anthropic. Ce qui veut dire que chaque requête part aux États-Unis, soumise au Cloud Act, avec ou sans votre consentement.
La bonne question : « Quel est le nom exact du modèle utilisé, et où tourne-t-il ? »
Réponses acceptables :
- « Mistral Large, hébergé sur nos serveurs à Gravelines »
- « Llama 3.1 70B open-source, sur infrastructure Scaleway »
- « Notre modèle propriétaire fine-tuné, sur GPU dédiés OVH »
Réponses qui doivent vous alerter :
- « On utilise le meilleur modèle du marché » (traduction : GPT-4)
- « C'est confidentiel »
- « Nous avons un partenariat stratégique avec un leader américain »
3. Qui a accès à mes données, et pour quoi faire ?
Lisez la clause « traitement des données » du contrat. Trois cas de figure :
Cas 1 : vos données servent à entraîner le modèle. À fuir. Vos contrats commerciaux vont nourrir un modèle utilisé par vos concurrents.
Cas 2 : vos données sont accessibles aux équipes techniques du fournisseur pour « amélioration du service ». Zone grise. Demandez les procédures de logging, la durée de conservation, le nombre de personnes concernées.
Cas 3 : chiffrement bout-en-bout, personne ne voit vos données, y compris le fournisseur. L'idéal, mais rare et cher.
Ces questions rejoignent celles qu'on aborde dans les contrats à signer avant tout projet IA en PME. Ne signez rien tant que ces trois points ne sont pas noir sur blanc.
4. Comment je récupère mes données si je pars demain ?
La réversibilité, c'est le test qui sépare les vrais partenaires des vendeurs de lock-in.
Posez la question brutale : « Si je résilie le 15 du mois prochain, comment je récupère mes données, sous quel format, en combien de temps, et à quel coût ? »
Les bonnes réponses tiennent en une page :
- Format d'export standard (JSON, CSV, SQL)
- Délai maximum (typiquement 30 jours)
- Coût nul ou forfaitaire modeste
- Purge définitive des données côté fournisseur avec attestation écrite
Si on vous répond « on verra le moment venu », vous savez ce qu'il vous reste à faire.
5. Quelles certifications, et à jour de quand ?
ISO 27001, SecNumCloud, HDS si vous êtes dans la santé, SOC 2 Type II. Ces sigles ont un sens.
Demandez la date du dernier audit et l'organisme certificateur. Une certif ISO 27001 obtenue en 2019 et jamais renouvelée, ce n'est pas une certification, c'est un vieux poster dans le hall d'accueil.
Attention aussi aux certifications de la maison mère qui ne s'appliquent pas à la filiale française, ou aux périmètres de certification qui excluent justement le service que vous achetez. Lisez le certificat, pas le communiqué de presse.
6. Êtes-vous soumis au Cloud Act ou à une législation extraterritoriale ?
Un fournisseur dont la maison mère est américaine, même avec des serveurs en France, est soumis au Cloud Act. Une autorité américaine peut exiger vos données, et le fournisseur est légalement obligé de les fournir, sans vous prévenir.
Ce n'est pas de la paranoïa : c'est écrit dans la loi américaine depuis 2018.
La question à poser : « Quelle est la nationalité de votre maison mère, de vos actionnaires principaux, et de vos administrateurs ? » Si la réponse contient « Delaware », « Dublin » (souvent une coquille pour des groupes US) ou « Singapour », creusez.
Une PME cliente de Rocket IA, dans l'assurance, avait signé avec un « leader européen de l'IA ». Rachat par un fonds américain six mois plus tard. Toute la stack a dû être migrée en urgence, coût : 40 000 €. La question aurait dû être posée avant.
7. Que se passe-t-il si vous mettez la clé sous la porte ?
Le marché de l'IA vit une bulle. Beaucoup de startups brûlent 2 M€ par mois sans revenus solides. Certaines ne passeront pas 2026.
Questions à poser :
- « Depuis combien de mois êtes-vous rentables, ou combien de mois de trésorerie vous reste-t-il ? »
- « Existe-t-il un escrow du code source auprès d'un tiers de confiance ? »
- « Le modèle IA est-il open-source ou propriétaire ? »
Un modèle open-source (Mistral, Llama) reste utilisable même si le fournisseur disparaît. Un modèle propriétaire meurt avec l'entreprise. C'est un critère de continuité d'activité, pas un caprice technique.
La grille en une page à imprimer avant chaque rendez-vous
Résumons. Avant de signer avec un fournisseur d'IA, vous devez avoir en main, par écrit :
- Nom du data center et de l'hébergeur
- Nom exact du modèle IA et lieu d'exécution
- Clause explicite de non-utilisation de vos données pour l'entraînement
- Procédure de réversibilité chiffrée en jours et en euros
- Certifications à jour, avec périmètre lisible
- Nationalité effective de la maison mère et des actionnaires
- Situation financière ou mécanisme de continuité (escrow, open-source)
Si vous obtenez 7/7, vous avez trouvé un vrai partenaire souverain. Si vous obtenez 4/7, négociez. En dessous de 4/7, passez votre chemin.
Souveraineté n'est pas synonyme de plus cher
Dernier point qui déclenche toujours des débats en comité de direction : oui, une IA vraiment souveraine coûte souvent 10 à 20 % de plus qu'une solution américaine grand public.
Mais ce surcoût s'efface vite quand vous mesurez le coût réel d'une fuite de données, d'une migration forcée, ou d'une non-conformité RGPD. Nous accompagnons régulièrement des PME qui pensaient économiser en signant chez un géant américain, et qui repayent tout deux ans plus tard.
Vous voulez appliquer cette grille à votre situation actuelle ou à un fournisseur que vous êtes sur le point de signer ? Prenez un audit gratuit de 30 minutes avec un consultant Rocket IA. On passe vos contrats et vos options au crible, et vous repartez avec une décision claire.