Le 18 août 2026, après la cyberattaque qui a exposé les données d’environ 700 000 contribuables à la DGFiP, le gouvernement a annoncé que les tests de sécurité des systèmes de l’État s’appuieraient sur des fournisseurs d’IA souverains comme Mistral. Avec une précision qui a fait du bruit : OpenAI est explicitement exclu (propos du ministre David Amiel rapportés par Reuters).
L’État se pose donc très sérieusement la question. Et toi ? Chaque fois que tu tapes un prompt dans ChatGPT, où part-il, exactement ? Sur quel serveur, dans quel pays, sous quel droit ?
J’ai passé les politiques d’hébergement des grands fournisseurs au peigne fin, pages officielles à l’appui. La réponse tient en une phrase inconfortable : pour le grand public, la souveraineté des données n’existe à peu près pas. Voilà le détail, et ce que tu peux y faire.
Tout ce qui suit a été vérifié le 21 août 2026.
La souveraineté des données, c’est quoi concrètement ?
Derrière le mot pompeux, trois questions simples. Pour chaque outil d’IA que tu utilises, demande-toi :
- Qui édite le modèle ? La société qui l’a entraîné, sa nationalité, son siège. C’est elle qui décide de ce que deviennent tes données.
- Où tournent les serveurs ? Le pays où ta conversation est réellement traitée, pas celui de la boîte qui vend l’abonnement, ni celui de l’interface.
- Quel droit s’applique ? Une société américaine reste soumise au droit américain sur les données qu’elle détient, même quand ses serveurs sont posés en Europe. C’est le point que le marketing « hébergé en UE » oublie toujours de mentionner.
Une IA n’est souveraine que si les trois réponses pointent vers l’Europe. Garde cette grille : on va l’appliquer à tout le monde, et tu vas voir que très peu d’acteurs cochent les trois cases.
Où vont tes données quand tu utilises ChatGPT, Claude ou Gemini
C’est le cœur du sujet, et les réponses officielles sont plus crues que ce qu’on imagine.
Chez OpenAI, une résidence des données en Europe existe depuis février 2025… mais uniquement pour ChatGPT Enterprise, ChatGPT Edu et l’API (couverture TechCrunch de l’annonce). Sur ChatGPT gratuit ou Plus, tes conversations sont traitées sur l’infrastructure mondiale d’OpenAI, majoritairement américaine.
Chez Anthropic, la page officielle de conformité régionale est limpide : la résidence des données passe par les clouds partenaires (AWS Bedrock, Google Vertex, Microsoft Foundry), et pour l’Europe, les trois options sont marquées « Coming 2026 », donc pas encore disponibles à l’heure où j’écris. Rien de tel sur claude.ai. Détail d’entité : les services européens de Claude sont fournis par une filiale irlandaise, un montage fiscal classique qui ne change rien à la nationalité américaine d’Anthropic.
Chez Google, les entreprises clientes de Workspace peuvent imposer le stockage de leurs données au repos en Europe. Pour ton compte Gemini gratuit de particulier : rien d’équivalent.
Le motif se répète : la résidence européenne des données est un produit d’entreprise, vendu aux clients qui paient, jamais un droit du grand public.
Ce que le droit européen garantit (et ne garantit pas)
Le RGPD te protège réellement sur un terrain : tes droits. Base légale du traitement, accès, suppression, encadrement des transferts hors UE, et la CNIL pour veiller. Tout fournisseur qui sert des Européens y est soumis, américain ou pas.
Depuis le 2 août 2026, l’AI Act ajoute la transparence : les chatbots doivent se déclarer comme tels, les contenus générés doivent être marqués techniquement. C’est utile, c’est réel.
Mais ni l’un ni l’autre n’oblige un fournisseur à traiter ta conversation gratuite sur un serveur de Francfort. Le droit encadre l’usage de tes données ; il ne rapatrie pas leur traitement. La localisation reste une décision commerciale du fournisseur, pas une obligation légale.
Un réflexe qui vaut pour tous les outils, souverains ou pas : va dans les réglages et désactive l’utilisation de tes conversations pour l’entraînement. C’est le levier de confidentialité le plus concret à ta portée, et il est gratuit.
L’écosystème souverain réel en 2026
Mistral : le seul acteur complet, et 2026 est son année charnière
Longtemps, la souveraineté de Mistral était un argument de tribune. Trois faits d’août 2026 l’ont rendue concrète :
- Les Regional Endpoints (11 août) : un client de l’API choisit si son inférence tourne en Europe ou aux États-Unis. Mistral revendique d’être le seul laboratoire d’IA européen à offrir ce choix avec engagement de service.
- Un objectif de 1 gigawatt de calcul européen d’ici 2030, adossé à une coalition industrielle qui s’engage sur des achats pluriannuels de capacité : Amadeus, ASML, Capgemini, la Caisse des Dépôts et CMA CGM.
- Le choix de l’État : selon le Journal du Net, « L’Assistant », basé sur les modèles Mistral, est déployé auprès d’environ un million d’agents publics sur une infrastructure qualifiée SecNumCloud, pour un coût rapporté d’environ 700 000 €. Et depuis le 18 août, les tests de sécurité de l’État excluent OpenAI au profit d’acteurs souverains.
Côté grand public, le produit s’appelle Vibe (l’ancien Le Chat, renommé au printemps 2026) : gratuit avec des limites, 14,99 $/mois en Pro. C’est aujourd’hui la seule réponse crédible à « je veux un assistant IA complet dont l’éditeur est européen ».
Le reste de l’écosystème, sans le folklore
Les listicles « IA souveraines » mélangent tout. Le tri honnête : Kyutai, laboratoire parisien à but non lucratif financé notamment par Xavier Niel, publie des modèles vocaux open source remarquables (Moshi, Hibiki), mais ce sont des travaux de recherche, pas des produits. LightOn, cotée à Paris, déploie de l’IA sur les serveurs de ses clients (défense, secteur public) : du B2B pur. Hugging Face a des fondateurs français et un siège à New York. Et Aleph Alpha, le champion souverain allemand, est passé sous pavillon canadien en avril 2026 avec son rachat par Cohere : l’Europe a perdu un titulaire dans l’opération.
Les deux pièges qui ruinent les raisonnements
Piège n°1 : interface française ne veut pas dire données en France. L’exemple parfait est Mammouth AI, agrégateur français bien réel (une SAS parisienne). Quand tu y parles à GPT, ton prompt part chez OpenAI : l’interface est française, le traitement suit le modèle choisi. Même logique pour les revendeurs « 100 % en français » qui habillent l’API d’un modèle américain, parfois plus cher que l’original. Vérifie toujours qui édite le modèle, pas la langue du site.
Piège n°2 : endpoint européen ne veut pas dire modèle européen. Depuis août, Mistral héberge aussi des modèles tiers sur son infrastructure, à commencer par GLM-5.2 du laboratoire chinois Z.ai. Un serveur en Europe qui fait tourner un modèle chinois, c’est de l’hébergement souverain, pas une IA souveraine. Les deux critères se vérifient séparément.
Les limites de l’histoire qu’on te vend
Trois précautions honnêtes.
La souveraineté se joue sur des années, pas sur des communiqués. Le gigawatt de Mistral est un objectif 2030 ; en attendant, l’essentiel du calcul mondial d’IA reste américain, y compris une partie de celui que louent les acteurs européens.
À usage égal, ce n’est pas toujours égal : sur les tâches les plus exigeantes, les meilleurs modèles américains gardent une avance sur les modèles européens. Selon ton usage, la différence est invisible ou rédhibitoire. Teste sur tes cas réels.
Et certains chiffres qui circulent sont invérifiables : les rumeurs de méga-levée de Mistral mi-2026, les revenus supposés des uns et des autres. Rien de solide au moment où j’écris, donc rien de tout ça ici. La dernière levée confirmée de Mistral reste celle de septembre 2025 (1,7 milliard d’euros menée par ASML).
Ta grille de décision, par situation
- Données sensibles ou professionnelles (clients, santé, juridique, RH) : acteur européen (Mistral, via l’API avec endpoint européen pour les intégrations), ou offre entreprise avec résidence UE contractuelle. Jamais un compte gratuit grand public.
- Usage perso courant : la nationalité compte moins que tes réglages. Désactive l’entraînement sur tes conversations, où que tu sois, et évite d’y coller des documents sensibles.
- Envie de soutenir l’écosystème européen : Vibe de Mistral en usage quotidien. Gratuit pour commencer, et le niveau est devenu très correct sur les usages courants.
- Confidentialité maximale : la réponse n’est ni française ni américaine, elle est locale. Un modèle ouvert sur ta machine avec LM Studio : tes données ne quittent jamais ton ordinateur.
- Dans tous les cas : vérifie l’éditeur réel du service (pas un revendeur francisé), et la cohérence modèle/hébergement.
FAQ
C’est quoi, la souveraineté des données ?
Le fait de garder le contrôle juridique et technique sur ses données : savoir qui les traite, dans quel pays, et sous quel droit. Pour l’IA, elle se vérifie sur trois plans : la nationalité de l’éditeur du modèle, la localisation des serveurs de traitement, et le droit applicable à la société.
Où sont hébergées les données de ChatGPT ?
Sur l’infrastructure mondiale d’OpenAI, majoritairement américaine. Une résidence des données en Europe existe, mais uniquement pour les offres Enterprise, Edu et l’API. Les comptes gratuits et Plus n’y ont pas accès.
ChatGPT est-il conforme au RGPD ?
OpenAI est soumis au RGPD pour ses utilisateurs européens : droits d’accès et de suppression, base légale, encadrement des transferts. Mais RGPD ne veut pas dire hébergement en Europe : la conformité porte sur tes droits, pas sur la localisation du traitement.
Claude est-il une IA française ?
Non, malgré son prénom. Claude est édité par Anthropic, entreprise américaine de San Francisco. La confusion vient du prénom et de revendeurs tiers à interface francisée, sans lien avec une quelconque nationalité française du modèle.
Quelle IA souveraine gratuite peut-on utiliser ?
Vibe de Mistral AI, en accès gratuit sur le web et mobile avec des limites d’usage. C’est le seul assistant grand public complet dont l’éditeur, les modèles et une part croissante de l’infrastructure sont européens.
Une IA locale est-elle plus souveraine qu’une IA française ?
Pour la confidentialité pure, oui : un modèle qui tourne sur ta machine ne transmet rien à personne, c’est structurel. Ce que tu perds en échange : la puissance des grands modèles cloud et leurs fonctionnalités. Les deux approches se combinent selon la sensibilité de ce que tu traites.
