La question de la souveraineté de l'intelligence artificielle n'est plus, en 2026, un débat de colloque parisien réservé aux DSI de grands comptes. Elle atterrit désormais sur le bureau des dirigeants d'ETI et de PME, à Lyon, à Nantes, à Lille comme dans la French Tech du plateau de Saclay. Le sujet a changé de nature : il ne s'agit plus seulement de choisir un fournisseur, mais de décider quels modèles font tourner ses processus critiques, où circulent ses données, et quelles obligations réglementaires pèsent sur cette architecture.
Trois forces se croisent cette année. D'un côté, un champion national et européen, Mistral AI, qui a installé une alternative crédible aux fournisseurs américains. De l'autre, une vague de modèles ouverts venus de Chine, souvent très performants et peu coûteux, qui séduisent les équipes techniques par leurs poids librement téléchargeables. Et au-dessus de tout cela, un cadre juridique européen qui, avec l'entrée en application progressive des obligations sur les modèles à usage général, redéfinit ce qu'un déployeur français peut faire en toute légalité.
Mistral et l'écosystème européen : plus qu'un choix patriotique
Opter pour Mistral ou un autre acteur européen n'est pas un simple geste de préférence nationale. C'est d'abord une décision d'architecture. Les modèles de Mistral, disponibles à la fois en API managée et en poids ouverts pour certaines gammes, permettent un déploiement flexible : hébergement chez un fournisseur cloud souverain, sur des infrastructures qualifiées SecNumCloud, voire on-premise pour les organisations qui traitent des données sensibles ou soumises au secret des affaires.
Pour une ETI industrielle ou une PME de services financiers, cet éventail change tout. Il devient possible de garder les données d'entraînement, de fine-tuning et d'inférence à l'intérieur de l'espace juridique européen, sans transfert vers un pays tiers qui rouvrirait les débats liés au RGPD et aux clauses contractuelles types. L'écosystème français s'est d'ailleurs densifié autour de cette logique, avec des hébergeurs comme OVHcloud, Scaleway ou Outscale qui proposent des offres d'inférence adossées à des garanties de localisation.
Le revers, il faut le dire, c'est le coût et la couverture fonctionnelle. Un modèle européen managé peut coûter plus cher qu'un modèle ouvert auto-hébergé, et certaines capacités très spécialisées restent d'abord matures chez les grands laboratoires américains. La souveraineté a un prix, et le rôle du dirigeant est de décider quelle part de son budget IA il accepte d'y consacrer.
Les modèles ouverts chinois : performance réelle, gouvernance à instruire
Les modèles ouverts publiés par des acteurs chinois ont bouleversé l'équation économique. Leurs poids sont téléchargeables, leurs performances sur les tâches de raisonnement et de code sont souvent excellentes, et leur coût d'exécution est imbattable dès lors qu'on les héberge soi-même. Pour une équipe technique française sous pression budgétaire, la tentation est légitime.
Mais un modèle ouvert n'est pas un modèle sans questions. Poids ouverts ne signifie pas provenance transparente : les données d'entraînement, les biais culturels ou linguistiques, les éventuels comportements de censure sur certains sujets restent à documenter. La bonne nouvelle, c'est qu'un modèle en poids ouverts hébergé sur votre propre infrastructure ne renvoie aucune donnée vers l'éditeur : le risque de fuite vers un pays tiers, souvent le premier réflexe d'inquiétude, disparaît dès lors que l'inférence est locale.
Le vrai sujet est ailleurs. Il porte sur la validation métier, la traçabilité des sorties, la sécurité de la chaîne d'approvisionnement logicielle qui accompagne ces modèles, et la capacité à documenter tout cela pour un auditeur ou un régulateur. Un modèle ouvert chinois peut parfaitement avoir sa place dans une stack française, à condition d'être encadré comme n'importe quel composant critique.
L'EU AI Act en 2026 : ce que les obligations GPAI changent concrètement
Le règlement européen sur l'intelligence artificielle est entré dans sa phase d'application qui concerne directement les modèles à usage général, ce que le texte appelle les modèles GPAI. Les fournisseurs de ces modèles doivent notamment publier une documentation technique, un résumé des contenus utilisés pour l'entraînement, respecter le droit d'auteur européen, et pour les modèles présentant un risque systémique, mener des évaluations et notifier les incidents.
Pour une ETI ou une PME française, la nuance essentielle est celle du rôle. Vous n'êtes presque jamais fournisseur d'un modèle GPAI ; vous en êtes déployeur. Vos obligations diffèrent, mais elles existent : transparence vis-à-vis des utilisateurs, marquage des contenus générés, respect des interdictions sur certaines pratiques, et surtout classification correcte de votre usage. Un chatbot de support n'a pas le même régime qu'un système d'aide à la décision de crédit, qui peut basculer dans la catégorie à haut risque avec des exigences bien plus lourdes.
Ce cadre s'articule avec les autres textes qui structurent déjà la conformité européenne : le RGPD pour les données personnelles, NIS2 pour la cybersécurité des entités essentielles et importantes, et DORA pour les acteurs financiers. En pratique, une décision d'architecture IA prise en 2026 doit être lisible à travers ces quatre prismes simultanément.
Checklist : construire une stack d'IA gouvernable
Voici les étapes concrètes à suivre pour arbitrer sereinement, dans l'ordre où elles produisent le plus de valeur :
- ▸Cartographier les cas d'usage et classer chacun selon le niveau de risque de l'EU AI Act : minimal, à transparence spécifique, ou à haut risque.
- ▸Qualifier la sensibilité des données manipulées à chaque étape, en distinguant données personnelles, secrets d'affaires et données réglementées.
- ▸Choisir le mode de déploiement par cas d'usage : API managée européenne, modèle ouvert auto-hébergé, ou solution hybride, plutôt qu'un fournisseur unique pour tout.
- ▸Exiger la traçabilité : journaux des requêtes et des réponses, versionnage des modèles, documentation des prompts système et des jeux de test.
- ▸Mettre en place une évaluation continue de la qualité et des biais, avec des jeux de tests métier en français et dans vos langues de travail.
- ▸Formaliser la gouvernance : un référent IA, une politique d'usage écrite, et une revue périodique alignée sur NIS2 et, le cas échéant, DORA.
- ▸Prévoir la réversibilité : garder la capacité de changer de modèle sans réécrire toute l'application, grâce à une couche d'abstraction entre vos services et le fournisseur.
Cette dernière étape est souvent négligée et pourtant décisive. La souveraineté, ce n'est pas seulement choisir le bon modèle aujourd'hui, c'est conserver la liberté d'en changer demain.
Le rôle de TuniCyberLabs : une ingénierie nearshore au service de votre souveraineté
Construire une telle stack demande des compétences rares et une proximité réelle avec vos équipes. C'est précisément là que le modèle nearshore de TuniCyberLabs prend son sens pour une entreprise française. Notre équipe d'ingénierie, basée à Sousse en Tunisie, travaille dans le même fuseau horaire que Paris : vos points quotidiens, vos revues d'architecture et vos incidents se traitent en temps réel, sans le décalage frustrant des prestations lointaines.
Le cadre juridique est celui que vos directions attendent. Notre maison mère est établie en Estonie, à Tallinn, avec des bureaux à Chypre, ce qui permet des contrats de droit européen et un alignement RGPD sans zone grise. Nos équipes travaillent en français, en anglais et en arabe, ce qui fluidifie les échanges avec vos métiers comme avec vos partenaires. Et le coût de cette ingénierie reste sensiblement plus compétitif qu'une prestation équivalente réalisée en France, sans compromis sur la qualité ni sur la sécurité.
Concrètement, nous aidons les ETI et PME françaises à intégrer Mistral ou des modèles ouverts sur des infrastructures qu'elles maîtrisent, à documenter leur conformité à l'EU AI Act, et à mettre en place la couche de gouvernance qui rend une stack d'IA réellement pilotable. La souveraineté n'est pas un slogan : c'est une discipline d'ingénierie, et c'est notre métier.