Souveraineté des données IA en PME : comment choisir où héberger quand vous déployez de l'IA

Soixante-neuf pour cent des dirigeants français estiment que répondre aux exigences de localisation des données constitue un défi pour leur organisation, selon l'IBM Institute for Business Value (2026). Pourtant, la majorité des PME déploient des outils IA sans avoir jamais posé la question : où vont concrètement leurs données ?

Ce flou n'est pas anodin. Mal choisir son hébergement, c'est s'exposer à une sanction CNIL, à une perte de marché public, ou à une fuite de secret industriel. Bien choisir, c'est répondre à une contrainte réelle avec un surcoût raisonnable, parfois nul.

Cet article ne vend aucun hébergeur. Il vous donne la grille de décision qui permet de choisir le bon niveau de protection pour chaque type de données, avec les coûts réels et les trois options accessibles à une PME sans direction informatique dédiée.

Souveraineté des données IA : le vrai risque du Cloud Act pour une PME

Le Cloud Act (Clarifying Lawful Overseas Use of Data Act, 2018) est une loi fédérale américaine qui autorise les autorités des États-Unis à exiger d'une entreprise soumise au droit américain la communication de données stockées n'importe où dans le monde, y compris sur des serveurs physiquement situés en Europe. Ce mécanisme d'extraterritorialité est distinct de la localisation physique des serveurs : des données hébergées en France restent accessibles aux autorités américaines si l'hébergeur est une société de droit américain.

La nuance que la plupart des articles omettent : le Cloud Act ne s'applique pas à n'importe quelle PME française. Il s'applique aux entreprises soumises au droit américain.

Qui est réellement concerné par le Cloud Act

Votre PME est dans le champ du Cloud Act si votre prestataire IA est :

• une société de droit américain (AWS, Microsoft Azure, Google Cloud), y compris si leurs serveurs sont physiquement en France ;
• une filiale ou une entité contrôlée par une société américaine ;
• un éditeur SaaS dont la maison mère est américaine, même si le siège commercial est à Paris.

Votre PME est hors champ du Cloud Act si votre prestataire est une société européenne sans lien capitalistique américain : OVHcloud, Scaleway, Clever Cloud, Infomaniak, par exemple.

« Les données hébergées dans l'Union européenne ne devraient pas être sujettes à un risque d'accès non autorisé par des autorités d'États tiers », à condition que le prestataire ne soit pas soumis à des lois extraterritoriales comme le Cloud Act ou la section 702 du FISA américain. (CNIL, recommandations sur le recours aux services cloud, 2023)

Parallèlement, 33 % des dirigeants de PME et ETI françaises citent les risques de partage de données confidentielles comme principal frein au déploiement IA (Bpifrance Le Lab, 2025). Cette crainte est fondée, mais elle mérite d'être calibrée selon le profil réel de chaque PME, pas sur la base du discours marketing des éditeurs d'hébergement souverain.

Ce que votre contrat AWS, Azure ou Google ne dit pas clairement : Microsoft et Amazon disposent de clauses EU Data Boundary et de Data Residency pour les données européennes. Ces clauses limitent les transferts. Elles ne constituent pas une immunité totale vis-à-vis du Cloud Act. Pour des [obligations RGPD sur vos traitements IA](/blog/rgpd-ia-pme-obligations-cnil-2026), ces nuances comptent.

Ce que coûte un mauvais choix d'hébergement

Les risques concrets pour une PME :

• Sanction CNIL en cas de transfert de données personnelles hors UE sans mécanisme légal (articles 44 à 49 du RGPD).
• Perte de marché public si l'acheteur exige un hébergement SecNumCloud ou européen sans lien US.
• Fuite de secret industriel si un concurrent ou une autorité étrangère accède à vos données de production via un prestataire sous juridiction américaine.
• Perte de confiance client si une violation est rendue publique : 52 % des dirigeants de TPE et PME craignent un piratage de leurs données, en hausse de 16 points depuis 2020 (Baromètre France Num, 2025).

Classer vos données IA avant de choisir : la grille en 4 niveaux

Avant de choisir un hébergeur, vous devez savoir ce que vous hébergez. L'ANSSI structure ses recommandations de choix d'offres cloud autour de la sensibilité des données traitées. Le cadre ANSSI cible en priorité les administrations et les Opérateurs d'Importance Vitale. Voici sa traduction en langage PME.

Niveau 1 : données opérationnelles courantes

Ce que c'est : plannings, comptabilité courante, emails internes sans contenu sensible, données de surf web, logs techniques.

Niveau de risque : faible. Une fuite est gênante, pas catastrophique.

Recommandation : cloud standard acceptable, y compris hyperscalers américains avec data residency UE activée. Pas besoin de surcoût.

Niveau 2 : données clients et prospects (RGPD)

Ce que c'est : base contacts, CRM, historique achats, emails clients, données de formulaires.

Niveau de risque : modéré à élevé. Ces données sont des données personnelles au sens du RGPD. Un transfert hors UE sans mécanisme légal est une infraction.

Recommandation : cloud européen recommandé, ou hyperscaler américain avec Data Processing Agreement (DPA) et clauses contractuelles types (CCT) en place. Vérifier que votre prestataire peut justifier du mécanisme de transfert.

Niveau 3 : données RH et données de production

Ce que c'est : dossiers salariés, évaluations de performance, données de processus industriels, plans de fabrication, données de R&D non critiques.

Niveau de risque : élevé. Les données RH sont des données sensibles au sens du RGPD. Les données de production constituent souvent un avantage concurrentiel.

Recommandation : cloud européen certifié ou hébergeur français sans lien US. Un hyperscaler américain avec data residency peut convenir si le DPA est solide et si vous avez validé le risque avec votre DPO ou conseil juridique.

Niveau 4 : secrets industriels, données de santé, marchés publics sensibles

Ce que c'est : formules, brevets, données de santé au sens de la réglementation, informations classifiées ou liées à des marchés publics stratégiques.

Niveau de risque : critique. Une fuite peut mettre en danger l'entreprise ou les personnes.

Recommandation : SecNumCloud. C'est ici que la qualification ANSSI prend tout son sens.

« SecNumCloud vise à protéger les données et les traitements sensibles face à la menace cybercriminelle et à l'application de lois extraterritoriales. » (ANSSI, référentiel SecNumCloud v3.2, 2022)

Les 3 options concrètes accessibles à une PME (avec coûts)

Voici les trois options réalistes pour une PME qui déploie de l'IA , sans budget DSI disproportionné.

Option A : cloud européen non-SecNumCloud

Hébergeurs de droit européen, sans actionnariat américain, hors champ du Cloud Act. Leurs serveurs sont en Europe (souvent en France).

Prestataires types : OVHcloud AI Endpoints, Scaleway (Iliad), Infomaniak (Suisse), Clever Cloud.

Points clés :

• Coûts : comparables, voire inférieurs aux hyperscalers américains selon le périmètre de service. Pas de surcoût souveraineté.
• Cas d'usage recommandés : niveaux 2 et 3 de la grille. Données clients, données RH, processus métiers courants.
• Limites : toutes les offres ne sont pas qualifiées SecNumCloud. Pour des données niveau 4, ce niveau ne suffit pas.

Option B : hyperscaler américain avec data residency UE

AWS, Microsoft Azure et Google Cloud proposent des options de résidence des données en Europe. Vos données restent physiquement sur des serveurs UE. Ces sociétés restent soumises au Cloud Act en raison de leur structure capitalistique américaine.

Prestataires types : Azure West Europe / France Central, AWS EU-West (Dublin, Paris), Google Cloud europe-west.

Points clés :

• Coûts : tarifs standard hyperscalers. Pas de surcoût pour la data residency seule.
• Cas d'usage recommandés : niveaux 1 et 2. Acceptable pour des données clients si le DPA et les clauses contractuelles types (CCT) sont en place.
• Limites : la localisation physique ne supprime pas le risque extraterritorial. Microsoft dispose de l'engagement EU Data Boundary, qui limite les transferts sans constituer une garantie absolue.

Option C : SecNumCloud

SecNumCloud est la qualification de l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) la plus exigeante pour les prestataires cloud français. Elle garantit l'immunité aux lois extraterritoriales, le contrôle capitalistique européen, et un niveau de sécurité technique certifié par un audit tiers.

Points clés :

• Prestataires qualifiés (ANSSI, 2026) : 8 offres à ce jour : OVHcloud (offre SecNumCloud), Cloud Temple, Oodrive, Cegedim.cloud, Orange Business, 3DS Outscale (Dassault Systèmes), Worldline, Whaller.
• Coûts : selon les estimations du marché, un surcoût de 20 à 50 % par rapport aux hyperscalers standard selon le type d'offre (IaaS, PaaS, SaaS) et le volume.
• Cas d'usage recommandés : niveau 4 exclusivement, ou niveaux 2-3 si vous opérez dans un secteur réglementé (santé, défense, finance) ou si vous répondez à des marchés publics sensibles.

66 % des dirigeants français accepteraient une hausse de coût de 20 % pour garantir la souveraineté de leurs données IA (IBM Institute for Business Value, CEO Survey France, 2026). Le marché SecNumCloud entre dans cette fourchette de tolérance.

Quand SecNumCloud s'impose vraiment

SecNumCloud n'est pas une obligation légale universelle pour les PME. Il s'impose dans quatre situations précises :

1. 1Vous répondez à des marchés publics dont le cahier des charges exige un hébergement qualifié SecNumCloud ou un hébergement souverain.
2. 2Vous opérez dans un secteur réglementé où la protection des données est encadrée par une réglementation sectorielle spécifique (établissements de santé, opérateurs financiers régulés, défense).
3. 3Vous êtes un Opérateur d'Importance Vitale (OIV) ou d'Importance Systémique (OES). Ce statut concerne une fraction très limitée des PME.
4. 4Vous traitez des données dont la compromission aurait des conséquences irréversibles sur votre activité ou vos clients : secrets de fabrication critiques, données de santé, propriété intellectuelle de haute valeur.

Pour une PME standard qui déploie un outil de génération de contenu, un assistant RH ou un outil d'analyse financière, SecNumCloud n'est généralement pas nécessaire. Le bon niveau est souvent l'option A ou B de la grille ci-dessus.

La CNIL recommande SecNumCloud pour les données « les plus sensibles », pas pour l'ensemble des traitements IA. Cette recommandation est formalisée dans ses lignes directrices sur le recours aux services cloud (2023).

Pour comprendre [ce qui s'applique depuis le 2 août 2026](/blog/ai-act-2-aout-2026-ce-qui-sapplique-pme) en matière d'AI Act, retenez ce point factuel : les systèmes IA à haut risque (Annexe III du règlement (UE) 2024/1689, modifié par le règlement (UE) 2026/1744) voient leurs obligations reportées au 2 décembre 2027. L'AI Act n'impose aujourd'hui aucune obligation d'hébergement souverain. Ce qu'il impose depuis le 2 août 2026, c'est la mise en place d'un registre IA, et ce registre doit documenter où sont hébergées vos données.

Sur les 8 prestataires qualifiés SecNumCloud recensés par l'ANSSI en 2026, le marché reste étroit. Des candidatures supplémentaires sont en cours d'instruction, dont des offres d'envergure comme S3NS (Thales avec Google) et Bleu (Capgemini et Orange avec Microsoft). Ces offres, si qualifiées, permettront d'utiliser les écosystèmes GCP et Azure avec une immunité extraterritoriale.

Pour aller plus loin sur [le cadre réglementaire de l'AI Act](/blog/ai-act-pme-guide-2026) et comprendre quelles obligations s'appliquent à votre PME selon votre secteur, consultez notre guide pilier.

Les 3 questions à poser à votre prestataire IA avant de signer

Avant de déployer un outil IA, posez ces trois questions à tout prestataire et évaluez la qualité de la réponse.

Question 1 : Votre société est-elle soumise à un droit hors UE ?

Ce que vous cherchez à comprendre : est-ce que la maison mère, l'actionnaire majoritaire ou la structure capitalistique du prestataire est américaine, chinoise ou relevant d'une autre juridiction extraterritoriale ?

Un prestataire sérieux vous répondra en 24 heures avec un extrait Kbis ou un organigramme capitalistique. Un prestataire qui tourne autour de la question ou invoque la confidentialité de sa structure est un signal d'alerte.

Question 2 : Où sont physiquement stockées mes données, et qui y a accès ?

Ce que vous cherchez : la localisation des serveurs (datacenter, région), les sous-traitants éventuels, et les accès des équipes support (y compris offshore).

Un contrat sérieux spécifie la région de stockage, interdit les transferts hors EEE sans votre accord explicite, et détaille qui peut accéder aux données en mode support.

Question 3 : Disposez-vous d'une qualification SecNumCloud, ou êtes-vous en cours d'instruction ANSSI ?

Un prestataire qualifié SecNumCloud a subi un audit tiers rigoureux portant sur sa structure capitalistique, ses procédures de sécurité et ses engagements contractuels. Cette qualification est délivrée par l'ANSSI et révisée périodiquement. Si votre prestataire ignore ce qu'est SecNumCloud, c'est un indicateur de son niveau de maturité sur ces sujets. À vous d'en tirer les conclusions selon votre profil de risque.

Seulement 16 % des dirigeants français comprennent réellement leurs dépendances IA (IBM Institute for Business Value, CEO Survey France, 2026). Poser ces trois questions, c'est rejoindre ces 16 %.

Ce que cela implique pour votre registre IA et le RGPD

Le registre IA est un document de gouvernance rendu obligatoire par l'AI Act (règlement (UE) 2024/1689) pour les entreprises qui déploient des systèmes IA dans le champ de la réglementation européenne. Il s'applique depuis le 2 août 2026 à toutes les organisations concernées.

Ce que le registre IA doit documenter sur l'hébergement

Pour chaque outil IA déployé dans votre PME, votre [registre IA](/blog/gouvernance-ia-entreprise-registre-politique-dpo) doit mentionner :

• la nature des données traitées par l'outil ;
• la localisation de l'hébergement (région, pays, prestataire) ;
• les mécanismes de protection en place (chiffrement, accès restreints, DPA) ;
• le fondement juridique du traitement si des données personnelles sont impliquées.

Ce n'est pas une formalité administrative. Ce document peut être demandé par la CNIL lors d'un contrôle, ou par un client lors d'un audit fournisseur.

Les obligations RGPD sur les transferts hors EEE

Si votre prestataire IA est établi hors de l'Espace Économique Européen (EEE), ou si vos données peuvent être accédées depuis un pays hors EEE, le RGPD impose un mécanisme légal de transfert au titre des articles 44 à 49.

Les mécanismes disponibles :

• Décision d'adéquation de la Commission européenne (si le pays est reconnu comme offrant un niveau de protection équivalent).
• Clauses contractuelles types (CCT) : le mécanisme le plus courant pour les transferts vers les États-Unis.
• Règles d'entreprise contraignantes (BCR) : pour les groupes multinationaux, moins pertinent pour une PME.

Pour une PME qui utilise un outil SaaS américain : vérifiez que votre contrat inclut les CCT 2021 de la Commission européenne et que le DPA de l'éditeur couvre explicitement les conditions de transfert.

Pour approfondir les [obligations RGPD sur vos traitements IA](/blog/rgpd-ia-pme-obligations-cnil-2026), notre article dédié détaille le plan d'action par type de traitement.

Le lien avec l'Audit IA Express

Cartographier vos flux de données (savoir quelles données alimentent quel outil IA, stockées où, accessibles par qui) est la première étape d'un déploiement IA maîtrisé. C'est aussi ce que permet [un audit IA qui cartographie vos flux de données](/blog/audit-ia-pme-guide-complet) : identifier les risques d'hébergement et vous proposer une grille de décision adaptée à votre profil, sans jargon IT.

Questions fréquentes

Est-ce que le Cloud Act s'applique à ma PME française ?

Le Cloud Act ne s'applique pas à votre PME en tant que telle. Il s'applique aux entreprises soumises au droit américain. En revanche, si votre prestataire IA est une société américaine ou contrôlée par des intérêts américains (AWS, Microsoft Azure, Google Cloud), vos données hébergées chez lui entrent dans le champ du Cloud Act. La question clé n'est pas « où sont mes données ? » mais « qui contrôle mon hébergeur ? »

OVHcloud est-il souverain ?

OVHcloud est un hébergeur européen (siège à Roubaix) sans contrôle américain, donc hors champ du Cloud Act. Ses offres AI Endpoints hébergent les données en France. L'ensemble de son catalogue n'est pas qualifié SecNumCloud, mais le risque extraterritorial est nul pour ses offres standard. Pour des données niveau 4 (santé, défense, marchés publics stratégiques), l'offre SecNumCloud spécifique d'OVHcloud est à envisager.

Combien coûte un hébergement souverain ?

Le cloud européen non-SecNumCloud (OVHcloud, Scaleway, Infomaniak) coûte en général autant ou moins cher qu'un hyperscaler américain. Pas de surcoût souveraineté. Le passage à SecNumCloud représente, selon les estimations du marché, un surcoût de 20 à 50 % selon les services. Ce surcoût est justifié pour les données critiques, superflu pour les données opérationnelles courantes.

Quand SecNumCloud est-il vraiment obligatoire ?

Pour une PME, SecNumCloud est rarement obligatoire au sens légal strict. Il s'impose pour les marchés publics sensibles, les OIV, et les secteurs réglementés (santé, défense, finance). La CNIL recommande de le privilégier pour les données « les plus sensibles ». Pour le reste, un hébergeur européen non-SecNumCloud couvre la majorité des cas PME.

L'AI Act impose-t-il un hébergement souverain pour les données IA ?

Non. L'AI Act (règlements (UE) 2024/1689 et 2026/1744) n'impose aucune localisation des données. Les obligations des systèmes IA à haut risque (Annexe III) sont reportées au 2 décembre 2027. Ce qui s'applique depuis le 2 août 2026 : le registre IA, qui doit documenter où sont hébergées les données traitées par vos outils. Ce n'est pas une obligation d'hébergement souverain, c'est une obligation de traçabilité.

Agir sur la souveraineté de vos données IA

La question de l'hébergement n'est pas technique. C'est une décision de gestion des risques : quel niveau de protection pour quel type de données, et quel coût êtes-vous prêt à assumer en échange ?

La grille en 4 niveaux présentée ici vous permet de segmenter votre décision. Les données opérationnelles courantes n'ont pas besoin de SecNumCloud. Les secrets industriels et les données de santé, si. Entre les deux, le cloud européen non-SecNumCloud constitue un choix raisonnable pour la majorité des PME.

Ce qui est certain : ne pas poser la question est la moins bonne option. Elle vous expose à des risques réglementaires, concurrentiels et réputationnels évitables.

Un Audit IA Express Smart Impulsion cartographie vos flux de données, identifie les risques d'hébergement et vous propose une grille de décision adaptée à votre profil , sans jargon IT. [Demandez votre audit](/services/audit).