/principes
IA souveraine
Ce que le mot recouvre, en quatre points mesurables
La souveraineté est un attribut d’État. Pour une entreprise ou une collectivité, une IA souveraine est une IA dont elle maîtrise quatre points : qui décide de ses modèles, ce qu’elle sait d’eux, où part sa dépense, quel droit s’applique à ses données. Archipel répond à chacun de ces points, en France ou chez vous.
/mesures
Quatre points qui se vérifient.
- CLOUD Act loi américaine de 2018 : un fournisseur soumis au droit américain remet aux autorités les données qu’il contrôle, même stockées hors des États-Unis.
- FISA Foreign Intelligence Surveillance Act, la loi américaine qui encadre le renseignement extérieur.
Le mot est devenu une étiquette, accolée à tout ce qui n’est pas californien. Ce qu’il recouvre se vérifie pourtant outil par outil, dans les contrats de vos fournisseurs d’IA. Quatre points suffisent à mesurer la marge de manœuvre qu’ils vous laissent.
Depuis 2024, l’administration américaine évalue les modèles dominants avant leur sortie, sur des versions moins bridées que celles vendues aux entreprises. Le CLOUD Act1 et le FISA2 lui ouvrent les données traitées par un opérateur américain, où qu’elles soient hébergées. Une organisation européenne qui achète ces outils en sait donc moins sur eux que l’État de leur éditeur.
- Le calendrier La sortie, les mises à jour et le retrait des modèles que vous utilisez sont décidés par leur éditeur. En août 2025, l’arrivée de GPT-5 a retiré du jour au lendemain les modèles précédents de ChatGPT, avant qu’OpenAI n’en rétablisse un sous la pression de ses utilisateurs.
- L’information Ce que vous savez des capacités réelles d’un modèle tient à ce que son éditeur veut bien publier. Ses fiches techniques décrivent le modèle sans détailler ses données d’entraînement, et l’administration qui l’évalue avant sa sortie en sait davantage que vous.
- La dépense Une licence d’assistant se facture couramment 30 dollars par utilisateur et par mois. Pour 600 personnes, cela fait 216 000 dollars par an, versés hors de France, à un prix que l’éditeur révise seul.
- Le droit Le droit applicable est celui de l’opérateur qui traite vos données, quel que soit le pays où se trouvent ses serveurs. Un centre de données à Paris exploité par une société américaine reste soumis au droit américain.
/droit
Un droit qui suit l’opérateur, où que soient ses serveurs.
- SecNumCloud qualification délivrée aux offres de cloud ; elle exige notamment que le prestataire échappe aux lois extraterritoriales.
- ANSSI Agence nationale de la sécurité des systèmes d’information.
Le CLOUD Act, adopté en 2018, permet aux autorités américaines d’exiger d’un fournisseur soumis à leur droit les données qu’il contrôle, même stockées en Europe. Les accords qui encadraient les transferts de données vers les États-Unis ont été annulés deux fois par la Cour de justice de l’Union européenne, en 2015 puis en 2020. Le troisième est en vigueur depuis 2023.
En France, la doctrine « cloud au centre » réserve les données sensibles de l’État à un cloud interne ou qualifié SecNumCloud1 par l’ANSSI2. La loi SREN de 2024 oblige les administrations de l’État et certains de leurs opérateurs à protéger ces données des accès d’autorités étrangères que le droit européen n’autorise pas. Son décret d’avril 2026 impose en principe des offres qualifiées SecNumCloud.
- 2018 le CLOUD Act étend les réquisitions américaines aux données stockées hors des États-Unis
- 2020 la Cour de justice de l’Union annule le deuxième accord de transfert de données vers les États-Unis
- 2024 la loi SREN protège les données sensibles de l’État des accès d’autorités étrangères
/réponses
Une réponse vérifiable à chaque point.
Archipel tourne chez Scaleway, en France, ou chez vous, sur une infrastructure dédiée. Avec Lagon, les modèles de langage tournent eux aussi en France. Inceptive et Scaleway sont deux sociétés françaises, soumises au droit français et européen.
Archipel s’appuie sur un logiciel dont le code est public (Open WebUI). Nos ingénieurs l’installent, le relient à vos sources et le maintiennent, et son fonctionnement se vérifie ligne à ligne.
- Des modèles que vous choisissez Nous retenons avec vous les modèles selon la sensibilité de chaque usage, et ne les remplaçons qu’à votre décision.
- Des modèles évaluables Les modèles ouverts publient leurs poids : nos ingénieurs les testent sur vos propres documents avant de les mettre en service.
- Une dépense qui reste en France Un forfait par organisation, en euros, fixé au contrat. Il rémunère des ingénieurs à Grenoble et un hébergeur français.
- Un opérateur de droit français Inceptive installe, exploite et maintient Archipel depuis Grenoble, et prend en charge tout incident critique en 4 heures.
/évaluation
Des modèles mesurés sur vos propres cas.
Un classement public dit peu de choses de la qualité d’un modèle face à vos documents, à votre vocabulaire et à vos règles. Les modèles ouverts publient leurs poids : ils s’installent dans votre périmètre et s’évaluent avant tout usage.
Nos ingénieurs constituent avec vos équipes un jeu d’essai tiré de vos documents. Chaque modèle candidat y répond, et nous mesurons l’exactitude de ses réponses et la justesse des sources qu’il cite. Le même jeu d’essai sert à chaque changement de modèle.
- Constituer un jeu d’essai à partir de vos documents et des questions réelles de vos équipes
- Mesurer chaque modèle sur l’exactitude des réponses et la justesse des sources citées
- Décider avec vous du modèle retenu et du moment d’en changer, au vu des résultats
Un modèle se juge sur vos documents.
/hébergement
Trois niveaux, selon la sensibilité de vos informations.
Tous vos usages n’exigent pas le même niveau de protection. Le brouillon d’un courrier public ne demande pas les précautions d’un dossier de ressources humaines, d’un contrat ou des données de vos usagers.
Nous répartissons avec vous vos usages entre trois niveaux, et réservons chaque modèle aux informations qu’il peut traiter. Une même organisation peut combiner les trois.
- Scaleway, en France Archipel, vos documents et vos conversations sont hébergés chez Scaleway, en France. Les modèles de langage sont choisis selon la sensibilité de chaque usage. Ce niveau convient à la plupart des usages courants.
- Lagon Les modèles de langage tournent eux aussi en France, chez un hébergeur français, et aucune requête ne quitte le territoire. Ce niveau convient aux informations sensibles : ressources humaines, contrats, dossiers des usagers…
- Chez vous Archipel s’installe sur votre propre infrastructure, dans vos murs, et nos ingénieurs le maintiennent. Ce niveau convient aux organisations qui gardent l’ensemble de leurs traitements en interne.
/vérifier
Cinq garanties à demander par écrit.
Ces garanties se demandent à chaque fournisseur d’IA, au moment du contrat. Une réponse orale ne vaut pas garantie : chaque point s’écrit dans le contrat, ou dans l’accord de sous-traitance prévu par le RGPD, qui nomme chaque sous-traitant et son pays.
Archipel apporte les cinq. Notre accord de sous-traitance et notre plan d’assurance sécurité vous sont remis sur demande.
/à votre échelle
Trois décisions à la portée de tout dirigeant.
Aucune de ces décisions n’est la souveraineté. Leur addition donne ce que le mot est censé désigner.
Elles tiennent en trois documents : l’inventaire de vos outils d’IA et de leurs fournisseurs, une grille de sensibilité de vos informations, et la part de votre budget d’IA confiée à des acteurs français.
- Interroger vos fournisseurs sur l’hébergement de vos données, l’opérateur qui les traite et le droit qui s’y applique
- Classer vos usages selon la sensibilité des informations qu’ils traitent, et ce qu’ils peuvent confier à un fournisseur américain
- Investir en France une part de votre dépense d’IA, dans des compétences et des infrastructures locales
Une marge de manœuvre, et le droit d’arbitrer sans que la décision soit déjà prise ailleurs.
/à savoir
Ce que les étiquettes ne disent pas.
Hébergé en France, ouvert, européen, sur mesure : chacune de ces étiquettes dit vrai sur un point, et se tait sur les autres.
Le CLOUD Act en France
Il s’applique à toute société soumise au droit américain, y compris pour les données qu’elle exploite à Paris ou à Francfort. Un hébergeur européen sans maison mère américaine n’y est pas soumis : le pays des serveurs compte moins que le droit de leur opérateur.
Un modèle ouvert
Un modèle aux poids publiés s’installe où vous le décidez et s’évalue sur vos propres cas. Le droit applicable reste celui de l’hébergeur qui le fait tourner et de l’opérateur qui l’exploite.
Les modèles européens
Un modèle conçu en Europe, comme ceux de Mistral AI, peut tourner chez un hébergeur américain. Le pays de son éditeur compte moins que l’infrastructure qui le fait tourner et le droit de son exploitant.
Un développement sur mesure
Un outil développé pour vous dépend du modèle qu’il appelle, de son hébergeur et de leur droit. Ces trois points se vérifient comme pour tout autre outil.
Les modèles américains
Ils conviennent aux informations sans sensibilité particulière, et certains gardent une avance sur des tâches précises. Le partage se décide usage par usage, avec vos équipes.
Le RGPD et l’AI Act
Ils s’appliquent quel que soit l’hébergement. Un hébergement en France évite les transferts de données hors de l’Union européenne, et les garanties juridiques que ces transferts imposent.
Le coût
Un hébergement confidentiel coûte davantage par requête qu’un service grand public. Avec un forfait par organisation, à partir de 50 utilisateurs, l’économie sur les licences individuelles paie cette confidentialité.
Le changement de prestataire
Un logiciel dont le code est public et des données restituées en fin de contrat permettent de changer de prestataire sans repartir de zéro.
/dans cette rubrique
- Archipel Équiper toute votre organisation
- Robo Fabrica Un système déterministe, sans surprise
/contact
Travaillons ensemble
Découvrez comment Inceptive peut vous aider à transformer votre activité et à résoudre des problématiques opérationnelles complexes grâce à l’intelligence artificielle.