Quand l'État passe à l'IA souveraine, pourquoi pas votre organisme de formation ?

Pendant longtemps, parler de « souveraineté numérique » revenait à brandir un drapeau dans une conversation d'ingénieurs. C'était perçu comme une posture, une préférence patriotique sans traduction technique. Cette époque est révolue. En l'espace de quelques mois, trois faits concrets ont changé la donne : une IA de premier plan est désormais entraînée et hébergée en France, l'État français bascule pour ses propres données sensibles, et le marché du cloud souverain connaît une croissance fulgurante. La question n'est plus « faut-il y croire ? », mais « pourquoi attendre ? ».

Une IA française qui n'est plus une promesse

Le 30 mars 2026, Mistral AI a annoncé le financement de son premier centre de données en France, à Bruyères-le-Châtel, dans l'Essonne^[1]. Les chiffres donnent la mesure du basculement : 830 millions de dollars de dette levée, 13 800 processeurs graphiques Nvidia GB300, 44 mégawatts de puissance, une mise en service prévue dès le deuxième trimestre 2026. Ce n'est plus un modèle hébergé « quelque part » sur des serveurs loués à un acteur américain : c'est une chaîne de calcul implantée sur le sol français.

Arthur Mensch, cofondateur de Mistral, résume l'enjeu sans détour : « Scaling our infrastructure in Europe is critical… AI innovation and autonomy remain at the heart of Europe. »^[1] Faire passer à l'échelle une infrastructure en Europe, garder l'innovation et l'autonomie au cœur du continent : la formule pourrait sembler théorique. L'investissement, lui, est bien réel.

La souveraineté numérique a cessé d'être une opinion. C'est devenu une infrastructure, avec une adresse, une puissance électrique et une date de mise en service.

L'État montre le chemin

Le signal le plus fort n'est pas venu d'une entreprise, mais de l'État lui-même. Le 16 juin 2026, le gouvernement français a annoncé 655 millions d'euros supplémentaires et la généralisation d'un assistant IA souverain à environ un million d'agents publics, dans le but explicite de réduire la dépendance aux infrastructures et aux modèles d'IA américains^[2].

Soyons précis, car l'honnêteté intellectuelle l'exige : le prestataire et le modèle retenus n'ont pas été officiellement nommés dans cette annonce. Il serait malhonnête d'en attribuer la paternité à tel ou tel acteur. Mais la direction, elle, est limpide. Quand un État décide d'outiller un million de ses agents avec une IA qu'il veut souveraine, et qu'il y met plus d'un demi-milliard d'euros, il envoie un message à tout l'écosystème : pour les données sensibles, la localisation et la maîtrise de la chaîne ne sont pas négociables.

Or qu'est-ce qu'un organisme de formation, sinon un gestionnaire de données sensibles ? Identités d'apprenants, parcours, résultats d'évaluation, situations de handicap parfois, données de financement. Si l'État considère que ses données méritent une IA souveraine, la question se pose, légitimement, pour tout acteur qui manipule des données personnelles à grande échelle.

Le marché a déjà tranché

Ceux qui voient encore dans le cloud souverain une niche militante devraient regarder les chiffres. Selon Gartner, le marché mondial du cloud souverain atteindra 80,4 milliards de dollars en 2026, soit une progression de 35,6 % par rapport à 2025, dont 12,6 milliards pour la seule Europe^[3]. Une croissance de plus d'un tiers en un an n'est pas le symptôme d'une mode : c'est une réallocation de fond de la dépense informatique.

Autrement dit, la souveraineté n'est plus un surcoût concédé à contrecœur. C'est un critère d'achat structurant, qui pèse désormais dans les appels d'offres, les cahiers des charges et les politiques de conformité des organisations sérieuses. L'organisme de formation qui anticipe ce mouvement ne fait pas un pari idéologique : il s'aligne sur la trajectoire dominante de son marché.

Le vrai verrou juridique : SecNumCloud, pas le RGPD seul

Ici se niche le malentendu le plus coûteux. Beaucoup de responsables pensent qu'héberger des données « en Europe », chez un grand fournisseur américain, suffit à les protéger parce que le RGPD s'applique. C'est une illusion juridique dangereuse.

Le RGPD encadre le traitement des données, mais il ne neutralise pas une injonction extraterritoriale adressée à un fournisseur soumis au droit américain. Une entreprise américaine, même quand elle stocke vos données dans un datacenter situé en France, peut se voir contrainte par le CLOUD Act ou par la section 702 du FISA de communiquer ces données aux autorités américaines^[4]. La localisation physique des serveurs en Europe ne crée pas, à elle seule, l'immunité.

Le seul marqueur reconnu par la CNIL pour matérialiser un cloud réellement souverain, c'est la qualification SecNumCloud, délivrée par l'ANSSI^[4]. Son référentiel, dans sa version 3.2, comporte plus de 360 critères et exige notamment l'immunité aux lois extraterritoriales. C'est précisément ce que le RGPD seul ne garantit pas et que SecNumCloud, lui, impose.

Héberger ses données « en Europe » chez un acteur américain ne les met pas à l'abri du CLOUD Act. Le verrou n'est pas le RGPD seul : c'est SecNumCloud.

Pour un organisme de formation, la conséquence est très concrète. Choisir un outil hébergé en France et conforme, ce n'est pas cocher une case marketing : c'est s'assurer que les données de ses apprenants ne pourront pas, demain, être réclamées par une juridiction étrangère via le prestataire technique. La conformité réelle se mesure à l'aune de cette immunité, pas du seul drapeau européen affiché sur une page produit.

Une souveraineté assumée, pas un cocorico

Je veux rester honnête, car le sujet mérite mieux que des slogans. La souveraineté numérique européenne n'est pas un état pur : c'est un gradient, et il faut l'assumer comme tel. La couche capital et silicium reste, à ce jour, largement américaine. Le tour de table de 1,7 milliard d'euros de Mistral en septembre 2025 a été mené par le néerlandais ASML, mais aux côtés de l'américain Nvidia, dont les processeurs équipent précisément le futur datacenter français^[5].

La « troisième voie » européenne s'écrit donc, pour partie, avec des capitaux et des puces venus des États-Unis. Prétendre le contraire serait du déni. Mais reconnaître cette dépendance résiduelle ne disqualifie pas la démarche : cela la rend crédible. La souveraineté n'est pas un absolu binaire — souverain ou pas — c'est une montée en autonomie progressive, où l'on sécurise d'abord les maillons les plus exposés : l'hébergement des données, la localisation du calcul, l'immunité juridique. Le silicium et le capital viendront après, ou viendront autrement.

Pour un organisme de formation, le bon niveau d'exigence n'est donc pas la pureté impossible, mais le réflexe juste : privilégier des outils hébergés en France, conformes au RGPD et à l'article 50 du règlement européen sur l'IA, et viser le verrou SecNumCloud là où les données le justifient. C'est exactement la logique dans laquelle nous concevons E²SNauthor, notre LCMS hébergé en France : faire de la souveraineté non pas une posture, mais un choix d'architecture, assumé dans ses forces comme dans ses limites.

L'État a fait son choix pour ses données les plus sensibles. Le marché a déjà voté. L'infrastructure existe. La seule vraie question qui reste, pour un organisme de formation, n'est plus de savoir si la souveraineté est possible — c'est de décider à quel moment il préfère s'y mettre : maintenant, par choix, ou plus tard, sous contrainte.