Garder la main sur l'IA sans renoncer aux meilleurs modèles

Le 12 juin 2026, une directive d’urgence américaine de contrôle des exportations sur l’intelligence artificielle a interdit, pour des raisons de sécurité nationale et des craintes de vulnérabilités majeures (jailbreaking), à tout ressortissant étranger, y compris européen, aux États-Unis ou à l’étranger, d’accéder à Fable 5 et Mythos 5, les deux modèles les plus avancés d’Anthropic.

Il a fallu près de trois semaines pour que le département du Commerce Américain lève la mesure et que des Européens puissent à nouveau avoir accès à Fable 5 et Mythos 5.

L’accès est rétabli mais le précédent est posé, et il doit servir de leçon. Une dépendance ne devient réelle qu’au moment de la rupture, et ce jour-là, la décision n’appartient déjà plus à l’entreprise utilisatrice, ni même parfois à son fournisseur.

Faut-il pour autant renoncer aux modèles étrangers ? Cela reviendrait à sacrifier la performance à un principe irréaliste. Selon la Commission européenne, trois hyperscalers non européens détiennent plus de 70 % du cloud européen. La question pertinente porte plutôt sur la façon dont on peut garder la main sur des outils que l’on ne contrôle pas à l’origine.

La souveraineté numérique se joue sur une chaîne complexe composée de matières premières, de puces, de modèles de fondation et de leurs applications jusqu’au cloud et aux centres de données. L’entreprise n’en maîtrise en général que le dernier maillon, celui de l’intégration de ces outils dans ses processus. Pour le reste, son levier est avant tout contractuel.

De l’encadrement des technologies elles-mêmes à la maîtrise des dépendances

Jusqu’ici, le droit européen du numérique encadrait ce que font les technologies avec, d’un côté, l’AI Act qui régit les risques des systèmes d’IA et, de l’autre, le RGPD qui sécurise l’usage des données personnelles.

Or, la rapidité avec laquelle le cloud et l’intelligence artificielle irriguent nos institutions et nos entreprises ne nous impose plus seulement de prévoir des boucliers législatifs contre leurs usages dévoyés, mais aussi de maîtriser la dépendance qu’ils créent chaque jour davantage.

C’est dans cet esprit que la proposition de Cloud and AI Development Act (CADA), présentée par la Commission européenne le 3 juin dernier, intervient pour réduire les dépendances envers les fournisseurs de cloud non européens. Surtout, elle précise que l’accès à un système d’IA hébergé et opéré à distance relève des services de cloud : utiliser une IA par API obéit alors à la même logique que confier ses données à un hébergeur. Le texte traite toutefois du service, pas du modèle lui-même, qui reste hors de son champ.

La proposition fixe quatre niveaux gradués d’assurance de souveraineté qui seraient facultatifs pour les fournisseurs, mais conditionneraient l’accès aux marchés publics. Les acheteurs publics, pour tout achat de cloud, devraient exiger au minimum la localisation des données dans l’Union européenne et, pour les usages les plus sensibles, le respect d’un ou plusieurs des autres niveaux : l’indépendance à l’égard des pays tiers et la transparence de la chaîne logicielle, la détention et le contrôle du fournisseur depuis l’Union, et enfin la maîtrise complète de cette chaîne.

Bien que les entreprises privées ne soient pas encore visées, ces quatre filtres seraient tout aussi pertinents pour elles, vis-à-vis de leurs propres fournisseurs.

En France, le Pacte numérique et IA, signé le 10 septembre 2026 entre l’État et les industriels français du numérique, a pris en compte le même impératif d’autonomie en matière de numérique que l’Union européenne. Il ambitionne de bâtir une base industrielle et technologique du numérique sur le modèle de la défense, et réserve l’adhésion aux industriels qui ne sont soumis à aucune règle extraterritoriale directe.

Aujourd’hui, cette volonté de développer une résilience numérique ne vise que les acheteurs publics, mais le CADA permettrait déjà aux entreprises des secteurs hautement critiques au sens de la directive NIS 2 (énergie, transports, banque, assurance, santé) de conduire les mêmes analyses. La Commission européenne assume d’ailleurs cet effet d’entraînement des mesures qui visent à l’origine le secteur public et sont, par la suite, reprises par les entreprises de ces secteurs critiques.

2027 : une autre échéance pour la continuité stratégique de la maîtrise technologique

Au 12 janvier 2027, le règlement sur les données (Data Act) achève la suppression des frais de changement de fournisseur de cloud, pour les contrats en cours comme pour les nouveaux. En outre, depuis septembre 2025, le client peut résilier son contrat dans des délais courts : deux mois de préavis au plus, trente jours de transition, puis au moins trente jours pour récupérer ses données.

Cependant, il faut garder en tête que le texte garantit le déménagement, pas l’emménagement. Seul le fournisseur d’infrastructure doit aider le client à retrouver un fonctionnement équivalent et, pour le logiciel, l’obligation du fournisseur se limite à ouvrir ses interfaces et à rendre les données portables. Appliqué à l’IA, dont l’assujettissement reste discuté, le texte permet au client de repartir avec ses données, sans garantie que ses usages fonctionneront sur un autre modèle. À noter également que les pénalités de résiliation anticipée des contrats à durée déterminée subsistent, à condition d’être proportionnées, notion que le texte ne définit toutefois pas.

Par ailleurs, le droit de la concurrence pourrait également jouer un rôle majeur dans cette maîtrise puisque le 25 juin 2026, la Commission européenne a estimé qu’Amazon Web Services et Microsoft Azure devraient être soumis au règlement sur les marchés numériques (DMA) pour leurs services cloud, ce qui faciliterait ainsi le changement de fournisseur.

Prévoir des garde-fous contractuels pour rester maître de son IA

Si le Data Act fixe un plancher en garantissant la sortie à travers des conditions de délais, de récupération des données et de suppression des frais, rien n’est imposé au-delà et il revient en réalité à l’entreprise de négocier, pour l’IA, d’autres garanties.

Ainsi, il serait important de rédiger des clauses assurant la réversibilité pour l’IA, la maîtrise des évolutions du modèle, la localisation permanente des données en Europe et leur maintien à la disposition de l’entreprise, ainsi que le contrôle de son fournisseur via des certifications en dehors de l’audit, souvent refusé. 

Souveraineté ou autonomie numérique ?

Les termes de « souveraineté numérique » employés à bon droit, dans le cadre du débat public européen et français, expriment la volonté d’échapper à la domination des États-Unis et de la Chine : les premiers contrôlant le cloud et les modèles les plus avancés, et la seconde exerçant son monopole sur les matières premières et les composants.

Or, le concept qu’ils portent est difficilement atteignable dans un espace sans frontières comme le numérique, dont aucune entreprise ni aucun État ne maîtrise à lui seul toute la chaîne.

Ainsi, l’objectif à poursuivre est plutôt celui de l’autonomie stratégique, qui doit toutefois se mesurer à l’aune des objectifs de chacun. La dépendance qui s’exerce sur un outil périphérique, concurrencé et remplaçable est bénigne, mais celle qui s’exerce à travers un fournisseur unique dont le cœur de métier est irremplaçable ne l’est pas.

Il faut également bien comprendre que cette autonomie ne se gagne pas par soustraction, en écartant les fournisseurs étrangers, mais par multiplication. Là où l’on se félicite souvent d’avoir tout rationalisé autour d’un fournisseur unique, la résilience tient à plusieurs sources, à une architecture capable de basculer d’un modèle à l’autre et à un plan de sortie éprouvé. Le secteur financier y est déjà tenu : depuis janvier 2025, le règlement DORA lui impose des stratégies de sortie, régulièrement testées, pour les services informatiques qui soutiennent ses fonctions critiques.

Gardons donc la souveraineté numérique comme idéal, et faisons de l’autonomie numérique l’objectif de terrain de nos entreprises françaises et européennes.

Cette chronique a été rédigée par Corinne Thiérache, avocate associée au cabinet Alerion avec Amanda Rolin, ancienne étudiante du Master 2 Droit de l’intelligence artificielle de l’Institut Catholique de Paris, en stage au sein du cabinet Alerion