Microsoft-Mistral : plus de contrôle... mais toujours sous Cloud Act

Microsoft et Mistral ont annoncé mardi 21 juillet un élargissement significatif de leur partenariat stratégique, noué pour la première fois en février 2024 autour d'un investissement de 15 millions d'euros. Quatre ans plus tard, l'accord change d'échelle : engagement de plusieurs milliards de dollars sur les infrastructures GPU, intégration des modèles Mistral dans Microsoft Foundry et Copilot Studio et, surtout, promesse d'un déploiement flexible, du cloud public jusqu'aux environnements totalement déconnectés. Pour les directions informatiques des secteurs régulés, c'est moins une annonce produit qu'un repositionnement autour de la question qui les préoccupe le plus depuis deux ans : comment adopter l'IA de pointe sans perdre la main sur ses données.

Mistral loue sa puissance de calcul à Microsoft

Premier volet de l'accord : Microsoft va exploiter une partie de l'infrastructure GPU européenne de Mistral pour développer ses propres capacités d'IA et alimenter ses services cloud. Mistral doit déployer des milliers de GPU Nvidia Vera Rubin, dernière génération de puces conçues pour l'entraînement et l'inférence à grande échelle. Nvidia, via son vice-président Ian Buck, a salué un accord qui doit fournir « la fondation de calcul » nécessaire à la prochaine génération d'IA en Europe.

Le montage est significatif : c'est habituellement Microsoft qui loue de la puissance de calcul à des hyperscalers ou qui bâtit ses propres datacenters. Ici, c'est la pépite française qui devient fournisseur d'infrastructure pour le géant américain, dans le cadre de ce que Microsoft présente comme une approche « flexible », combinant datacenters propres, capacités louées et partenariats stratégiques. L'opération s'inscrit dans les Engagements numériques européens annoncés par Microsoft en 2025, censés répondre aux inquiétudes de souveraineté numérique du continent.

Elle survient alors que Mistral a considérablement musclé sa surface financière : la société, valorisée autour de 12 milliards d'euros après sa levée de série C fin 2025, viserait désormais environ 20 milliards d'euros dans le cadre d'un nouveau tour de table, avec un actionnariat déjà renforcé par ASML. Mistral, lui, revendiquait en février un chiffre d'affaires récurrent annuel de plus de 370 millions d'euros, avec un objectif dépassant 900 millions d'euros pour 2026.

Medium 3.5 et OCR 4 débarquent chez Microsoft

Deuxième volet, plus classique : les modèles Mistral Medium 3.5 (généraliste, poids ouverts) et OCR 4 (traitement documentaire) rejoignent le catalogue de Microsoft Foundry, la plateforme de développement d'applications et d'agents IA de Microsoft. Medium 3.5 fait également son entrée dans Copilot Studio, l'outil de création d'agents pour les entreprises, aux côtés des modèles OpenAI déjà proposés. Les clients Microsoft peuvent ainsi construire, personnaliser et déployer des applications s'appuyant sur des modèles multilingues présentés comme plus économes que les modèles frontière classiques, tandis qu'OCR 4 cible les chaînes de traitement documentaire et les flux agentiques.

Le PDG et cofondateur de Mistral, Arthur Mensch, a indiqué que les deux tiers des clients actuels de la start-up travaillent déjà avec Microsoft. Un chiffre qui éclaire la logique de l'accord : élargir la distribution mondiale de modèles européens en s'appuyant sur la force commerciale d'un des plus gros réseaux entreprise au monde, plutôt que de bâtir ce canal seul face à OpenAI et Google.

La promesse du contrôle, du cloud au « air gap »

C'est le troisième pilier qui donne son sens marketing à l'ensemble : la possibilité de déployer les modèles Mistral sur Azure selon trois niveaux d'engagement : cloud public, cloud connecté (Azure Local relié aux services Azure) ou entièrement déconnecté, en mode air gap, sans aucune connectivité externe. Dans ce dernier cas, l'installation tourne dans les locaux du client, y compris coupée des serveurs Microsoft eux-mêmes, ce qui rend en théorie toute extraction de données à distance techniquement impossible tant que la coupure est maintenue. Microsoft cible explicitement les infrastructures critiques, la finance, la santé, l'industrie et le secteur public, où résidence des données, continuité d'activité, latence et contraintes réglementaires priment sur la seule performance du modèle.

Brad Smith, président de Microsoft, a formulé la promesse en ces termes : donner à l'Europe accès à l'IA la plus capable « sans compromis sur le contrôle de ses données, de ses opérations ou de son avenir numérique ». L'argument reprend presque mot pour mot le discours porté par Mistral depuis sa création sur l'IA « souveraine » et à poids ouverts, et illustre comment Microsoft cherche à absorber ce discours dans son offre Sovereign Cloud plutôt que d'y opposer un modèle purement propriétaire et centralisé.

Ce que cela change pour les entreprises

Concrètement, un client Microsoft Foundry pourra développer une application avec les mêmes modèles, outils et API, puis la faire tourner indifféremment dans le cloud Azure ou sur Azure Local, jusque dans des environnements complètement isolés. Un enjeu réel pour les opérateurs d'importance vitale, l'industrie soumise à des contraintes de propriété intellectuelle ou d'export, ou le secteur de la santé. Les deux entreprises annoncent également un plan commercial commun, avec financement de preuves de concept, crédits Azure et ateliers dédiés pour accélérer l'adoption.

La limite que l'accord ne lève pas : le Cloud Act

Reste que la question de la souveraineté se pose encore : ce dispositif met-il des données à l'abri de l'extraterritorialité américaine ? La réponse est non, et l'accord ne le change pas. Le Cloud Act de 2018, qui oblige toute entreprise américaine à répondre à une réquisition judiciaire des autorités américaines, peut encore et toujours être invoqué. Localiser l'infrastructure en Europe, la faire tourner sur des GPU exploités par une entreprise française, ou l'isoler du réseau ne modifie pas la nationalité juridique de Microsoft ni la portée du droit américain sur ses filiales.

Ce n'est pas une hypothèse d'école : auditionné au Sénat français en juin 2025, le directeur des affaires publiques et juridiques de Microsoft France, Anton Carniaux, a reconnu sous serment ne pas pouvoir garantir que des données de citoyens français hébergées chez Microsoft ne seraient jamais transmises aux autorités américaines sans l'accord de la France, précisant qu'« en dernier recours, si nous y sommes contraints, nous devons transmettre les données ». Rien dans l'accord avec Mistral n'annule cette réalité juridique. Dans son rapport, présenté à l'Assemblée nationale, la Commission d'enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique rapporte qu'"au second semestre 2025, Microsoft a reçu 5 587 demandes de divulgation pour l'ensemble de ses clients dans le monde et y a donné une suite favorable dans 75 % des cas".

Un contrôle opérationnel... mais pas juridique

Ce que l'offre change, c'est le niveau de risque opérationnel plutôt que le cadre légal. Le mode entièrement déconnecté rend une extraction de données à distance techniquement impraticable tant que le système reste isolé, ce qui répond à des impératifs de résilience, de latence ou de continuité d'activité. Mais dès qu'une reconnexion à Azure est nécessaire (mise à jour, maintenance, synchronisation) l'exposition légale redevient identique à celle d'un déploiement cloud classique. Quant aux Engagements numériques européens de Microsoft (comité de surveillance composé de citoyens de l'UE, engagement à contester en justice toute réquisition extraterritoriale), ce sont des engagements contractuels et politiques, que Microsoft peut faire valoir mais pas opposer à une décision de justice américaine qui lui serait défavorable.

Pour les directions informatiques, l'enjeu réel se déplacera donc des annonces vers les clauses contractuelles concrètes : localisation effective des données, réversibilité, contrôle des clés de chiffrement, conditions exactes de la déconnexion. Face à cela, les acteurs non soumis au droit américain, comme OVHcloud, Outscale ou Scaleway, restent une alternative sérieuse face à une offre qui, malgré son vocabulaire de souveraineté, reste construite autour d'un opérateur américain.