La réglementation de l’IA souveraine en Europe

Le RGPD, le Règlement général sur la protection des données, s’applique depuis 2018. 8 ans, et il y a encore des entreprises qui découvrent. Il protège les données personnelles des citoyens européens. Pour une IA, il impose 3 exigences fortes. La minimisation des données collectées, la transparence sur leur usage, et le respect des droits des personnes comme l’accès, la rectification et la suppression.

Une IA qui traite des données personnelles doit donc pouvoir expliquer ses décisions et garder un humain dans la boucle pour les choix importants. Les sanctions atteignent 4 % du chiffre d’affaires annuel mondial. Pour comprendre ce socle avant tout, lisez notre article La souveraineté de l’IA, c’est quoi.

L’AI Act est le premier règlement au monde dédié à l’intelligence artificielle. Il est entré en vigueur le 1er août 2024, avec une application progressive selon le niveau de risque.

Le calendrier compte plusieurs étapes. Depuis le 2 février 2025, les usages à risque inacceptable sont interdits, comme la notation sociale. Depuis le 2 août 2025, les modèles d’IA à usage général suivent des règles dédiées et chaque État désigne ses autorités. Le 2 août 2026 marque l’application aux systèmes à haut risque. Le 2 août 2027 étend le cadre aux IA intégrées dans des produits déjà réglementés.

Le texte classe les systèmes en 4 niveaux de risque, du risque minimal au risque inacceptable. Les sanctions peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial. Avant de vous engager, notre guide Comment choisir une IA souveraine pour votre entreprise détaille les points à vérifier.

SecNumCloud est la qualification délivrée par l’ANSSI, l’agence française de cybersécurité. Elle distingue les prestataires cloud dits de confiance. Sa version 3.2, publiée en mars 2022, ajoute un critère décisif. Le prestataire et ses filiales ne doivent pas être soumis à des injonctions d’accès émanant d’autorités étrangères.

C’est exactement ce qui sépare une offre réellement souveraine d’une offre simplement hébergée en France. Et la différence ne se voit pas sur la plaquette. Une dizaine d’offres sont qualifiées en 2026, comme OVHcloud, Outscale ou S3ns. SecNumCloud sert aussi de référence pour les entités soumises à la directive NIS2 sur la cybersécurité. Pour héberger des données critiques, voyez notre article IA souveraine et données sensibles.

C’est dans la sphère publique que cette qualification pèse le plus lourd, puisqu’elle y devient un critère d’achat et non une préférence. Le sujet est traité dans l’IA souveraine pour le secteur public et les administrations.

Le Cloud Act est une loi américaine adoptée en 2018. Elle permet aux autorités des États-Unis d’exiger des données détenues par une entreprise sous juridiction américaine, même stockées en Europe. La localisation des serveurs ne suffit donc pas.

C’est là que ça frotte avec le RGPD. Le règlement européen interdit ce type de transfert sans garanties équivalentes, quand le Cloud Act l’autorise sans notification préalable. Le Data Act européen, en vigueur depuis septembre 2025, ouvre un recours pour contester ces injonctions. Pour choisir un fournisseur à l’abri de ce risque, comparez les options dans notre article Le cloud IA souverain en Europe et ses fournisseurs.

Ces textes bougent, et la version qui circule est souvent périmée. Nous suivons ces évolutions pour nos clients dans nos conseils et formations.