Mistral AI et NumSpot : l'IA hébergée en France pour PME

Un éditeur français de modèles de langage et un opérateur français d’infrastructure en nuage annoncent une offre commune : faire tourner des modèles d’intelligence artificielle sur des serveurs situés en France. L’information circule vite dans les réseaux professionnels, et elle se résume presque toujours à un seul mot, souveraineté. Vous dirigez une PME, vous n’êtes pas ingénieur, et la question qui compte pour vous est ailleurs : est-ce que cela change quelque chose à vos devis, à vos contrats clients, à votre dossier de conformité ?

La réponse courte tient en deux phrases. Oui, un hébergement en France règle une partie précise du problème, celle que vos clients grands comptes commencent à vous opposer par écrit. Non, cela ne règle ni la licéité de vos traitements, ni les fuites internes, ni la qualité des réponses du modèle. Le reste de cet article détaille où passe cette frontière, et vous donne la grille de questions à envoyer à votre fournisseur actuel avant même d’en chercher un autre.

Ce qui a été annoncé, et ce que l’annonce ne dit pas

Le principe du rapprochement est simple à décrire. D’un côté, un éditeur français de modèles de langage. De l’autre, un opérateur français d’infrastructure en nuage. Entre les deux, une offre d’inférence, c’est-à-dire la possibilité d’interroger un modèle depuis vos propres applications, avec un traitement qui reste sur le territoire.

Voilà ce qui est vérifiable au niveau du principe. Tout le reste, nous ne l’écrirons pas ici, et il faut dire pourquoi.

Un dernier point avant d’entrer dans le sujet. Ce qui suit ne parle pas d’une marque. Deux autres acteurs annonceront la même chose dans six mois, et la grille d’analyse sera rigoureusement identique. La question n’est pas de savoir qui héberge, mais quelles données vous confiez, sous quel droit, et avec quelle porte de sortie.

Pourquoi la localisation des données est devenue un sujet de dirigeant

Le déclencheur n’est presque jamais la peur de l’espionnage. C’est un paragraphe dans un contrat.

Un client grand compte ajoute une clause de localisation à son contrat cadre. Un donneur d’ordre public inscrit l’hébergement européen dans son cahier des charges. Un assureur, au moment de renouveler votre police cyber, vous demande la liste de vos sous-traitants et leur pays de traitement. Vous n’avez pas choisi ce sujet, il est arrivé par la porte commerciale, et il faut y répondre en quelques jours avec une phrase défendable.

Or, entre le moment où cette clause apparaît et celui où vous y répondez, quelque chose s’est passé dans votre entreprise sans décision formelle. Quelqu’un a collé un devis dans un assistant conversationnel pour le reformuler. Quelqu’un a soumis un contrat client pour en obtenir un résumé. Quelqu’un a demandé de l’aide sur une lettre de licenciement. Chacune de ces actions est un traitement de données, et la plupart portent sur des données personnelles : noms, coordonnées, éléments de rémunération, parfois des informations de santé.

Le mouvement de fond est mesurable. Selon Eurostat, 53 % des entreprises de l’Union européenne ont utilisé des services d’informatique en nuage payants en 2025, contre nettement moins dix ans plus tôt, en 2014¹. Votre messagerie, vos fichiers et souvent votre comptabilité sont déjà hors de vos murs. L’IA générative ne crée donc pas la question de la localisation, elle la rend seulement plus visible, parce que le contenu transmis est cette fois du texte métier brut.

La France, elle, part d’un niveau d’équipement plus bas que la moyenne européenne, ce qui explique en partie pourquoi tant de dirigeants découvrent le sujet en même temps.

En 2023, 52 % des PME françaises atteignaient un niveau de base d’intensité numérique, en dessous de la moyenne européenne mesurée la même année². Autrement dit, beaucoup d’entreprises abordent l’IA générative sans avoir jamais formalisé la question de leurs sous-traitants informatiques. Le sujet arrive d’un coup, sous pression commerciale.

Il faut ici corriger une idée reçue tenace. Le RGPD ne dit pas « restez en Europe ». Il encadre les transferts de données hors de l’Union européenne et impose au responsable de traitement de savoir où vont les données et sur quel fondement juridique elles y vont³. Un traitement aux États-Unis n’est pas interdit par principe, il est conditionné et documenté. L’hébergement en France est donc une réponse possible à une exigence contractuelle ou à une analyse de risque, pas un label qui vous dispense du reste. Pour le cadre général de vos obligations, nous l’avons détaillé dans notre guide pratique de l’éthique et de la responsabilité en IA pour les PME.

Souveraineté, hébergement, réversibilité : trois mots que l’on confond

Les fiches commerciales mélangent volontairement des notions qui n’ont ni la même valeur juridique ni la même valeur contractuelle. Voici les quatre couches, de la plus facile à obtenir à la plus difficile.

L’hébergement se prouve avec une adresse. Le droit applicable se prouve avec un extrait de registre du commerce et la structure de détention du capital. La non réutilisation de vos données se prouve avec un article du contrat, et rien d’autre. La réversibilité, elle, ne se prouve qu’en l’essayant : demandez un export de test pendant la période d’évaluation, avant de signer.

Ce que la CNIL demande quand vous confiez des données à une IA

La CNIL a publié ses premières recommandations sur le développement des systèmes d’intelligence artificielle⁴. Elles s’adressent d’abord à ceux qui conçoivent ces systèmes, mais leur ossature vaut pour vous dès que vous en utilisez un avec des données réelles. Quatre exigences structurent tout le reste.

Définir une finalité. Vous devez pouvoir écrire en une phrase à quoi sert l’outil : « résumer les comptes rendus d’intervention pour accélérer la facturation », pas « améliorer la productivité ». Une finalité floue rend impossible tout le raisonnement qui suit.

Choisir une base légale. Exécution d’un contrat, obligation légale, intérêt légitime, consentement. Ce choix se fait avant l’usage, pas après un contrôle.

Minimiser les données. Si le modèle n’a pas besoin du nom du client pour reformuler une proposition commerciale, le nom du client ne part pas. Cette règle, appliquée sérieusement, résout à elle seule une grande partie des inquiétudes sur l’hébergement, puisqu’elle réduit ce qui sort de chez vous.

Informer les personnes concernées. Vos salariés et vos clients doivent savoir qu’un traitement par IA existe. Une ligne dans votre politique de confidentialité et une mention dans le règlement intérieur suffisent le plus souvent.

Sur les transferts, la logique est différente et souvent mal comprise. La CNIL rappelle qu’un transfert hors de l’Union européenne doit reposer sur un mécanisme identifié, décision d’adéquation, clauses contractuelles types ou autre outil prévu par le RGPD³. Un hébergement européen ne rend pas votre traitement licite, il vous évite simplement d’avoir à documenter et à maintenir ce mécanisme de transfert. C’est un allègement de charge administrative réel, pas une exonération.

Un dernier rappel sur la sécurité, qui est un sujet distinct de la localisation : un fournisseur français mal configuré chez vous reste un fournisseur mal configuré. Les bases de ce volet sont réunies dans notre article sur l’IA et la cybersécurité pour les PME.

La grille de sept questions à poser avant de signer

Envoyez ces questions par courriel, pas au téléphone. Vous voulez une trace écrite, datée, que vous pourrez joindre à votre dossier de conformité ou à votre réponse d’appel d’offres.

Ces sept questions valent pour tout fournisseur, français ou non, éditeur de modèle ou revendeur intégrateur. Elles ne sont pas un piège : un fournisseur sérieux y répond en une page, parce qu’il a déjà rédigé cette page pour d’autres clients.

Et si l’on vous répond oralement, ou que l’on vous renvoie vers une page de site qui peut changer demain sans préavis, notez-le. Un refus de réponse écrite est en soi une réponse, et elle suffit à écarter un candidat.

Le calcul que vous devez faire avant de migrer

C’est ici que beaucoup de projets se cassent. Une offre hébergée en France se compare rarement au tarif affiché d’un concurrent américain, parce que les deux tarifs ne recouvrent pas le même périmètre de travail pour vous.

Le tarif d’usage n’est qu’une ligne. Il faut y ajouter le temps de migration, la réécriture des intégrations déjà en place, les tests de non régression sur vos flux de travail, et la formation de l’équipe qui avait pris ses habitudes sur l’outil précédent. Pour une PME, ces postes pèsent souvent plus lourd la première année que la facture mensuelle elle-même.

Le graphique ci-dessous donne une idée de l’ampleur du chantier : plus votre entreprise a déjà porté de services dans le nuage, plus une migration touche de points à la fois.

Reste un critère que l’argument souverainiste fait parfois oublier : la qualité du modèle sur vos tâches à vous. Un hébergement irréprochable sur un modèle qui rate vos reformulations de devis ne produit aucun retour, seulement une facture et une perte de temps. Testez sur vos propres documents, pas sur une démonstration, et mesurez. La méthode de mesure est détaillée dans notre article sur le retour sur investissement des projets d’IA et les indicateurs à suivre.

Ce que cela ne résout pas

Quatre limites, à garder en tête avant d’annoncer en comité de direction que le sujet est réglé.

Un hébergement en France ne rend pas un traitement licite. Il vous faut toujours une finalité définie, une base légale, une information des personnes et une durée de conservation. Le serveur ne fabrique aucun de ces quatre éléments.

Il ne protège pas contre la fuite interne. Un salarié qui colle un fichier client dans un assistant grand public depuis son téléphone personnel contourne intégralement l’architecture que vous venez de payer. Ce risque est massif et ordinaire : d’après le Baromètre France Num, plus d’un tiers des TPE et PME interrogées déclarent avoir été confrontées à une menace cyber⁵.

Il ne supprime pas les erreurs du modèle. Un modèle hébergé à Paris se trompe exactement autant qu’ailleurs. La relecture humaine des sorties avant tout envoi à un client reste la seule barrière réelle.

Il n’exonère pas de la charte d’usage interne. Une page, une heure de rédaction, une signature au moment de l’entretien annuel. Ce document évite l’essentiel des incidents, et il coûte moins cher que n’importe quelle migration.

Si la question qui vous occupe est plutôt celle de l’outil lui-même, assistant conversationnel ou automatisation qui agit sur vos systèmes, nous avons comparé les deux familles dans notre article sur les agents IA face aux robots conversationnels.

Par où commencer cette semaine

Quatre étapes, dans cet ordre, et rien d’autre. Elles tiennent en une demi-journée.

Première étape. Listez les usages d’IA déjà en cours dans l’entreprise. Pas ceux que vous avez validés, ceux qui existent. Posez la question sans chercher de coupable, sinon les comptes personnels resteront invisibles et c’est précisément là que se trouve le risque.

Deuxième étape. Pour chaque usage, écrivez quelles données y entrent réellement. Un exemple concret de requête vaut mieux qu’une catégorie abstraite. « Le comptable colle les relevés bancaires » est une information exploitable, « données financières » ne l’est pas.

Troisième étape. Ne posez la question de l’hébergement que pour les usages qui manipulent des données personnelles ou des informations contractuelles. Reformuler une annonce d’emploi générique ne mérite pas un projet de migration. Traiter des fiches de paie, oui.

Quatrième étape. Envoyez la grille de sept questions à votre fournisseur actuel, avant d’aller en chercher un nouveau. Dans un nombre de cas non négligeable, les options de conservation et de non réutilisation existent déjà dans votre contrat et sont simplement désactivées par défaut. Vous découvrirez peut-être que le problème se règle en cochant deux cases.

Sources

Les cinq références utilisées dans cet article sont détaillées en notes de bas de page : les statistiques européennes sur l’informatique en nuage¹, le rapport de la Commission européenne sur la décennie numérique en France², les deux pages de la CNIL sur les transferts hors de l’Union européenne³ et sur les systèmes d’intelligence artificielle⁴, ainsi que le Baromètre France Num⁵. Aucune donnée chiffrée de cet article ne provient d’une autre source, et aucune ne concerne l’annonce commentée en ouverture, dont le communiqué n’est pas archivé dans notre dossier de sources.