ChatGPT, Copilot ou IA souveraine : le comparatif pour une PME

Vos équipes utilisent déjà ChatGPT, votre contrat Microsoft 365 vous propose Copilot, et un prestataire vous parle d’IA souveraine. Les trois répondent à des besoins proches avec des logiques différentes sur la localisation des données, leur réutilisation, le droit applicable et le coût. Cet article les compare sur des critères vérifiés au 25 octobre 2026 sur les pages officielles des éditeurs, sans classement ni jugement de valeur.

Trois familles, trois logiques

ChatGPT est le service en ligne d’OpenAI, avec des formules individuelles et des formules pour les organisations ; l’API OpenAI, distincte, permet d’intégrer les mêmes modèles dans vos logiciels. Microsoft Copilot, nouveau nom de Microsoft 365 Copilot selon la documentation Microsoft, est intégré aux applications Microsoft 365 et s’appuie sur les données de l’entreprise accessibles via Microsoft Graph (e-mails, documents, réunions) ; il se vend en complément d’un abonnement Microsoft 365. L’IA souveraine désigne un modèle, le plus souvent à poids ouverts, exploité en France par un prestataire français ou sur vos propres serveurs, sous droit français et européen. Notre article sur l’IA souveraine hébergée en France en précise la définition.

Le tableau comparatif

Localisation et transfert hors de l’Union européenne

Localisation du traitement et droit applicable au fournisseur sont deux questions distinctes. Sur la première, Microsoft précise que, pour les utilisateurs de l’Union européenne, le trafic reste dans l’EU Data Boundary, et signale que les modèles fournis par Anthropic en sous-traitance en sont, à la date de mise à jour de la page, exclus. OpenAI, pour son API, permet une résidence des données en Europe via un point d’entrée dédié, sous conditions d’approbation. Dans les deux cas, les données peuvent rester en Europe, mais chez un fournisseur américain.

Sur la seconde, le CLOUD Act américain de 2018 autorise les autorités des États-Unis à exiger d’un fournisseur soumis à leur juridiction la communication de données, qu’elles soient stockées à l’intérieur ou à l’extérieur du territoire américain ; le Comité européen de la protection des données et le Contrôleur européen l’ont analysé dans leur évaluation du 10 juillet 2019, en rappelant qu’une telle demande ne constitue pas en elle-même une base légale de transfert au sens de l’article 48 du RGPD. Les transferts vers les États-Unis reposent aujourd’hui sur la décision d’adéquation du 10 juillet 2023 ; le Tribunal de l’Union européenne a rejeté le 3 septembre 2025 le recours qui visait à l’annuler, en rappelant que la Commission peut suspendre ou abroger cette décision si le cadre américain change, et son arrêt restait susceptible de pourvoi. L’usage d’un fournisseur américain est donc licite aujourd’hui, mais repose sur un mécanisme dont les deux versions précédentes avaient été invalidées par la Cour de justice. Notre article cloud souverain ou cloud public développe ce point.

Entraînement et confidentialité : ce que disent les éditeurs

Côté Microsoft, la page « Data, Privacy, and Security for Microsoft Copilot », mise à jour le 8 octobre 2026, indique que les requêtes, les réponses et les données consultées via Microsoft Graph ne servent pas à entraîner les grands modèles de fondation, que Copilot ne restitue que les données auxquelles l’utilisateur a au moins un droit de lecture, et que l’historique des interactions est conservé, chiffré, avec une rétention réglable par les administrateurs dans Microsoft Purview. Autrement dit, le périmètre de ce que Copilot peut lire est celui de vos droits d’accès existants : des partages trop larges deviennent visibles en quelques requêtes.

Côté OpenAI, la documentation des contrôles de données de la plateforme indique que les données envoyées à l’API ne servent pas à entraîner ses modèles depuis le 1er mars 2023, sauf choix contraire du client, et que des journaux de surveillance des abus sont conservés jusqu’à 30 jours par défaut. Pour les formules ChatGPT destinées aux organisations, OpenAI publie ses engagements sur ses pages de confidentialité d’entreprise, que nous n’avons pas pu consulter dans les conditions de vérification de cet article ; nous ne les résumons donc pas. Son portail de confiance indique une certification ISO/IEC 27001:2022 couvrant l’API, ChatGPT Enterprise et ChatGPT Edu. Pour l’IA souveraine, tout se vérifie au contrat : DPA conforme à l’article 28 du RGPD, adresse du centre de données, durée de conservation des journaux, comme le détaille notre article sur IA et conformité RGPD.

Le coût réel par utilisateur

Pour Copilot, la page tarifaire française de Microsoft affiche, au 25 octobre 2026, le complément Microsoft 365 Copilot Business à 18,20 € HT par utilisateur et par mois avec engagement annuel, ramené à 15,60 € HT par une offre de réduction valable du 1er juillet au 31 décembre 2026, et à 21,84 € HT en abonnement mensuel ; il est réservé aux clients disposant d’un abonnement Microsoft 365 Business éligible, et certaines expériences d’IA avancées sont facturées à l’usage en plus de la licence. Les offres groupées Business Standard et Business Premium avec Copilot Business sont affichées à 20,36 € HT et 27,73 € HT par utilisateur et par mois en paiement annuel. Pour ChatGPT, OpenAI publie une grille par siège ; nous ne reproduisons aucun montant que nous n’avons pas pu vérifier. Pour l’IA souveraine, le coût dépend du modèle retenu, abonnement, usage ou capacité dédiée, et se compare sur devis.

Deux coûts cachés s’ajoutent : le temps de cadrage et de formation, identique quelle que soit l’option, et le Shadow AI, ces comptes personnels gratuits utilisés sans cadre, qui n’apparaît sur aucune facture mais pèse sur la confidentialité.

Comment décider

Quatre questions suffisent. Quelles données passeront par l’outil ? Pour des usages génériques sans donnée client, les trois options se valent ; dès que des données de clients, de salariés ou des informations couvertes par un secret professionnel sont en jeu, l’hébergement en France sous droit européen devient décisif. Où vivent vos documents ? Une entreprise entièrement sur Microsoft 365 tirera de Copilot une intégration inégalée dans ces applications. Devez-vous intégrer l’IA à vos propres logiciels ? L’API compte alors plus que l’interface, et un format compatible OpenAI hébergé en France limite le code à réécrire. Que vous demandent vos clients et votre secteur ? Un donneur d’ordre, un cabinet réglementé ou un marché public peuvent imposer la localisation et le droit applicable. Beaucoup de PME combinent : Copilot ou ChatGPT pour la bureautique sans donnée sensible, IA souveraine pour tout ce qui touche aux clients.

Questions fréquentes

Sources

• Microsoft — Offres et tarifs Microsoft Copilot pour les entreprises, page française (consultée le 25 octobre 2026)
• Microsoft Learn — Data, Privacy, and Security for Microsoft Copilot (mise à jour du 8 octobre 2026)
• OpenAI — Data controls in the OpenAI platform (consultée le 25 octobre 2026)
• EDPB et EDPS — Initial legal assessment of the impact of the US CLOUD Act on the EU legal framework (10 juillet 2019)
• Cour de justice de l’Union européenne — communiqué de presse n° 106/25 du 3 septembre 2025, arrêt du Tribunal dans l’affaire T-553/23 ; OpenAI — portail de confiance trust.openai.com (certification ISO/IEC 27001:2022), consultés le 25 octobre 2026.