Où tourne votre IA ? Hébergement GPU en France et souveraineté réelle

« Vos données restent en Europe » : la phrase figure dans presque toutes les offres d’IA. Elle ne dit pas où le modèle s’exécute, qui administre les serveurs ni à quel droit l’éditeur est soumis. Cet article explique la différence entre stockage et traitement, le rôle des GPU, ce que garantit réellement la qualification SecNumCloud de l’ANSSI, et l’état du droit américain et européen au 25 octobre 2026, pour que vous puissiez poser les bonnes questions à votre fournisseur.

« Données en Europe » ne veut pas dire « traitement en France »

Un service d’IA manipule vos données à trois moments : quand vous les envoyez (la requête, les documents joints), quand le modèle les traite pour produire une réponse (l’inférence), et quand elles sont conservées (historique, journaux, fichiers). Les grands fournisseurs distinguent désormais la résidence des données, qui concerne le stockage au repos dans une région donnée, et la résidence de l’inférence, qui garantit que l’exécution du modèle a lieu dans cette même région. La documentation d’OpenAI, par exemple, décrit pour sa région Europe un stockage au repos et une inférence exécutés dans la région, tout en précisant que les données système (comptes, facturation, support) ne sont pas couvertes et que l’accès à ces options est soumis à conditions.

Pour un dirigeant, la conséquence est simple : demander où sont ses données ne suffit pas. Il faut demander où elles sont stockées, où le modèle tourne, d’où les serveurs sont administrés et quelle entité juridique répond de l’ensemble. Nous avons posé les bases de cette lecture dans notre article sur le cloud souverain et le cloud public.

Le rôle des GPU et pourquoi leur emplacement compte

Les grands modèles de langage s’exécutent sur des processeurs graphiques (GPU), seuls capables de réaliser à grande vitesse les milliards de multiplications nécessaires à chaque réponse. C’est sur ces cartes, dans un datacenter précis, que votre requête est déchiffrée, lue en clair et transformée en réponse. Le lieu d’exécution de l’inférence est donc le lieu où vos données sont réellement exposées, bien plus que l’emplacement d’une sauvegarde.

L’ANSSI a traduit cette réalité en exigences dans son référentiel SecNumCloud : le prestataire doit documenter la localisation du stockage et du traitement, stocker et traiter les données du client au sein de l’Union européenne, réaliser les opérations d’administration et de supervision depuis l’Union européenne, et y conserver aussi les données techniques (journaux, annuaires, certificats, configuration des accès). Un GPU loué dans une région européenne d’un fournisseur administré depuis un autre continent ne remplit pas ces conditions. Les niveaux de disponibilité des datacenters, autre sujet, sont expliqués dans notre article sur les certifications des datacenters.

SecNumCloud : ce que garantit la qualification

SecNumCloud est une qualification délivrée par l’ANSSI, sur la base d’un référentiel élaboré en 2016 dont la version en vigueur, la 3.2, date du 8 mars 2022. L’agence la présente comme le moyen de reconnaître des offres cloud « de confiance », préconisées pour la protection des données sensibles, qui visent à protéger les données et les traitements sensibles « face à la menace cybercriminelle et à l’application de lois extraterritoriales ». La qualification vaut trois ans, sous audits annuels de surveillance, et concerne des offres IaaS, PaaS, SaaS ou CaaS ; elle ne préjuge pas de la sécurité des services que le client déploie lui-même sur l’offre qualifiée.

La version 3.2 a introduit des critères de protection vis-à-vis du droit extra-européen. Le prestataire doit avoir son siège, son administration centrale et son principal établissement dans l’Union européenne ; son capital et ses droits de vote ne doivent pas être détenus à plus de 24 % individuellement ni 39 % collectivement par des entités établies hors de l’Union ; ces entités ne peuvent ni disposer d’un droit de veto ni désigner la majorité des organes de direction ; et un sous-traitant extra-européen ne doit pas avoir la possibilité technique d’obtenir les données opérées. La liste des offres qualifiées est publiée par l’ANSSI dans son catalogue ; celle des offres en cours de qualification n’affiche que les projets que les prestataires ont accepté de rendre publics.

Deux textes montrent le poids de cette qualification. La doctrine « cloud au centre » de l’État (circulaire du 31 mai 2023) impose, pour les systèmes traitant des données d’une sensibilité particulière, que l’offre commerciale retenue « respecte la qualification SecNumCloud » et soit « immunisée contre tout accès non autorisé par des autorités publiques d’État tiers ». Les recommandations de l’ANSSI pour l’hébergement des systèmes d’information sensibles préconisent, pour les opérateurs d’importance vitale et de services essentiels, tout type d’offre qualifiée SecNumCloud.

CLOUD Act et Data Privacy Framework : l’état du droit

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) a été promulgué aux États-Unis le 23 mars 2018. Codifié au 18 U.S.C. § 2713, il oblige tout fournisseur de services de communication électronique ou d’informatique à distance soumis à la juridiction des États-Unis à conserver et communiquer les données qu’il a en sa possession, sa garde ou son contrôle, que ces données soient situées à l’intérieur ou à l’extérieur des États-Unis. Le Comité européen de la protection des données et le Contrôleur européen ont répondu au Parlement européen en juillet 2019 : une injonction étrangère ne rend pas à elle seule un transfert licite, l’article 48 du RGPD exigeant un accord international, et un fournisseur soumis au droit de l’Union ne peut pas fonder une divulgation sur une telle demande sans base légale.

Le Data Privacy Framework est le cadre d’adéquation adopté par la Commission européenne le 10 juillet 2023 pour les entreprises américaines certifiées. Le Tribunal de l’Union européenne a rejeté le 3 septembre 2025 le recours en annulation formé contre lui (affaire T-553/23) ; un pourvoi a été introduit le 31 octobre 2025 devant la Cour de justice (affaire C-703/25 P) et reste pendant au 25 octobre 2026. Le cadre s’applique donc, mais un fournisseur américain reste soumis au CLOUD Act quel que soit l’emplacement de ses GPU : l’adéquation règle la licéité du transfert, pas l’exposition au droit du pays de l’éditeur. Les enjeux plus larges sont décrits dans notre article sur la souveraineté numérique européenne.

Les questions à poser à votre fournisseur d’IA

Ces questions valent pour un service d’IA comme pour tout hébergement ; notre article sur la localisation des données hébergées en France en détaille la logique. Odyssix héberge son service d’IA d’entreprise dans des datacenters situés en France, sans entraînement sur les données des clients et avec un accord de traitement des données. Le fonctionnement est décrit dans notre article sur l’IA souveraine hébergée en France.

Questions fréquentes

Sources

• ANSSI — Cloud : posture générale, qualification SecNumCloud et catalogue des offres qualifiées
• ANSSI — Prestataires de services d’informatique en nuage (SecNumCloud), référentiel d’exigences, version 3.2 (8 mars 2022)
• DINUM — Les règles de la doctrine « cloud au centre » de l’État, règle R9 (circulaire n° 6404/SG du 31 mai 2023)
• Comité européen de la protection des données et Contrôleur européen — Réponse conjointe à la commission LIBE sur l’impact du CLOUD Act américain (juillet 2019)
• Code des États-Unis, titre 18, § 2713 (loi publique 115-141, division V, 23 mars 2018) ; Cour de justice de l’Union européenne, communiqué n° 106/25 (3 septembre 2025) et Journal officiel de l’UE C/2025/6610 (pourvoi C-703/25 P) ; OpenAI, documentation « Data controls in the OpenAI platform » (consultés le 24 octobre 2026)