« La souveraineté des données ne se résume plus à leur lieu de stockage. Avec l’IA, les entreprises doivent aussi maîtriser leur circulation, les conditions de leur traitement et les législations qui s’appliquent. Ces enjeux doivent désormais peser autant que la performance dans le choix d’un modèle. »
Deux exemples illustratifs :
• Le CLOUD Act oblige les entreprises américaines à livrer les données qu’elles contrôlent, même stockées en France. Sous serment devant le Sénat, le directeur juridique de Microsoft France a répondu : « Non, je ne peux pas le garantir. »
Ainsi « hébergé en France » chez un acteur américain ne veut pas dire « protégé par le droit français », y compris pour le contrat ou le tableau client collé dans un prompt. Comment justifier que nos entreprises continuent d’alimenter les IA américaines avec leurs données stratégiques sous le seul prétexte qu’elles sont "hébergées en France" ? »
• Le Data Privacy Framework, qui permet de transférer les données vers les États-Unis, a été validé en première instance par la justice européenne en septembre 2025. Mais un pourvoi est en cours, et les deux accords précédents ont déjà été annulés par le passé. Si le cadre juridique s’effondre à nouveau, comment les entreprises pourront-elles continuer à utiliser les IA américaines sans violer la loi ?
