Croire qu'un VPN suffit
Faux. Le VPN cache votre IP, mais le prompt vit chez l'IA, pas chez vous. Le VPN ne change rien à la juridiction du datacenter.
Mis à jour le
Sur cette page
Lucidité opérationnelle
Souveraineté pratique, où vont vos prompts.
La souveraineté a maintenant des adresses physiques. À vous de savoir où vit votre prompt.
⏱ 6 min de lecture🌐 3 étages à tracer🛠 4 règles d'arbitrage
ChatGPTClaudeGeminiVibe
La souveraineté n'est plus un débat géopolitique abstrait en 2026. C'est un sujet RGPD article 13 qui se chiffre en euros. La France a engagé depuis février 2025 un plan 109 Md€ datacenters IA. Et l'été 2026 l'a rendu concret pour tous : Apple a annoncé le 8 juin que le nouveau Siri ne sortirait pas sur iPhone ni iPad dans l'Union, faute d'accord avec les régulateurs sur le DMA. Il arrive sur Mac et Apple Vision, que le texte ne désigne pas.
Promesse
À la fin de cette leçon
Vous saurez tracer le chemin réel d'un prompt confidentiel chez les 4 IA grand public, et appliquer 4 règles d'arbitrage souveraineté.
Pourquoi maintenant
Des adresses physiques
La CNIL contrôle la transparence sur le transfert de données vers des pays tiers, et le cumul RGPD + AI Act peut atteindre 11 % du CA mondial pour une infraction (4 % RGPD + 7 % pratiques IA interdites). Les autorités disposent de leurs pouvoirs de sanction AI Act depuis le 2 août 2026.
Le plan 109 Md€ datacenters IA, annoncé le 9 février 2025 à la veille du Sommet pour l'action sur l'IA, sort aujourd'hui de terre. Le campus de Bruyères-le-Châtel héberge le cluster Mistral 13 800 GPU Nvidia GB300 (44 MW). La souveraineté pratique a maintenant des adresses physiques.
Le paysage a bougé au premier semestre 2026. Meta a abandonné l'open source en avril (Muse Spark, son premier modèle fermé) : le relais des poids ouverts passe à Mistral, DeepSeek et Qwen. Et DeepSeek V4, servi sur puces Huawei à prix cassés, prouve qu'un modèle frontière peut exister hors de l'écosystème Nvidia. Votre grille ne change pas : jamais la performance d'abord, toujours la juridiction.
Le concept central
Trois étages à distinguer
Étage 1 · Juridiction du fournisseur. Pays du siège social, droit applicable au contrat, pays de résidence des dirigeants. C'est ce qui détermine quelle police peut adresser une réquisition légale.
Étage 2 · Cloud sous-jacent. Le fournisseur d'IA loue ou achète de la capacité de calcul à un hyperscaler (Azure, AWS, GCP) ou à un opérateur souverain. La juridiction du cloud peut différer de celle du fournisseur.
Étage 3 · Datacenters physiques. Les serveurs qui font tourner le modèle ont une adresse géographique. Un datacenter européen peut être sous CLOUD Act US si l'opérateur est américain.
Panorama 2026
La chaîne d'hébergement des 4 IA
Pour chaque IA grand public, les trois étages tracés. Mistral est le seul acteur dont l'intégralité de la chaîne reste sous droit français.
ChatGPT
OpenAI · USA · CLOUD Act
Modèle Azure (Microsoft)
Contexte US par défaut, résidence EU sur Enterprise, Edu et API
DPA Enterprise
Claude
Anthropic · USA · CLOUD Act
Modèle AWS, Bedrock Frankfurt
Contexte US majoritaire, EU activable
DPA Enterprise
Gemini
Google · USA · CLOUD Act
Modèle GCP (Google)
Contexte EU disponibles, Workspace cantonable
DPA + Workspace EU
Vibe
Mistral AI · France · RGPD natif
Modèle Eclairion · infra Mistral
Contexte Bruyères-le-Châtel · 13 800 GPU GB300
100 % Europe
Méthode
Quatre règles d'arbitrage
Quatre règles à appliquer dans l'ordre, pas à choisir.
-
Juridiction la plus exposée
Considérez le pire scénario. CLOUD Act US s'applique même sur datacenter EU si l'opérateur est américain.
-
Opt-out training vérifié
Sur chaque outil, chaque plan. ChatGPT Free, Go, Plus et Pro = opt-IN, ChatGPT Business, Enterprise et API = opt-OUT. Claude grand public (Free, Pro, Max) = opt-IN depuis septembre 2025, Claude API et Work = opt-OUT. Vibe Free = opt-IN, Vibe payant = opt-OUT.
-
DPA signé pour usage entreprise
Les 4 IA grand public proposent un Data Processing Addendum en plan Enterprise. Non négociable pour données identifiantes.
-
Chiffrement E2E : on-prem ou souverain
Aucune IA grand public n'offre E2E par défaut. Pour santé, M&A, défense : seules options on-prem ou souveraines tiennent.
Tableau opt-out training
Opt-out training par plan
À vérifier dans les paramètres compte avant tout usage pro. Les politiques évoluent.
| Outil | Plan | Opt-out training par défaut |
|---|---|---|
| ChatGPT | Free, Go, Plus et Pro | opt-IN : entraîne par défaut sur les quatre plans particuliers, désactivable dans Contrôle des données |
| ChatGPT | Business, Enterprise, Edu, API | opt-OUT par défaut, par contrat |
| Claude | Free, Pro, Max | opt-IN depuis septembre 2025 (désactivable dans Confidentialité) |
| Claude | API, Work, Gov, Edu | opt-OUT par défaut |
| Gemini | Free et AI Plus | opt-IN (avec exceptions selon les régions) |
| Gemini | Workspace EU | opt-OUT |
| Vibe | Free | opt-IN (entraîne par défaut, désactivable) |
| Vibe | Pro, Team, Enterprise | opt-OUT par défaut |
Le tableau ne parle que de réutilisation pour entraîner. La conservation est un autre axe, et il n'a pas de case à cocher. Claude Fable 5, inclus dans Max et facturé au crédit sur Pro, impose 30 jours de rétention quel que soit votre réglage d'entraînement.
Exemple concret
Mistral et le ministère des Armées
En janvier 2026, le ministère des Armées a notifié un accord-cadre à Mistral AI, piloté par son agence d'intelligence artificielle de défense. Trois critères ont fait pencher la décision : juridiction française, hébergement souverain, maîtrise des données sensibles. Pour du renseignement ou de la planification opérationnelle, ces trois critères ne se discutent pas.
Le cas est devenu un argument commercial Mistral pour les acteurs régulés, et un cas pédagogique pour comprendre la souveraineté pratique. Source : intelligence-artificielle.developpez.com.
À éviter
Les pièges courants
Faire confiance au « siège européen »
Faux. Microsoft Azure EU est soumis au CLOUD Act US dès lors que l'opérateur est américain. Le siège EMEA en Irlande ne change rien à cette exposition.
Oublier que l'API n'a pas les mêmes opt-out que le Free
Vrai dans les deux sens, mais pas dans celui qu'on croit. L'API OpenAI est opt-OUT par défaut depuis le 1er mars 2023 : rien n'y sert à l'entraînement sauf partage explicitement activé. Ce sont les quatre plans particuliers, Free, Go, Plus et Pro, qui sont opt-IN. Vérifiez compte par compte plutôt que de supposer que le payant protège.
Confondre opt-out training et chiffrement
L'opt-out empêche la réutilisation pour entraîner. Le chiffrement empêche la lecture. Ce ne sont pas les mêmes contre-mesures.
Croire que la rétention se règle comme l'entraînement
L'opt-out empêche la réutilisation pour entraîner. La rétention fixe la durée de conservation, et elle ne se règle nulle part. Claude Fable 5 conserve 30 jours sur toutes ses surfaces, application comprise, avec des classificateurs de sécurité qui lisent le contenu pendant ce délai. Aucun réglage ne le désactive, et une organisation qui a négocié la rétention zéro ne peut tout simplement pas l'utiliser.
Quiz de validation
Quiz de validation
8 questions. 60 % de bonnes réponses pour valider la leçon.
Synthèse
À retenir
Cinq points pour ancrer la leçon
Trois étages à tracer. Juridiction du fournisseur, cloud sous-jacent, datacenter physique.
Vibe seul 100 % Europe en grand public. Cluster Bruyères-le-Châtel, hébergement français. Mais l'opt-out n'est natif que sur les plans payants.
Quatre règles d'arbitrage. Juridiction exposée, opt-out vérifié, DPA Enterprise, E2E souverain.
Opt-out training varie par plan. Les quatre plans particuliers de ChatGPT (Free, Go, Plus, Pro), Vibe Free, Claude Free, Pro et Max = opt-IN. Seuls les plans entreprise et les API sont opt-OUT par défaut, chez OpenAI comme chez Anthropic, ainsi que les plans payants de Vibe.
Cas Mistral / ministère des Armées. Juridiction française, hébergement souverain, données sensibles maîtrisées. Modèle pour les acteurs régulés.
Mise en pratique
5 à 10 minutes pour tracer
Pour chaque IA que vous utilisez en pro, remplissez sur une feuille : juridiction du fournisseur, cloud sous-jacent, datacenter par défaut, opt-out training de votre plan, DPA signé oui/non. Identifiez la première ligne où une case est rouge.
Critère de réussite : vous savez tracer en 60 secondes le chemin physique d'un prompt confidentiel et nommer la juridiction qui s'applique.
Questions fréquentes
Où vont les données envoyées à une IA ?
Trois étages sont à tracer : la juridiction du fournisseur, le cloud sous-jacent, puis le datacenter physique. Les trois peuvent relever de pays différents, et c'est le premier qui décide du droit applicable.
Existe-t-il une IA grand public entièrement européenne ?
Vibe, de Mistral, est la seule à l'être de bout en bout, avec un cluster à Bruyères-le-Châtel et une conformité RGPD native. Attention toutefois : sur l'offre gratuite, l'entraînement reste actif par défaut, à désactiver dans les paramètres. Le mode sans télémétrie s'obtient sur les plans payants.
Le CLOUD Act s'applique-t-il aux données hébergées en Europe ?
Oui, dès lors que le fournisseur est soumis au droit américain. La localisation du serveur ne suffit pas : ce qui compte est la juridiction de l'entreprise qui l'exploite. C'est la raison pour laquelle « hébergé en Europe » et « à l'abri du droit américain » ne sont pas synonymes.
Comment désactiver l'entraînement sur ses données ?
Le réglage existe sur les quatre outils, mais sa disponibilité dépend du plan. Sur les offres gratuites, l'entraînement est souvent actif par défaut. Vérifiez le réglage lui-même plutôt que la promesse commerciale, et refaites la vérification après chaque mise à jour de l'application.
La souveraineté, est-ce une question politique ?
C'est d'abord une question de conformité. Informer sur le transfert de données vers un pays tiers est une obligation de l'article 13 du RGPD, et la CNIL contrôle cette transparence. Le sujet se chiffre en euros avant de se discuter en principes.