La démonstration se passe bien. La machine est posée sur la table, elle tient dans un sac, elle répond aux questions posées sur les documents de l’entreprise, et elle cite ses sources. Quelqu’un demande si l’on peut couper le Wi-Fi. On coupe. Elle continue de répondre. C’est en général à ce moment précis, quand tout le monde a compris que rien ne sortait, qu’une main se lève au fond de la salle : « attendez — ce modèle, il vient d’où, exactement ? ». La question est excellente. Elle mérite mieux qu’une réponse rassurante, et mieux encore qu’un haussement d’épaules. Elle mérite qu’on démonte le mot « souveraineté » pièce par pièce, parce qu’il en contient au moins quatre, et que l’origine du modèle n’en concerne qu’une seule.
L’objection qui arrive toujours à la fin de la démonstration
Elle vient rarement au début. Au début, on parle d’usages, de temps gagné, de dossiers qu’on n’a plus à rouvrir. L’objection sur l’origine du modèle surgit à la fin, quand l’installation a convaincu — et c’est justement ce qui la rend intéressante. Elle ne traduit pas une méfiance envers la démonstration ; elle traduit le moment où un dirigeant se projette et cherche ce qu’il devra répondre, lui, à son conseil d’administration, à son assureur, à son plus gros client. Ce qu’il demande, au fond, n’est pas « ce modèle est-il chinois ? » mais « qu’est-ce que j’ai signé sans le savoir ? ».
La mauvaise réponse consiste à balayer : « aucune importance, tout est local ». C’est vrai à quatre-vingt-dix pour cent, et les dix pour cent restants sont précisément ce qui inquiète la personne en face. La bonne réponse commence par un désaccord sur les termes. Sous le mot « souveraineté », il y a quatre questions distinctes, qu’on ne cesse de confondre : où vont mes données, qui fait tourner le calcul, qui a fabriqué le modèle, et qu’ai-je le droit d’en faire. Ces quatre questions n’ont ni les mêmes réponses, ni les mêmes risques, ni la même urgence. Les séparer transforme une objection paralysante en une liste de vérifications.
Un modèle n’est pas un service : c’est un fichier
Voici la distinction qui manque à presque tous les débats sur le sujet. Quand vos équipes interrogent un assistant en ligne, vous ne possédez rien : vous louez l’accès à un service qui tourne chez son éditeur. Cet éditeur peut augmenter son prix, modifier ses conditions d’utilisation, changer le modèle sous vos pieds, journaliser vos requêtes ou fermer le robinet. Votre conformité dépend alors de la version courante d’un document que quelqu’un d’autre révise. Un modèle à poids ouverts, lui, se télécharge : c’est une copie, chez vous, que personne ne peut éteindre à distance.
Et matériellement, qu’est-ce que cette copie ? Un très grand tableau de nombres. Pas un programme qui appelle sa maison mère, pas un compte utilisateur, pas de conditions générales qui changeraient un mardi matin. Un fichier de poids n’a ni connexion réseau, ni initiative, ni mémoire de ce que vous lui avez demandé hier. Ce qui envoie des données quelque part, ce n’est jamais le modèle : c’est l’architecture qu’on construit autour de lui. Or cette architecture-là, c’est vous qui la possédez — et c’est la seule affirmation de tout cet article qui se vérifie en direct, en trente secondes, avec un câble réseau débranché.
Quatre questions cachées sous un seul mot
Reprenons les quatre couches, dans l’ordre où elles portent le risque. Vos données d’abord : vos contrats, vos dossiers, vos questions. Dans une installation locale, elles ne quittent pas la machine — c’est la couche qui compte le plus, et c’est celle où vous êtes intégralement maître. L’exécution ensuite : qui fait tourner le calcul, qui peut couper le service, qui peut renchérir. Chez vous, personne. Le modèle en troisième : qui a fabriqué le fichier. Et la licence en quatrième : ce que vous avez le droit d’en faire, commercialement, en France.
Regardez où porte l’objection : sur la troisième couche uniquement. Sur quatre questions, le client en conteste une — et ce n’est ni celle qui expose ses données, ni celle qui le rend dépendant. Nous avons expliqué ailleurs, dans « Hébergé en Europe ne veut pas dire souverain », pourquoi la géographie d’un serveur ne protège de rien : ce qui expose juridiquement des données, c’est le rattachement de l’opérateur qui les traite, jamais l’adresse de la machine. Le même raisonnement s’applique ici, en sens inverse : quand il n’y a plus d’opérateur du tout dans la chaîne, il n’y a plus de rattachement à examiner. Le pays d’origine des poids ne recrée pas, à lui seul, un canal qui n’existe pas.
Le vrai risque juridique n’est pas le drapeau, c’est la licence
Si vous ne deviez retenir qu’un point de vigilance, ce serait celui-là — et il est presque toujours absent des discussions. « Modèle ouvert » ne veut pas dire « modèle libre d’usage ». Derrière cette expression fourre-tout cohabitent des régimes juridiques très différents : des licences franchement permissives, de type Apache 2.0 ou MIT, qui autorisent l’usage commercial sans condition ; des licences dites communautaires qui plafonnent l’usage au-delà d’un certain volume ou interdisent certains cas ; et, plus rares mais bien réelles, des licences qui excluent explicitement certains territoires — nous en avons croisé qui écartent purement et simplement l’Union européenne de leur périmètre d’usage autorisé.
Autrement dit : un modèle peut être téléchargeable par tous et ne vous donner, à vous, entreprise française, aucun droit d’usage professionnel. C’est une exposition contractuelle silencieuse, qui ne se voit ni à la démonstration ni à la performance, et qui ne se règle que dans un fichier de licence que personne ne lit. Notre règle est devenue un critère d’admission : un modèle n’entre pas dans une installation client si sa licence n’a pas été lue et si elle n’autorise pas sans ambiguïté l’usage commercial en France. Ce filtre écarte, au passage, plus de modèles que l’origine géographique n’en écarterait.
Biais et empoisonnement : les deux risques dont personne ne parle
Le deuxième risque est culturel, et il est réel : un modèle entraîné dans un pays donné porte les angles morts de ce pays. Certains esquivent des sujets politiques, d’autres transportent les cadres de référence de leur région d’origine. La bonne réponse n’est pas de nier — c’est de tester. Un biais ne se discute pas dans l’abstrait : il se mesure sur vos propres questions métier, celles que vos équipes poseront vraiment. Un modèle qui hésite sur la géopolitique et qui traite parfaitement vos comptes rendus de chantier reste un excellent outil pour vos comptes rendus de chantier. Et s’il biaise là où ça compte, on en change — nous verrons dans un instant pourquoi c’est si simple.
Le troisième risque est plus sérieux, et il ne concerne aucun pays en particulier. Une étude conjointe d’Anthropic, du UK AI Security Institute et de l’Alan Turing Institute, publiée en octobre 2025, a montré qu’environ 250 documents malveillants glissés dans les données d’entraînement suffisent à implanter une porte dérobée dans un modèle — et, résultat le plus troublant, que ce nombre reste à peu près constant quelle que soit la taille du modèle. On croyait qu’il fallait contrôler un pourcentage des données ; il suffit d’un petit nombre fixe. C’est un risque de filière, qui pèse sur tous les modèles entraînés sur des données publiques, européens compris. La parade ne relève donc pas de la géographie mais de l’architecture : pas d’accès réseau sortant, pas de droits d’écriture sur les systèmes critiques, un humain qui valide les actions qui engagent. Exactement les garde-fous qu’une installation locale bien conçue pose de toute façon.
Le plancher que personne ne franchit en 2026
L’honnêteté commande de nommer ce qui ne se règle pas. Sous le modèle, il y a la machine ; et sous la machine, il y a des puces et la couche logicielle qui les pilote. Aujourd’hui, la très grande majorité des calculs d’IA dans le monde passe par du matériel américain et par des pilotes propriétaires qui se mettent à jour en continu et ne s’auditent pas. Aucun équivalent européen n’existe à cette échelle, et les projets se comptent en années. Choisir une machine Apple pour faire tourner une IA locale — ce que nous faisons souvent, parce que l’économie et le silence de ces machines changent la donne pour une PME — déplace cette dépendance ; cela ne la supprime pas.
Il faut donc le dire clairement à un dirigeant, et le dire tôt : aucune entreprise française n’est totalement souveraine en matière d’IA en 2026, et quiconque vous promet le contraire vend un slogan. Ce constat n’annule rien de ce qui précède ; il en fixe le prix. On ne choisit pas entre la souveraineté et rien : on choisit un étage sur une échelle, en sachant ce qui reste hors de portée. Reconnaître le plancher est ce qui rend crédible tout le reste — et, accessoirement, ce qui distingue une analyse d’une plaquette.
La seule mesure qui vaut : combien de temps pour en changer ?
Voici le renversement que nous proposons à nos clients, et il tient en une phrase : la bonne question n’est pas « d’où vient ce modèle ? », mais « combien de temps me faut-il pour en changer ? ». Dans une architecture correctement conçue, le modèle est un carburant, pas un moteur. La base documentaire, les règles d’accès, l’interface, les habitudes des équipes ne dépendent pas de lui. Si demain une licence se durcit, si un audit révèle une faille, si un modèle français meilleur sort, on bascule — et les utilisateurs ne voient rien. Le temps de changement se compte alors en heures, pas en refonte.
Posez maintenant la même question à propos d’un service loué : que se passe-t-il si le contrat change, si le tarif double, si l’interface programmatique est abandonnée, si le fournisseur est racheté ? La souveraineté ne se mesure pas à la nationalité d’un composant ; elle se mesure à votre capacité de sortie. Une entreprise qui ne peut pas quitter un système n’est pas souveraine, même si tout, dans ce système, est européen. Et il n’y a rien là d’un plaidoyer pour le tout-local : un modèle ouvert hébergé chez un opérateur français relève de la même logique, avec un autre curseur de coût et de commodité. C’est le besoin de la donnée qui décide de l’étage, pas une préférence de principe.
Ce que nous répondons, concrètement
En pratique, notre réponse à l’objection tient en quatre gestes. Nous vérifions la licence avant tout le reste, et nous écartons ce qui n’autorise pas franchement l’usage commercial en France. Nous testons deux ou trois modèles candidats sur les vraies questions de l’entreprise, parce que seul cet essai-là départage — les classements généraux ne disent rien de votre métier. Nous confinons l’installation pour que la question du modèle cesse d’être une question de confiance : rien ne sort, rien ne s’écrit sans validation. Et nous laissons la porte ouverte, c’est-à-dire que nous n’installons jamais une architecture dont on ne pourrait pas remplacer le modèle en une demi-journée.
Reste la meilleure preuve, et c’est celle par laquelle nous commençons désormais nos démonstrations plutôt que de les terminer : on débranche. Une IA qui répond sans réseau a répondu à la seule question qui engageait vraiment l’entreprise. Le reste — l’origine des poids, la licence, les biais — se traite comme se traite n’importe quel composant d’un système d’information : par une vérification, écrite, datée, revue quand le contexte change. Ce n’est pas un débat idéologique. C’est un dossier d’architecture, et il se referme.
Voir une IA locale répondre, réseau débranché
AQUIFÈRE fait parler vos documents sans qu’aucune donnée ne quitte vos murs, avec des sources citées à chaque réponse — et un modèle que l’on peut remplacer sans rien casser. Nous cadrons ensemble le bon étage pour vos données : votre machine, ou un hébergeur français, selon ce que la donnée exige.
Découvrir AQUIFÈRE →