Quelles sont les offres qualifiées SecNumCloud en France ?

Une dizaine d'offres disposent d'une qualification active, dont OVHcloud, Outscale, Cloud Temple, NumSpot et Worldline, avec une douzaine de candidatures en cours d'instruction auprès de l'ANSSI. La liste évolue régulièrement et fait l'objet d'une publication officielle. Un prestataire qui invoque SecNumCloud doit pouvoir nommer l'offre exacte qu'il utilise.

Peut-on héberger un agent IA sur une infrastructure souveraine française ?

Oui, par deux voies. Déployer un modèle ouvert (Mistral, Llama) sur une instance GPU chez un hébergeur français, avec ou sans qualification SecNumCloud selon votre exigence. Ou utiliser l'API d'un fournisseur européen. La première voie coûte environ 2 000 € par mois de GPU dédié, la seconde se facture à l'usage.

Quelles IA européennes existent en alternative aux modèles américains ?

Mistral AI est l'acteur français de référence, avec une gamme allant de 0,15 à 2 $ le million de tokens en entrée. S'y ajoutent les modèles ouverts déployables sur votre propre infrastructure, dont ceux de Mistral et la famille Llama. Sur les tâches de raisonnement les plus difficiles, l'écart avec les meilleurs modèles américains existe encore ; sur l'extraction, le classement et la rédaction cadrée, il est faible ou nul.

Un hébergement en France suffit-il pour être conforme au RGPD ?

Non. Le RGPD encadre le traitement des données personnelles : base légale, finalité, durée de conservation, information des personnes, encadrement de la sous-traitance. L'hébergement en France règle la question du transfert hors Union, ce qui est un point parmi d'autres. Un agent IA hébergé à Roubaix qui conserve des données clients sans durée définie reste non conforme.

Qu'est-ce que l'AI Act change pour une PME en 2026 ?

Depuis le 2 août 2026, les obligations de transparence sur les modèles à usage général s'appliquent et l'AI Office peut sanctionner. Les obligations lourdes des systèmes à haut risque de l'annexe III ont été reportées au 2 décembre 2027 par le paquet Digital Omnibus. Pour une PME qui automatise des tâches administratives internes, l'essentiel tient dans la transparence sur les usages de l'IA et dans la tenue d'un inventaire de ces usages.

Quel hébergeur pour des données de santé en 2026 ?

L'hébergement de données de santé à caractère personnel exige une certification HDS, distincte de SecNumCloud. Plusieurs hébergeurs français la détiennent. Un projet IA sur des données de santé doit vérifier la certification HDS de l'hébergement et la chaîne complète de traitement, y compris les services tiers appelés par l'agent.

Peut-on installer un modèle IA en local dans les locaux de l'entreprise ?

Techniquement oui, avec un serveur GPU sur site. Économiquement, ça revient à acheter le matériel plutôt qu'à le louer, avec le même seuil de rentabilité au volume et une charge d'exploitation supérieure : alimentation, refroidissement, sécurité physique, remplacement du matériel. Cette configuration se justifie quand le réseau de l'entreprise est isolé pour des raisons de sécurité, rarement au titre de l'économie.

Comment réduire l'exposition des données sans changer d'hébergeur ?

Trois leviers, du plus efficace au moins efficace. N'envoyer au modèle que l'extrait nécessaire plutôt que le document entier. Faire respecter par l'agent les droits d'accès existants sur vos documents. Fixer et vérifier la durée de conservation des journaux de requêtes chez le prestataire. Ces trois mesures coûtent quelques jours de développement et protègent davantage que le déplacement d'un serveur.

Héberger un agent IA en France : SecNumCloud, RGPD et modèles ouverts

En résumé. Trois options, trois budgets. Une API américaine coûte le moins cher et donne accès aux modèles les plus performants, avec un traitement soumis à un droit extraterritorial. Une API européenne comme Mistral se facture à l’usage et garde les données dans l’Union. Un modèle ouvert auto-hébergé sur une offre qualifiée SecNumCloud demande environ 2 000 € par mois de GPU, indépendamment de votre volume. Le point de bascule : en dessous d’environ 3 000 requêtes par jour, l’auto-hébergement revient plus cher que l’API. Sous ce seuil, vous n’achetez pas une économie, vous achetez une garantie.

Les trois options, et leur prix

Option 1 : API des grands fournisseurs. Vous appelez Claude, GPT ou un autre modèle propriétaire. Facturation au token, aucune infrastructure à gérer, les meilleurs résultats sur les tâches difficiles. Les fournisseurs proposent des options de résidence des données en Europe, mais leur société mère reste soumise au droit américain.

Option 2 : API européenne. Mistral facture ses modèles de 0,15 à 2 $ le million de tokens d’entrée selon la gamme, avec une infrastructure et une société européennes. Même simplicité de mise en œuvre, moins de questions juridiques, des modèles légèrement en retrait sur les tâches de raisonnement complexe.

Option 3 : modèle ouvert auto-hébergé. Un Mistral ou un Llama installé sur un GPU loué chez un hébergeur français. Chez OVHcloud, une carte H100 se loue environ 2,80 € de l’heure ; chez Scaleway, à partir de 2,73 €. Une carte allumée en permanence représente donc autour de 2 000 € par mois, soit 24 000 € par an, quel que soit le nombre de requêtes.

Cette dernière ligne est celle que les devis de « solution souveraine » présentent rarement en face du volume réel.

Le calcul du point de bascule

Prenons un assistant qui répond aux demandes clients avec l’historique et la base documentaire en contexte : environ 8 000 tokens en entrée, 400 en sortie.

Option	Coût par requête	Coût mensuel à 4 000 requêtes	Coût mensuel à 100 000 requêtes
Claude Sonnet 5	0,030 $	120 $	3 000 $
Mistral Large 3	0,0046 $	18 $	460 $
Modèle ouvert sur H100 dédié	coût fixe	~2 000 €	~2 000 €

À 4 000 requêtes par mois, l’auto-hébergement coûte seize fois plus cher que Claude Sonnet 5 et cent fois plus cher que l’API Mistral. Il faut dépasser environ 67 000 requêtes par mois pour que le GPU dédié devienne compétitif face à Sonnet 5, et plus de 400 000 face à Mistral Large 3.

Ajoutez à ça le temps d’exploitation : supervision, mises à jour de sécurité, redémarrages, montées de version du modèle. Ce n’est pas une machine qu’on allume et qu’on oublie. Le seuil réel est donc plus haut que le seuil théorique.

Conclusion pratique pour une PME ou une ETI : dans la grande majorité des cas, l’auto-hébergement n’est pas une décision économique. C’est une décision de conformité ou de confidentialité, et elle doit être assumée comme telle.

Ce que chaque label couvre vraiment

Quatre acronymes reviennent dans toutes les discussions, et ils ne parlent pas de la même chose.

Cadre	Nature	Ce que ça couvre
RGPD	Règlement européen, obligatoire	Le traitement des données personnelles : base légale, durée de conservation, droits des personnes, sous-traitance
SecNumCloud	Qualification ANSSI, volontaire	Le niveau de sécurité de l’hébergeur et son immunité aux droits extra-européens
AI Act	Règlement européen, obligatoire	Les obligations liées à l’usage de l’IA : transparence, classification par niveau de risque
HDS	Certification, obligatoire pour la santé	L’hébergement de données de santé à caractère personnel

Trois précisions qui évitent des erreurs coûteuses.

Un hébergeur qualifié SecNumCloud ne vous met pas en conformité RGPD. Le RGPD porte sur ce que vous faites des données, pas sur l’endroit où elles dorment. Un traitement illicite chez un hébergeur qualifié reste un traitement illicite.

Le RGPD ne vous met pas en conformité AI Act non plus. Depuis le 2 août 2026, les règles de transparence sur les modèles à usage général sont applicables et l’AI Office dispose de son pouvoir de sanction. Le paquet Digital Omnibus, approuvé par le Parlement européen le 16 juin 2026, a reporté au 2 décembre 2027 les obligations les plus lourdes pesant sur les systèmes à haut risque de l’annexe III, et au 2 août 2028 pour ceux intégrés à des produits déjà soumis à la législation européenne de sécurité. Le report porte sur le calendrier, pas sur le principe. En France, la CNIL est l’autorité de référence, aux côtés d’une quinzaine d’autorités sectorielles.

Enfin, SecNumCloud reste rare. Une dizaine d’offres seulement sont qualifiées à ce jour, parmi lesquelles OVHcloud, Outscale, Cloud Temple, NumSpot et Worldline, avec une douzaine de candidatures en cours d’instruction. Un prestataire qui annonce « hébergement SecNumCloud » doit pouvoir nommer l’offre qualifiée qu’il utilise, parce que la liste est publique et courte.

Quand le souverain se justifie

Quatre situations où la question ne se discute pas.

Données de santé. L’hébergement doit être certifié HDS. Ce n’est pas une option de confort, c’est une obligation, et elle est indépendante de SecNumCloud.

Secret professionnel. Cabinets d’avocats, notaires, experts-comptables sur certains dossiers. Le risque n’est pas la fuite technique, c’est la qualification juridique du transfert vers un tiers.

Obligation contractuelle imposée par un client. Fréquent dans la défense, l’énergie, les collectivités et leurs sous-traitants. La contrainte vous est transmise par contrat et ne se négocie pas.

Données qui constituent votre avantage concurrentiel. Une base tarifaire, une méthode de production, un fichier client construit en vingt ans. Ici le raisonnement n’est pas juridique, il est stratégique.

En dehors de ces cas, le raisonnement mérite d’être posé à froid. Automatiser la saisie de factures fournisseurs relève rarement du secret industriel, et payer 24 000 € par an de GPU pour traiter 9 000 documents qui transitent déjà par cinq boîtes mail non chiffrées n’améliore pas votre sécurité réelle.

Ce qui compte plus que le nom de l’hébergeur

Trois points qui protègent davantage vos données que le logo sur le contrat d’hébergement, et que presque personne ne vérifie.

Les droits d’accès sont-ils respectés par l’agent ? Un assistant documentaire branché sur un serveur de fichiers hérite souvent d’un accès complet, y compris aux dossiers RH et aux dossiers de direction. Si un salarié interroge l’agent et obtient une information qu’il ne pouvait pas consulter directement, vous avez créé une fuite interne sans changer d’hébergeur.

Que garde le prestataire dans ses journaux ? Les requêtes envoyées au modèle contiennent souvent le contenu des documents traités. Ces journaux sont conservés quelque part, pendant une durée donnée, accessibles par un nombre donné de personnes. Faites écrire ces trois réponses.

Où vont les données pendant le développement ? Un agent finit hébergé en France, mais il a été construit et testé pendant six semaines sur un jeu de documents. Si ces documents ont vécu sur le poste du développeur et dans un service de test américain, la conformité de la production ne rattrape pas la phase de projet.

Un prestataire qui répond précisément à ces trois questions vous en apprend plus sur son sérieux qu’une page entière d’arguments sur la souveraineté.

Le montage qui marche en pratique

La plupart des projets qui aboutissent ne choisissent pas une option unique. Ils répartissent selon la sensibilité.

Les tâches sans données sensibles passent par une API performante, parce qu’elles bénéficient des meilleurs modèles à faible coût : classement de mails entrants, rédaction de brouillons de réponse, extraction sur des documents publics.

Les tâches sur données confidentielles passent par une API européenne ou par un modèle ouvert, selon le niveau d’exigence.

Le très sensible ne passe pas par un modèle du tout. Un agent n’a pas besoin d’envoyer un dossier entier pour le classer, il a besoin d’un extrait. Réduire ce qui sort de chez vous coûte moins cher que déplacer l’infrastructure, et protège davantage. Le détail des trois niveaux d’hébergement et de la façon dont le modèle se choisit est écrit ailleurs sur ce site, avec la nuance qui compte : l’engagement porte sur le stockage, et tout traitement qui doit sortir se nomme sur le devis.

Tarifs GPU relevés en août 2026 sur les grilles publiques d’OVHcloud et Scaleway ; tarifs de modèles sur les grilles publiques d’Anthropic et Mistral AI. Calendrier AI Act au 7 août 2026, après l’adoption du paquet Digital Omnibus. La liste des offres qualifiées SecNumCloud évolue : vérifiez la publication officielle de l’ANSSI avant de vous engager.