Héberger vos traitements IA dans un datacenter européen ne les rend pas, en soi, exemptés du droit américain. Si la société qui exploite ce centre de données est américaine, ou filiale d'une société américaine, une injonction judiciaire au titre du CLOUD Act peut l'obliger à livrer des données qu'elle contrôle, où qu'elles soient stockées. Un hébergement sans CLOUD Act se juge donc à l'exploitant, pas à l'adresse. Conformité RGPD et portée juridictionnelle américaine sont deux questions distinctes, et la plupart des discours marketing sur l'« IA souveraine » les confondent.
L'emplacement d'un datacenter indique où sont les serveurs, pas quel gouvernement peut en exiger l'accès. Cette seconde question dépend de la juridiction de l'entreprise — qui possède et exploite la société qui opère les serveurs — pas de la géographie. Une région UE opérée par une société dont le siège est aux États-Unis reste atteignable par une injonction judiciaire américaine au titre du CLOUD Act, quel que soit l'endroit où les disques se trouvent physiquement. Si la réponse de votre fournisseur IA à « êtes-vous conforme RGPD ? » s'arrête à « nos serveurs sont à Francfort », vous n'avez obtenu aucune réponse à la question de juridiction — et cet écart est crucial lorsque vos données européennes contiennent des données sensibles ou des informations personnelles identifiantes.
Deux chemins d'infrastructure, côte à côte
Fournisseur IA américain
- Société américaine
- Datacenter en UE
- Juridiction américaine possible
Lieu d'hébergement ≠ juridiction. Le CLOUD Act suit l'exploitant, pas le code postal du serveur.
Frontière AI Souverain UE
- Fournisseur de modèles à siège européen
- Datacenter en UE
- Aucune société américaine n'exécute le modèle
Opérateur : FLEECE AI SASU (France), éditrice de Frontière AI. Modèles : OVHcloud, Scaleway, en France. Prompts : jamais stockés par Frontière AI (rétention côté fournisseur : voir notre politique de confidentialité). Seul maillon américain sur le trajet du prompt, dit clairement : notre passerelle tourne chez Vercel, dans sa région de Paris, en simple transit.
Les deux chemins peuvent revendiquer une « résidence des données UE ». Seul celui de droite garde le fournisseur du modèle sous contrôle juridique européen, et dit où se trouve le maillon américain restant.
Comment le CLOUD Act atteint réellement des données en UE
Le Clarifying Lawful Overseas Use of Data Act (CLOUD Act) américain, promulgué en mars 2018, modifie le Stored Communications Act pour permettre aux autorités judiciaires américaines d'obliger un fournisseur soumis à la juridiction américaine à produire les données qu'il possède, détient ou contrôle — « que cette communication, cet enregistrement ou toute autre information soit situé à l'intérieur ou à l'extérieur des États-Unis ». Le texte ne demande pas où se trouve le serveur. Il demande si l'entité qui peut accéder aux données est soumise à la procédure judiciaire américaine, et cela ne vise pas que les sociétés américaines : le ministère de la Justice américain précise lui-même que sa juridiction « ne se limite pas aux sociétés américaines, aux sociétés dont le siège est aux États-Unis ni aux sociétés détenues par des ressortissants américains ». Une société étrangère ayant une activité suffisante aux États-Unis peut donc être visée, elle aussi.
C'est ce mécanisme qui compte pour une décision d'achat : une injonction adressée à une société américaine peut atteindre les données détenues par ses filiales, y compris une entité européenne techniquement distincte, dès lors que la société visée contrôle ces données — une question de fait, selon les termes du ministère de la Justice américain. L'emplacement du datacenter ne change rien à la chaîne juridique : il ne change que le chemin que doit parcourir la demande avant d'être exécutée. D'un point de vue sécurité, votre protection contre un accès par des autorités étrangères ne vaut pas plus que la juridiction dont relève votre fournisseur, quelle que soit son empreinte physique.
Le CLOUD Act permet aussi aux États-Unis de conclure des « accords exécutifs » avec d'autres gouvernements (18 U.S.C. § 2523). Eux seuls ouvrent au fournisseur un recours prévu par la loi contre une injonction qui violerait un droit étranger : la requête en annulation est réservée aux « gouvernements étrangers qualifiés », c'est-à-dire aux pays liés par un tel accord en vigueur (§ 2703(h)). Les États-Unis en ont signé avec le Royaume-Uni et l'Australie ; avec l'UE, les négociations ont repris en 2023 et la Commission européenne les décrit toujours comme en cours.
Ce que le RGPD exige réellement
Le Règlement général sur la protection des données (RGPD), nom formel règlement (UE) 2016/679, régit un problème différent : il restreint les transferts de données personnelles hors de l'UE/EEE (chapitre V, articles 44 à 50), sauf mécanisme de transfert valide — décision d'adéquation, clauses contractuelles types, ou règles d'entreprise contraignantes. Il ne décide pas quel gouvernement peut adresser une injonction à votre sous-traitant. Son point de contact le plus direct avec le CLOUD Act est l'article 48 : une décision d'une juridiction d'un pays tiers exigeant la communication de données personnelles « ne peut être reconnue ou rendue exécutoire de quelque manière que ce soit qu'à la condition qu'elle soit fondée sur un accord international », comme un traité d'entraide judiciaire. Cet article n'empêche pas un tribunal américain de rendre l'injonction : il place votre fournisseur entre deux lois contradictoires. Une société peut être parfaitement conforme RGPD sur le papier — contrats en règle, résidence des données en UE, mécanisme de transfert valide pour les flux résiduels — tout en étant une société américaine soumise à la procédure du CLOUD Act. C'est pour cela que chaque modèle de notre catalogue porte sa propre juridiction, plutôt qu'un badge de conformité unique valable pour tout le site. Les deux cadres répondent à des questions différentes, et satisfaire l'un ne répond pas à l'autre.
Pourquoi le cadre transatlantique s'effondre à répétition
L'UE et les États-Unis ont tenté à trois reprises de combler cet écart par un cadre d'adéquation formel pour les transferts vers des sociétés américaines : le Safe Harbor (invalidé par la CJUE en 2015, arrêt Schrems I), le Privacy Shield (invalidé en 2020, arrêt Schrems II), et l'actuel EU-US Data Privacy Framework, adopté par la Commission européenne en 2023. À chaque fois, la contestation est revenue sur le même point structurel : le droit américain de surveillance donne aux autorités américaines un accès à des données détenues par des sociétés américaines que le droit européen ne juge pas proportionné ni assorti d'un recours adéquat.
Le Data Privacy Framework est, en septembre 2026, toujours formellement en vigueur : le Tribunal de l'UE a rejeté le 3 septembre 2025 un recours direct en annulation (Latombe contre Commission, T-553/23), en jugeant suffisants le mécanisme de recours et les limites de collecte de données américaines à la date d'adoption de la décision, en juillet 2023. Le requérant s'est pourvu devant la Cour de justice de l'UE (affaire C-703/25 P, pourvoi formé en octobre 2025), qui n'a pas encore statué. Si la Cour de justice annule le cadre, ce serait la troisième invalidation consécutive d'un cadre de transfert transatlantique en une décennie. Ce schéma est lui-même le signal : l'incompatibilité de fond entre le droit américain de surveillance et le droit européen de protection des données n'a été résolue par aucune des trois tentatives — elle a été mise en pause, puis contestée, à chaque fois.
Pour une entreprise qui prend une décision d'infrastructure sur plusieurs années, parier sur la tenue du cadre actuel revient à parier sur l'issue d'un appel précis, pendant devant la plus haute juridiction européenne. Choisir une infrastructure qui n'est pas soumise, à la base, au conflit de juridiction sous-jacent permet d'éviter ce pari entièrement.
La réponse française : SecNumCloud et l'exigence d'« immunité »
L'agence nationale française de cybersécurité, l'ANSSI, délivre une qualification cloud appelée SecNumCloud. Sa version actuelle, la 3.2 (mars 2022), a ajouté des critères explicites de protection vis-à-vis du droit extra-européen, et ils s'appliquent à tout service qualifié : SecNumCloud ne compte plus qu'un seul niveau depuis la version 3.1. Le siège et le principal établissement du prestataire doivent se trouver dans l'UE ; les actionnaires non européens ne peuvent détenir plus de 24 % du capital individuellement ni 39 % collectivement, sans droit de veto ni pouvoir de désigner la majorité des dirigeants ; et aucun tiers non européen, sous-traitants compris, ne doit avoir la possibilité technique d'obtenir les données. C'est l'articulation officielle la plus claire de la distinction exacte que cet article établit : le lieu d'hébergement et l'exposition juridique sont deux axes différents, et un référentiel de souveraineté sérieux doit préciser les deux. Nous appliquons ce principe, et non la qualification, pour décider quels modèles portent l'étiquette souveraine dans notre catalogue et lesquels sont étiquetés « accès rapide » : ni Frontière AI ni les services d'IA d'OVHcloud et de Scaleway que nous utilisons ne sont qualifiés SecNumCloud.
SecNumCloud est une qualification française. À l'échelle de l'UE, le schéma de certification cloud EUCS n'est toujours pas adopté, l'inclusion de critères de souveraineté restant le principal point de blocage, et la Commission européenne a proposé en juin 2026 un règlement sur le cloud et l'IA (Cloud and AI Development Act) qui instaurerait un cadre unique, à l'échelle de l'UE, pour évaluer la souveraineté du cloud et de l'IA : une proposition, pas encore une loi.
Bleu, S3NS, et pourquoi « cloud français » n'est pas automatiquement souverain
Deux offres françaises très médiatisées de « cloud de confiance » montrent que la question porte sur le contrôle et l'accès technique, pas seulement sur l'adresse. S3NS, société de droit français contrôlée par Thales qui exploite une technologie Google Cloud, a obtenu la qualification SecNumCloud 3.2 pour son offre PREMI3NS en décembre 2025 : la liste de l'ANSSI nomme le service qualifié « Cloud de confiance S3NS » (prestataire : Thales Cloud Sécurisé), valable du 17 décembre 2025 au 17 décembre 2028. Bleu, détenue par Orange et Capgemini et bâtie sur les technologies Microsoft Azure et Microsoft 365, a franchi en novembre 2025 le jalon J1 de la même démarche et ne figurait pas encore, en septembre 2026, sur la liste des services qualifiés. Toutes deux sont immatriculées et opérées en France. Le débat qu'elles ont suscité porte sur la dépendance à un éditeur technologique américain — mises à jour, feuille de route, continuité —, précisément ce que les critères de SecNumCloud sur les sous-traitants et l'autonomie d'exploitation doivent tester. Pour le service qualifié de S3NS, l'ANSSI a désormais donné sa réponse ; pour Bleu, elle est encore attendue.
La leçon dépasse ces deux cas : la page marketing d'un fournisseur peut dire « hébergé en UE », « souverain » ou « conforme RGPD » tout en ne décrivant que l'axe résidence des données, en laissant l'axe propriété/juridiction sans réponse — parfois parce que tout va bien, parfois non, et la page ne dit pas lequel. La nôtre le dit, modèle par modèle, dans le catalogue comme dans la réponse de l'API elle-même — et quand un modèle n'est accessible que via une infrastructure sous contrôle américain, il est étiqueté « accès rapide », jamais souverain.
Datacenter sans CLOUD Act américain : quelles options concrètes ?
Aucun datacenter n'échappe au CLOUD Act par sa seule adresse. Ce qui place un hébergement hors de portée directe du droit américain, c'est la société qui exploite le centre de données et ses dépendances. Six critères, surtout tirés du référentiel SecNumCloud 3.2 de l'ANSSI :
- Exploitant. Siège dans l'UE et pas d'activité significative aux États-Unis : le ministère de la Justice américain précise que sa juridiction ne se limite pas aux sociétés américaines.
- Capital et contrôle. SecNumCloud plafonne les actionnaires non européens à 24 % chacun et 39 % ensemble, sans droit de veto ni majorité au conseil.
- Sous-traitants. Aucun sous-traitant non européen, éditeur compris, ne doit pouvoir techniquement accéder à vos données ni aux journaux.
- Administration et support. Exploitation depuis l'UE ; tout support hors UE est listé et supervisé depuis l'UE.
- Une preuve, pas un badge. SecNumCloud qualifie un service, pas une entreprise : vérifiez le service exact sur la liste de l'ANSSI.
- Contrat. L'engagement de refuser toute demande non européenne qui contourne un accord international (article 48 du RGPD), et de signaler tout changement de contrôle sous un mois, comme l'exige SecNumCloud.
| Type d'hébergement | Exposition au CLOUD Act | Preuve à demander |
|---|---|---|
| Région UE d'un fournisseur américain | Directe, quelle que soit la région | Aucune ne la supprime ; le contrat ne fait que l'atténuer |
| « Cloud de confiance » français sous licence américaine | Dépend de la qualification et de l'accès technique de l'éditeur | Le service exact sur la liste ANSSI ; conditions de licence |
| Fournisseur à siège européen, service non qualifié | Pas directe ; résiduelle si le groupe a une activité aux États-Unis | Registre, actionnariat, sous-traitants, lieu de l'administration et du support |
| Service qualifié SecNumCloud | La plus faible documentée : chapitre 19.6 évalué avant qualification | Fiche au catalogue ANSSI, dates de validité, périmètre |
| Passerelle API ou place de marché | Celle de son maillon le plus exposé | La chaîne complète, modèle par modèle |
Frontière AI relève de la dernière ligne ; voici notre chaîne. Les modèles « Souverain UE » tournent chez OVHcloud ou Scaleway, sociétés françaises, dans des centres de données en France. Aucun de ces services d'IA n'est qualifié SecNumCloud, et notre passerelle tourne chez Vercel, société américaine, dans sa région de Paris : les prompts y transitent sans y être stockés (détails). Les modèles « Accès rapide (US) » tournent chez des sociétés américaines (Modal, OpenRouter) et restent exposés au CLOUD Act ; le catalogue et l'API les signalent comme tels, jamais comme souverains.
Comment vérifier concrètement un fournisseur
Quatre questions permettent d'obtenir l'essentiel d'une vraie réponse, à peu près dans l'ordre où il vaut la peine de les poser :
- Qui est la société mère ultime, et où est-elle domiciliée ? Une filiale immatriculée en UE peut être atteinte via sa société mère américaine dès lors que celle-ci contrôle les données, et une société non américaine ayant une activité significative aux États-Unis peut elle-même relever de la juridiction américaine.
- Le service précis que vous utiliserez figure-t-il sur la liste ANSSI des services qualifiés SecNumCloud ? La qualification est accordée service par service : un fournisseur peut l'avoir pour certaines offres et pas pour d'autres. Un badge « cloud UE » auto-déclaré, ou une qualification encore en cours, n'est pas la même chose.
- Une partie de la pile technique est-elle sous licence d'un éditeur non européen, et cet éditeur peut-il techniquement atteindre les données ? Une licence n'est pas en soi un levier du CLOUD Act, mais c'est une dépendance à évaluer — mises à jour, continuité, accès technique —, et c'est pourquoi SecNumCloud l'examine.
- Que dit le contrat sur qui répond à une demande de données d'un gouvernement étranger, et selon quelle procédure ? Un fournisseur confiant dans sa propre position aura une réponse claire et précise ici — pas une déclaration de conformité générale.
Rien d'exotique dans cette diligence — c'est la même distinction qu'un DPO applique déjà à tout flux de données transfrontalier, simplement appliquée à la couche infrastructure plutôt qu'au contrat de transfert de données. Nous avons passé ces quatre questions à deux concurrents directs, publiquement : Frontière AI vs OpenRouter et Frontière AI vs Together AI — les deux sont immatriculés aux États-Unis. OpenRouter est généralement moins cher que nous au token sur les modèles banalisés ; chaque page compare les prix hors TVA des deux côtés, les nôtres étant TTC et les leurs HT.
FAQ
L'hébergement en Europe rend-il un fournisseur IA souverain ?
Non. L'hébergement en Europe ne traite que la résidence des données. La souveraineté dépend de qui contrôle la société exploitante : un fournisseur américain peut opérer une région de calcul en UE tout en restant atteignable par une injonction américaine au titre du CLOUD Act. Un fournisseur n'est souverain UE que si la société qui l'exploite est sous contrôle européen — siège dans l'UE, aucun actionnaire de contrôle non européen, aucun sous-traitant non européen capable d'atteindre les données —, le test que formalise SecNumCloud.
OpenAI sur Azure France règle-t-il le problème de la souveraineté ?
Non. Azure France repose sur Microsoft, société américaine. Vos données peuvent physiquement se trouver en France, l'exploitant reste soumis à la procédure judiciaire américaine, qui peut donc les atteindre. C'est un montage valide RGPD pour beaucoup de charges, simplement pas de la souveraineté juridictionnelle. Le même raisonnement vaut pour Anthropic sur GCP. Les offres françaises de « cloud de confiance » bâties sur une technologie américaine sous licence sont un autre cas : vérifiez si le service exact est qualifié SecNumCloud, comme l'est l'offre PREMI3NS de S3NS depuis décembre 2025.
Le RGPD interdit-il les fournisseurs IA américains ?
Non. Le RGPD n'interdit pas les fournisseurs américains — il restreint les transferts de données personnelles hors UE/EEE sauf mécanisme valide (décision d'adéquation, SCC, BCR). Un fournisseur américain peut être parfaitement conforme RGPD et exposer quand même vos données à la juridiction américaine. Conformité RGPD et souveraineté juridictionnelle sont deux questions différentes ; selon votre charge, vous pouvez avoir besoin des deux réponses.
Qu'est-ce que la résidence des données ?
La résidence des données, c'est le lieu physique de stockage — « nos serveurs sont en France » est une affirmation de résidence. Elle ne dit rien de qui contrôle la société qui opère ces serveurs ni de quelle police peut en exiger l'accès. C'est le plus faible des trois niveaux de souveraineté.
Qu'est-ce que la souveraineté des données ?
La souveraineté des données signifie que les données relèvent des lois du pays où elles sont stockées ET de l'entité qui les contrôle — en pratique, la seconde l'emporte. Une vraie souveraineté des données exige un stockage UE plus un exploitant sous contrôle européen, de sorte qu'un tribunal étranger ne puisse pas atteindre les données en visant simplement l'exploitant ou sa société mère.
Qu'est-ce que la souveraineté juridictionnelle ?
La souveraineté juridictionnelle est le niveau le plus fort : chaque société du chemin de service — exploitant, fournisseur cloud, sous-traitants — relève de la juridiction européenne, si bien qu'aucun maillon n'est directement soumis à une procédure non européenne. SecNumCloud le formalise pour chaque service qualifié. L'étiquette « Souverain UE » de Frontière AI porte sur le fournisseur du modèle (OVHcloud ou Scaleway) ; notre passerelle tourne chez Vercel, société américaine, dans sa région de Paris, en simple transit — nous le disons plutôt que de le taire.
Qu'est-ce que le CLOUD Act ?
Le Clarifying Lawful Overseas Use of Data Act (2018) permet aux autorités américaines d'obliger un fournisseur soumis à la juridiction américaine à produire les données qu'il possède, détient ou contrôle, où qu'elles soient stockées. Il atteint les sociétés américaines, leurs filiales européennes lorsque la société mère contrôle les données, et peut viser une société non américaine ayant une activité significative aux États-Unis. C'est pourquoi « hébergé en UE » ne vaut pas « hors juridiction américaine ».
Que signifie réellement « IA souveraine UE » ?
Cela devrait signifier : la société qui exécute le modèle est sous contrôle européen, le calcul tourne en UE, et la rétention des données est nulle ou contractuellement encadrée. En pratique, le terme désigne souvent une simple résidence des données UE. Frontière AI l'applique au fournisseur du modèle, étiquette chaque modèle à chaque appel, signale le seul maillon américain sur le trajet du prompt (l'hébergeur de la passerelle, en simple transit), liste tous ses autres sous-traitants, américains compris, dans sa politique de confidentialité, et publie la méthodologie du Sovereignty Score pour que vous puissiez vérifier plutôt que croire le mot sur parole.
Si les serveurs d'un fournisseur sont physiquement situés en UE, n'est-ce pas suffisant pour être conforme RGPD ?
Cela aide sur la question de résidence des données mais ne règle pas la juridiction. Le RGPD restreint les transferts de données hors UE/EEE ; il ne détermine pas quel gouvernement peut obliger une société à divulguer des données via une procédure judiciaire nationale. Une société à capitaux américains opérant des serveurs en UE peut être parfaitement conforme RGPD sur les transferts de données tout en restant atteignable au titre du CLOUD Act en tant qu'entité juridique américaine.
Le CLOUD Act s'applique-t-il à toute société ayant un bureau en UE, ou seulement aux sociétés entièrement détenues par des Américains ?
Il s'applique aux fournisseurs soumis à la juridiction américaine : sociétés immatriculées aux États-Unis, leurs filiales lorsque la société mère contrôle les données, et potentiellement une société non américaine ayant une activité significative aux États-Unis — le ministère de la Justice américain précise que sa juridiction ne se limite pas aux sociétés américaines. Une société européenne sans société mère ni actionnaire de contrôle américains, ni activité significative aux États-Unis, n'est pas atteignable de la même façon : c'est la distinction que formalisent les critères d'immunité de SecNumCloud.
Existe-t-il un datacenter sans CLOUD Act américain ?
Oui, au sens où le CLOUD Act vise l'exploitant, pas le bâtiment. Un datacenter exploité par une société européenne, sans actionnaire de contrôle non européen ni activité significative aux États-Unis, n'est pas soumis au CLOUD Act comme l'est un fournisseur américain. En France, la preuve la plus formelle reste un service qualifié SecNumCloud 3.2 : sa protection contre le droit extra-européen est évaluée avant qualification. Vérifiez le service exact sur la liste de l'ANSSI.
Un datacenter situé en France suffit-il à échapper au CLOUD Act ?
Non. Le CLOUD Act oblige tout fournisseur soumis à la juridiction américaine à produire les données qu'il possède, détient ou contrôle, où qu'elles soient stockées. Un centre de données en France exploité par une société américaine, ou par sa filiale française, reste donc exposé. Le RGPD s'y oppose (article 48 : une décision étrangère n'est reconnue que si elle repose sur un accord international), mais ce conflit de lois retombe sur votre fournisseur. Ce qui compte : qui exploite l'hébergement, et qui peut techniquement accéder aux données.
L'EU-US Data Privacy Framework est-il actuellement valide ?
En septembre 2026, oui : la décision d'adéquation de 2023 de la Commission européenne est en vigueur, et le Tribunal de l'UE a rejeté un recours en annulation le 3 septembre 2025, en jugeant la situation à la date d'adoption, en juillet 2023. Cet arrêt fait l'objet d'un pourvoi devant la Cour de justice (affaire C-703/25 P), qui n'a pas encore statué. C'est le troisième cadre de ce type en une décennie ; les deux précédents (Safe Harbor et Privacy Shield) ont tous deux été invalidés après avoir été utilisés pendant des années.
Utiliser un fournisseur IA auto-hébergé ou souverain UE dispense-t-il mon entreprise d'un DPO ou d'une revue RGPD ?
Non — le choix d'infrastructure traite un risque précis (l'accès d'un gouvernement étranger à des données que votre sous-traitant contrôle). Il ne remplace pas le reste d'un programme de conformité RGPD : base légale, minimisation des données, durées de conservation, droits des personnes concernées, et un registre des traitements au titre de l'article 30 restent nécessaires quel que soit l'endroit ou l'opérateur qui héberge le modèle IA.
Qu'est-ce que SecNumCloud exactement ?
C'est une qualification de sécurité pour les services cloud, délivrée par l'ANSSI, l'agence nationale française de cybersécurité. Depuis la version 3.2 (mars 2022), tout service qualifié doit aussi respecter des critères de protection vis-à-vis du droit extra-européen : siège dans l'UE, actionnaires non européens plafonnés à 24 % individuellement et 39 % collectivement sans droit de veto, aucun sous-traitant non européen capable d'atteindre les données. La qualification est accordée service par service, pas à une entreprise entière.
Quels hébergeurs sont qualifiés SecNumCloud ?
Sur la liste de l'ANSSI mise à jour le 15 septembre 2026 : Cegedim, Cloud Solutions (Wimi), Cloud Temple, Index Education, Numspot, OVH (trois offres IaaS), Oodrive, Orange Business Services, Outscale, Thales Cloud Sécurisé (S3NS), Whaller et Worldline. La qualification porte sur un service précis, pas sur toute l'entreprise : AI Endpoints d'OVHcloud et Generative APIs de Scaleway, que Frontière AI utilise, n'en font pas partie. Vérifiez toujours le service exact et ses dates de validité dans le catalogue de l'ANSSI.
Bleu et S3NS sont-ils non conformes au RGPD ?
Ce n'est pas ce qui est affirmé ici, et aucune des deux n'est présentée comme non conforme au RGPD. Toutes deux sont immatriculées en France. S3NS, contrôlée par Thales, est qualifiée SecNumCloud 3.2 pour son offre PREMI3NS depuis décembre 2025 ; Bleu, détenue par Orange et Capgemini, a franchi le jalon J1 de la démarche en novembre 2025. Le débat public est plus étroit : savoir si s'appuyer sur une technologie américaine sous licence (Google pour S3NS, Microsoft pour Bleu) crée une dépendance à évaluer. C'est une question à poser à tout fournisseur.
Comment Frontière AI gère-t-elle cette distinction ?
Frontière AI étiquette un modèle « Souverain UE » uniquement lorsqu'il tourne chez un fournisseur sans actionnaire de contrôle ni contrôle juridictionnel non européens — aujourd'hui OVHcloud et Scaleway ; des serveurs auto-hébergés en UE sont prévus, pas encore en service. Les modèles disponibles uniquement via des sociétés américaines (Modal, OpenRouter) sont étiquetés « Accès rapide (US) », jamais « souverain », quelle que soit leur région. Notre passerelle tourne chez Vercel, dans sa région de Paris, en simple transit : nous l'indiquons sur notre page de confidentialité.
Prêt à essayer ?
Créez un compte et appelez n'importe quel modèle du catalogue en quelques minutes.