Souveraineté des données IA pour PME françaises : guide 2026 post-Digital Omnibus

Le 28 avril 2026, le trilogue européen sur le Digital Omnibus s'est conclu après 11 mois de négociations. Les PME françaises ont six mois pour aligner leur conformité IA avec les nouvelles regles de souveraineté des données, sans quoi elles tombent dans un trou juridique entre RGPD, EU AI Act et l'arrêt Schrems II. Ce guide explique en termes opérationnels ou héberger vos données d'entraînement IA, comment documenter les flux transfrontaliers et quelles options choisir pour éviter les amendes plafonnées à 35 millions d'euros ou 7 % du chiffre d'affaires mondial.

Le verdict en une phrase

À partir du 2 août 2026, toute PME française qui utilise un système d'IA classe à haut risque (recrutement, scoring crédit, santé, éducation, infrastructure critique) doit pouvoir prouver dans un audit que ses données d'entraînement et d'inférence restent sous juridiction européenne ou bénéficient de garanties équivalentes documentées, et le trilogue Digital Omnibus du 28 avril 2026 vient de durcir les critères d'équivalence pour les transferts vers les États-Unis et le Royaume-Uni.

Pourquoi la souveraineté des données IA est devenue critique en 2026

Trois forces convergent en 2026 et expliquent pourquoi la souveraineté des données est passée du statut de sujet IT à celui de risque board-level pour les dirigeants de PME.

D'abord, l'EU AI Act entre en application le 2 août 2026 pour les systèmes à haut risque, et les Articles 10 et 12 imposent une traçabilité complète des données d'entraînement, de validation et de test. La CNIL et les autorités nationales des États membres devront pouvoir auditer les chaînes de traitement, ce qui suppose de savoir physiquement ou se trouvent les données à chaque instant.

Ensuite, l'arrêt Schrems II de la Cour de justice de l'Union européenne, confirme et durci en 2024 et 2025, considere que les transferts vers les États-Unis ne bénéficient pas automatiquement d'un niveau de protection équivalent. Le mécanisme du Data Privacy Framework (DPF) est sous pression depuis l'arrivée de la nouvelle administration américaine en janvier 2025, et les autorités européennes attendent des garanties supplémentaires.

Enfin, le trilogue Digital Omnibus conclu le 28 avril 2026 réduit la flexibilité des Standard Contractual Clauses (SCC) sur lesquelles s'appuyaient encore beaucoup de PME françaises pour leurs contrats avec OpenAI, Anthropic ou les hyperscalers américains. Les SCC restent valides mais doivent désormais être complètes par une Transfer Impact Assessment (TIA) documentée et des mesures techniques additionnelles vérifiables (chiffrement, pseudonymisation, hébergement en zone EU avec contrôle d'accès nominatif).

Ce qui change concrètement avec le trilogue Digital Omnibus du 28 avril 2026

Le texte définitif sera publie au Journal officiel de l'UE en juin 2026 et applicable au 1er décembre 2026, mais les contours sont désormais figes. Voici les cinq changements directement opérationnels pour une PME française.

1. Transfer Impact Assessment obligatoire pour tout traitement IA cross-Atlantic

Toute PME qui utilise un modèle d'IA dont les données d'entraînement, d'inférence ou de fine-tuning transitent par les États-Unis devra produire une TIA documentée, datée et signée par le DPO. Cette TIA evalue le risque concret pose par la législation américaine sur les données concernées (notamment le FISA Section 702 et l'Exécutive Order 12333). Sans TIA, le transfert est réputé illégal des le 1er décembre 2026, même avec les SCC les plus récentes.

2. Catégorisation renforcée des données IA

Le Digital Omnibus introduit la notion de données IA stratégiques : données d'entraînement portant sur la santé, le recrutement, le scoring crédit, la justice, l'éducation, et les infrastructures critiques. Pour ces catégories, l'hébergement doit impérativement se faire dans un État membre de l'UE ou dans un pays bénéficiant d'une décision d'adéquation pleine (Suisse, Royaume-Uni avec réservés, Canada, Japon, Corée du Sud). Les États-Unis sont explicitement exclus de cette liste pour les données IA stratégiques.

3. Documentation Annexe IV enrichie

L'Annexe IV de l'EU AI Act, qui documente la conformité d'un système IA à haut risque, doit désormais inclure une cartographie des flux transfrontaliers : pays de stockage des données brutes, pays d'entraînement, pays d'inférence, pays de monitoring, et pays de stockage des logs. Cette cartographie doit être mise à jour à chaque changement de fournisseur et conservée 10 ans.

4. Droit a l'explication renforce pour les utilisateurs

Les utilisateurs finaux d'un système IA à haut risque ont désormais le droit d'obtenir, en moins de 30 jours, une information claire sur la localisation de leurs données personnelles traitées par le système IA. Une PME qui ne peut pas répondre à cette demande s'expose à une plainte CNIL et à une amende qui cumule RGPD et EU AI Act.

5. Sanctions cumulables RGPD et EU AI Act

Le Digital Omnibus clarifie un point qui restait flou : une violation de la souveraineté des données IA peut être sanctionnée cumulativement au titre du RGPD (jusqu'à 4 % du CA mondial) et de l'EU AI Act (jusqu'à 7 % du CA mondial). Le plafond cumule peut donc atteindre 11 % du chiffre d'affaires mondial pour une infraction grave et répétée.

RGPD + EU AI Act + Schrems II : la triple exigence pour les PME françaises

Beaucoup de dirigeants de PME pensent encore que le RGPD est le seul cadre applicable à leurs données. C'est une erreur coûteuse en 2026. Trois textes se superposent et forment un trépied qu'il faut respecter dans son intégralité.

Cadre	Période	Champ d'application	Exigence clé souveraineté	Sanction max
RGPD	Depuis 25 mai 2018	Toute donnée personnelle	Transfert hors UE encadre par adéquation, BCR ou SCC + TIA	4 % CA mondial
Schrems II (CJUE)	Depuis 16 juillet 2020	Transferts vers US et pays sans adéquation	Mesures techniques additionnelles obligatoires	Invalidation du transfert
EU AI Act haut risque	2 août 2026	IA à haut risque (Annexe III)	Traçabilité données + Annexe IV + flux documentes	7 % CA mondial
Digital Omnibus	1er décembre 2026	Données IA stratégiques	Hébergement UE obligatoire pour catégories sensibles	Cumul RGPD + EU AI Act

La conséquence opérationnelle est simple : une PME française qui utilise ChatGPT Enterprise avec des données de recrutement (catégorie haut risque Annexe III, point 4 de l'EU AI Act) doit en 2026 vérifier simultanément qu'OpenAI respecte les SCC mises à jour, dispose d'une TIA acceptable, hébergé les données dans une zone Europe documentée, et fournit une Annexe IV utilisable pour l'audit. Aujourd'hui, peu de fournisseurs IA américains cochent les quatre cases.

Tableau comparatif : ou héberger vos données IA en 2026 (5 options)

Voici les cinq options réalistes pour une PME française, classées du plus souverain au plus risque, avec impact budget réel pour une PME de 25 salariés traitant 5 à 10 systèmes IA.

Option	Souveraineté	Coût annuel typique	Compatible données IA stratégiques ?	Effort interne
Cloud souverain français (OVHcloud, Outscale, Scaleway)	Maximale	1 500 à 5 000 EUR	Oui	Moyen (migration)
Hyperscaler avec région EU + chiffrement client (AWS Frankfurt, Azure France, GCP Paris)	Forte	2 000 à 8 000 EUR	Oui avec TIA + chiffrement	Moyen
SaaS IA européen (Mistral, LightOn, Aleph Alpha)	Forte	500 à 3 000 EUR	Oui	Faible
SaaS IA américain avec engagement EU data residency (OpenAI Enterprise EU, Anthropic EU)	Moyenne	1 000 à 6 000 EUR	Oui avec TIA documentée	Moyen (vérification SCC + TIA)
SaaS IA grand public (ChatGPT, Claude, Gemini sans contrat entreprise)	Faible	240 à 600 EUR par utilisateur	Non	Faible mais risque élevé

Le piege le plus fréquent que nous voyons chez les PME françaises est la quatrième ligne : utiliser un SaaS IA américain même avec engagement de data residency Europe ne suffit pas si la TIA n'est pas documentée et si les SCC ne sont pas à jour avec les précisions du Digital Omnibus. Plusieurs DPO de PME que nous accompagnons découvrent en avril 2026 que leurs équipes utilisent ChatGPT grand public sur des données clients, ce qui constitue une violation directe RGPD avant même de parler d'EU AI Act.

Les 4 erreurs souveraineté que font les PME françaises en 2026

Erreur 1 : confondre région cloud et juridiction des données

Choisir la région "Frankfurt" sur AWS ou "France Central" sur Azure ne suffit pas. Si le compte cloud est sous contrat avec une entité américaine et que les clés de chiffrement ne sont pas contrôlées par le client (BYOK ou Hold Your Own Key), la juridiction américaine peut être invoquée via le Cloud Act, indifféremment de la région physique. La regle d'or est : région EU + clés client EU + contrat avec une entité EU + droit local EU.

Erreur 2 : ignorer les sous-traitants en cascade

Beaucoup de SaaS IA européens déclarent un hébergement Europe mais sous-traitent l'inférence à des hyperscalers américains. Cette cascade est légale à condition que chaque maillon soit documente dans le registre des traitements RGPD et dans l'Annexe IV EU AI Act. La cartographie complète des sous-traitants est l'un des points sur lesquels les contrôleurs CNIL passent le plus de temps.

Erreur 3 : ne pas distinguer entraînement, fine-tuning et inférence

Une donnée peut être soumise à un régime different à chaque étape de son cycle de vie. Une donnée de recrutement peut être stockée en France pour le RH, transférée aux États-Unis pour fine-tuner un modèle de scoring, puis utilisée en inférence depuis l'Europe. Chaque flux est un transfert au sens RGPD et doit être encadre individuellement. Beaucoup de PME que nous auditons n'avaient identifie que le flux d'inférence et avaient oublie le fine-tuning.

Erreur 4 : reposer uniquement sur les SCC sans TIA

Avant le Digital Omnibus, les Standard Contractual Clauses suffisaient. À partir du 1er décembre 2026, sans Transfer Impact Assessment, elles ne suffiront plus pour les données IA stratégiques. La TIA est un document de 5 à 15 pages qui évalue le risque légal du pays de destination, les mesures techniques en place et la probabilité d'accès par les autorités étrangères. Elle doit être signée par le DPO et mise à jour annuellement.

Plan d'action souveraineté IA en 5 étapes pour PME 25 à 250 salariés

Voici une feuille de route pragmatique pour qu'une PME française type soit en regle au 1er décembre 2026, sans paniquer et sans surcoût disproportionné.

Étape 1 (mai a juin 2026) : cartographier vos systèmes IA. Lister tous les outils utilisés par les équipes (ChatGPT, Copilot, Notion AI, Hubspot AI, etc.) et identifier ceux qui traitent des données personnelles. Beaucoup de PME découvrent qu'elles ont 15 à 30 outils IA en circulation, dont 60 % en shadow IT.

Étape 2 (juin 2026) : classifier en haut risque ou non. Croiser chaque système avec l'Annexe III de l'EU AI Act. Recrutement, évaluation des employes, scoring crédit, santé, éducation, justice, infrastructures critiques sont haut risque. Marketing, génération de contenu interne, support client basique ne le sont pas. Le diagnostic MaConformite automatise cette classification en 3 minutes.

Étape 3 (juin a juillet 2026) : auditer la souveraineté des systèmes haut risque. Pour chaque système haut risque, documenter région cloud, juridiction du contrat, contrôle des clés, sous-traitants en cascade. Marquer en rouge ceux qui n'ont ni région EU vérifiée ni TIA. Ce sont vos urgences.

Étape 4 (juillet 2026) : choisir entre migration ou TIA. Pour chaque système rouge, deux options. Migration vers une alternative européenne (Mistral pour génération de contenu, Hugging Face Inférence Endpoints en Europe pour modèles open source, OVHcloud pour hébergement custom). Ou TIA documentée + chiffrement renforce + mise à jour des SCC. La migration est souvent plus simple que prévu pour les usages courants.

Étape 5 (août a novembre 2026) : documenter dans l'Annexe IV et former les équipes. Toutes les décisions des étapes 1 à 4 doivent être documentées dans l'Annexe IV de chaque système IA haut risque. Former les équipes opérationnelles aux 3 regles d'or souveraineté : ne jamais coller de données clients dans un outil grand public, toujours vérifier la région cloud, signaler tout nouvel outil IA au DPO.

Pourquoi MaConformite simplifie la conformité souveraineté pour les PME françaises

La conformité souveraineté IA est un sujet transversal qui touche le DPO, le DSI, le RH, le RSSI et le métier. C'est aussi un sujet qui évolue toutes les 6 à 12 semaines au rythme des arrêts de la CJUE et des actes delegues européens. Pour une PME de 25 à 250 salariés qui n'a pas un département juridique dédié, suivre seul cette matière est irréaliste.

MaConformite couvre les 6 secteurs ou la souveraineté est critique : Santé, RH, Finance, Industrie, Éducation et Transport. La plateforme genere automatiquement la cartographie des flux transfrontaliers, les TIA pre-remplies, les Annexes IV avec section souveraineté, et les modeles de courriers pour les sous-traitants. Les nouveaux contenus du Digital Omnibus seront intégrés avant le 1er juin 2026, en amont de l'application au 1er décembre 2026.

Foire aux questions sur la souveraineté des données IA en 2026

Une PME française peut-elle continuer à utiliser ChatGPT en 2026 ?

Oui pour les usages non-stratégiques (génération de contenu marketing, brainstorming) avec un compte ChatGPT Team ou Enterprise et l'option "ne pas entraîner sur mes données" activée. Non pour les données IA stratégiques (recrutement, santé, finance) sans contrat entreprise spécifique avec engagement de data residency Europe et TIA documentée. La regle de prudence : pour toute donnée personnelle de client ou de salarié, basculer vers Mistral, Anthropic Claude Enterprise EU ou OpenAI Enterprise avec engagement EU.

Le Data Privacy Framework (DPF) suffit-il pour les transferts vers les États-Unis ?

Le DPF reste valide en 2026 mais est sous pression juridique. Plusieurs ONG ont introduit des recours en annulation devant la CJUE, et certains observateurs anticipent un Schrems III a horizon 2027 ou 2028. Pour les données IA stratégiques, le Digital Omnibus du 28 avril 2026 considere que le DPF seul ne suffit plus et exigé soit l'hébergement en UE, soit une TIA renforcée.

Combien coute la mise en conformité souveraineté pour une PME de 25 salariés ?

Pour une PME de 25 salaries avec 5 systèmes IA dont 2 haut risque, le budget réaliste 2026 est de 2 000 à 5 000 EUR par an en incluant la migration vers des alternatives européennes pour les usages stratégiques, la documentation TIA pour les autres, et un outil de gestion de la conformité type MaConformite. Vous pouvez vérifier votre budget personnalise avec notre étude TCO 3 ans.

Que faire si mon CRM ou mon outil RH integre de l'IA américaine sans m'en avertir ?

C'est l'un des cas les plus fréquents en 2026. Hubspot, Salesforce, Zendesk, Notion ont tous active des fonctionnalités IA basées sur OpenAI ou Anthropic. La regle est de demander à votre fournisseur SaaS, par écrit, la cartographie des sous-traitants IA et la TIA correspondante. S'il ne peut pas fournir, vous avez deux options : désactiver les fonctionnalités IA jusqu'à remediation, ou changer de fournisseur. Documentez la décision dans votre registre RGPD.

Le trilogue Digital Omnibus s'applique-t-il aux PME de moins de 50 salariés ?

Oui pour les principes généraux. La Commission européenne a prévu des allégements de procédure pour les TPE et PME de moins de 50 salariés, mais l'obligation de souveraineté pour les données IA stratégiques s'applique sans seuil. Une TPE qui utilise un système de scoring crédit IA est tenue aux mêmes regles d'hébergement et de TIA qu'une grande entreprise. Le Digital Omnibus prévoit en revanche des modèles de TIA simplifies pour les PME, qui seront publies par la CNIL d'ici novembre 2026.

Conclusion : la souveraineté IA n'est plus un sujet IT mais un sujet board en 2026

Le 28 avril 2026 a marque un point de bascule. La souveraineté des données IA n'est plus un sujet de spécialistes RGPD ni un débat philosophique sur l'autonomie européenne. C'est une exigence juridique chiffrée, sanctionnable à hauteur de 11 % du CA mondial cumule, et applicable à toutes les PME françaises qui utilisent l'IA pour des usages à haut risque.

La bonne nouvelle est que les outils existent. Les clouds souverains français et européens ont mature en 2024 et 2025, les SaaS IA européens (Mistral, LightOn, Aleph Alpha) sont désormais compétitifs, et les PME ont enfin des alternatives crédibles à la dépendance aux hyperscalers américains. La fenêtre d'action court de mai a novembre 2026, soit 7 mois pour cartographier, classifier, migrer et documenter.

Si vous voulez savoir en 3 minutes ou se trouvent vos données IA aujourd'hui et quels systèmes vous exposent au Digital Omnibus, le diagnostic MaConformite est gratuit : commencer le diagnostic. Vous recevrez par émail votre cartographie souveraineté priorisee et la liste des actions à engager avant le 1er décembre 2026.

Questions fréquentes — Souveraineté données IA

Qu'est-ce que la souveraineté des données IA pour une PME française ?

La souveraineté des données IA désigne la capacité d'une entreprise à contrôler où ses données sont stockées, comment elles sont utilisées pour entraîner des modèles, et qui y a accès. Pour une PME française, cela concerne notamment l'utilisation de services cloud américains (AWS, Azure, GCP) pour des données sensibles, et les clauses des contrats SaaS IA sur la réutilisation des données.

L'utilisation de ChatGPT avec des données d'entreprise pose-t-elle un problème de conformité ?

Oui, potentiellement. Si des données personnelles de clients ou de salariés sont envoyées à OpenAI sans base légale RGPD adéquate, cela constitue un transfert de données hors UE non conforme. La CNIL a émis des recommandations sur l'usage de l'IA générative en entreprise. Pour les données sensibles, des alternatives en self-hosting ou avec des opérateurs européens certifiés sont préférables.

Le Digital Omnibus a-t-il modifié les règles de souveraineté des données IA ?

L'accord de mai 2026 sur le Digital Omnibus simplifie certaines obligations pour les PME (notamment le Data Act et le règlement sur la gouvernance des données), mais ne modifie pas les règles fondamentales du RGPD sur les transferts internationaux. Les PME restent soumises aux conditions de transfert vers les États-Unis (SCCs, Privacy Framework).

Quels fournisseurs cloud sont recommandés pour une PME soucieuse de souveraineté ?

Pour les données les plus sensibles, les solutions certifiées SecNumCloud (OVHcloud, Scaleway, Cloud Temple) offrent le plus haut niveau de garantie de droit français. Pour les usages courants avec données moins sensibles, les hyperscalers américains avec hébergement UE et clauses contractuelles standard restent utilisables, sous réserve d'une AIPD pour les traitements à risque.

Comment vérifier si un logiciel IA SaaS utilise vos données pour entraîner ses modèles ?

Lire les conditions générales et la politique de confidentialité du fournisseur (section sur l'utilisation des données pour l'amélioration du service). Vérifier si le contrat offre une option "opt-out" pour l'entraînement des modèles. Pour les fournisseurs soumis à l'AI Act comme fournisseurs, leurs contrats doivent désormais préciser les usages des données d'entraînement.