Souveraineté · 14 août 2026

Le 2 août 2026, l’article 50 de l’AI Act a rendu obligatoire, pour un chatbot ou un agent qui parle à des personnes, d’indiquer que l’interlocuteur est une IA, sauf si c’est évident. Le même jour, le Bureau de l’IA a pu ouvrir des enquêtes sur les fournisseurs de modèles à usage général. Beaucoup de dirigeants en ont conclu, trop vite, que « l’Europe a réglé le cloud américain ». Non. La transparence n’est pas la souveraineté. Un bandeau honnête sur un widget dont les prompts partent aux États-Unis est conforme à l’article 50. Il n’est pas un choix de localisation des données. Les deux sujets se recouvrent dans la tête du client. Ils ne se recouvrent pas dans le texte.

Ce que l’AI Act règle, et ce qu’il ne règle pas

L’AI Act impose au déployeur d’informer, de marquer les contenus synthétiques (avec un délai au 2 décembre 2026 pour le marquage machine des systèmes déjà sur le marché avant le 2 août), d’étiqueter les deepfakes professionnels, de garantir une littératie minimale (article 4, depuis le 2 février 2025). Les systèmes à haut risque de l’annexe III sont reportés au 2 décembre 2027; l’annexe I embarquée au 2 août 2028 (règlement UE 2026/1744, en vigueur le 27 juillet 2026). Les amendes transparence vont jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial; les pratiques interdites jusqu’à 35 millions ou 7 %.

Rien dans ce calendrier n’oblige une PME à héberger son modèle en France. Rien n’interdit GPT, Claude ou un équivalent, sous réserve des autres droits (RGPD, secret des affaires, contrats clients). Le cloud US n’est pas devenu illégal le 2 août. Il est devenu, pour le déployeur, un choix qu’il faut pouvoir expliquer: à qui, pour quelles données, avec quelle information de l’utilisateur.

Le 13 août 2026, OpenAI et Cerebras ont annoncé GPT-5.6 Sol Ultrafast (jusqu’à 750 jetons de sortie par seconde, preview sur invitation). La presse a cité 5 dollars par million de jetons en entrée et 30 dollars en sortie pour Standard/Fast. Cybernecs n’a pas accès à Ultrafast. La vitesse n’emporte pas vos dossiers dans un régime juridique français. Elle les emporte plus vite.

Cloud France, cloud US, box: trois architectures, un rôle de déployeur

Dans les trois cas, si vous mettez l’agent en face d’un humain, vous êtes déployeur. L’affichage de l’article 50 vous suit. Ce qui change, c’est le trajet de la donnée et votre capacité à le couper.

Cloud US. Latence souvent bonne, modèles récents, facturation à l’usage. Contrepartie: sous-traitant hors UE, évolution unilatérale des conditions, surface d’enquête et de saisine que vous ne maîtrisez pas. Acceptable pour des flux peu sensibles, mal cadré pour un dossier salarié, un plan, un secret de fabrication.

Cloud France / UE. Même logique d’API, juridiction plus proche, encore un sous-traitant. Utile quand vous voulez de la charge élastique sans tout opérer. Ce n’est pas du on-premise. Un incident chez l’hébergeur reste un incident chez vous aux yeux du client.

Box locale. Chez Cybernecs, la Synapse Box (Synapse OS) fait tourner l’agent dans vos murs. Vous gagnez le contrôle du réseau, des logs, de l’arrêt d’urgence. Vous perdez la course au dernier modèle du mois. Pour une TPE, cet échange est souvent le bon: un agent assez bon, sur un corpus nettoyé, bat un modèle de pointe branché sur des PDF en vrac.

Cinq décisions à prendre sur vos flux, pas sur une keynote

• Classer les données. Public, interne, confidentiel, personnel. Seul le confidentiel et le personnel justifient, en général, d’écarter un cloud US. Un nettoyage RAG évite d’envoyer « par erreur » un répertoire entier.
• Séparer les agents. FAQ publique en cloud, dossier d’affaire en local. Un seul agent omniscient est un choix d’architecture paresseux, pas un choix de souveraineté.
• Écrire l’information utilisateur. Où que ça tourne, le bandeau « vous parlez à une IA » est dû. Ajoutez, si c’est vrai, une phrase sur le traitement des données (reste dans l’entreprise / traité par un sous-traitant nommé). Ne promettez pas « vos données ne quittent pas la France » si un outil d’appoint part ailleurs.
• Mesurer le coût et la dépendance. API à 30 dollars le million de jetons en sortie, boucles qui s’allongent: le cloud performant peut coûter plus cher qu’une box amortie, sans parler du risque de coupure de compte.
• Prévoir l’incident. Qui coupe, où sont les logs, que dit-on au client. La cybersécurité de l’IA ne change pas de nature entre cloud et box. Le délai pour débrancher, lui, change.

Souveraineté: un mot à utiliser avec précision

Patrick Dajan Mouelle, dirigeant de Cybernecs, évite le slogan. Souveraineté, pour une PME, veut dire: savoir quel flux sort, pouvoir l’arrêter, n’être pas otage d’une invitation-only ni d’un changement de tarif du jour au lendemain. Ce n’est pas « aucun bit ne traverse une frontière », slogan rarement tenu dès qu’on ouvre la messagerie.

Les solutions IA pour TPE et PME que nous déployons partent de ce tri. Cloud France quand il accélère un usage public. Synapse Box quand le métier ne peut pas se permettre une fuite ou une latence de juridiction. L’AI Act, dans les deux cas, s’applique à l’affichage. Il ne choisit pas pour vous.

Pour arbitrer sur un cas réel

Apportez trois usages (par exemple: chat site, assistant devis, recherche documentaire interne). Nous dirons lesquels tiennent en cloud, lesquels doivent rester en local, et quels libellés d’information collent à la réalité. Contact: cybernecs.com/contact. Transparence et souveraineté se conçoivent ensemble. Elles ne se confondent pas.

Sources: règlement sur l’intelligence artificielle (AI Act), règlement UE 2026/1744 (Digital Omnibus), Touteleurope, L’Express, Cerebras, TechCrunch.