Trois options d'infrastructure, une qualification souvent mal comprise et une intégration au système d'information qui décide du reste. Voici comment une entreprise de taille intermédiaire arbitre en 2026, sans confondre localisation des données et immunité juridique.
Le choix d'une solution d'IA souveraine se décide en deux temps. D'abord l'infrastructure, avec trois options pour une ETI : l'exécution sur vos propres serveurs, l'hébergement chez un prestataire qualifié SecNumCloud, ou le service en ligne classique. Ensuite la couche logicielle, qui se juge sur la réversibilité, l'intégration au système d'information et la traçabilité.
La qualification SecNumCloud porte sur l'hébergeur, jamais sur l'éditeur du logiciel qui tourne dessus. L'ANSSI précise d'ailleurs que cette qualification ne préjuge pas du niveau de sécurité des services numériques portés par l'offre cloud qualifiée. Héberger une plateforme d'IA chez un prestataire qualifié ne rend donc pas cette plateforme conforme par ricochet.
BADIS AI édite le logiciel. La suite se déploie sur les serveurs de votre organisation ou sur l'hébergeur que vous retenez, y compris qualifié. Le périmètre couvre l'assistant documentaire, l'extraction documentaire, les agents conversationnels et la supervision.
La plupart des malentendus contractuels viennent d'un glissement entre ces trois questions, qui reçoivent des réponses différentes.
Où se trouvent physiquement les serveurs, les sauvegardes, les journaux et les clés. Un engagement d'hébergement en France répond à cette question et à celle-là seulement. La localisation dans l'Union reste un prérequis, sans suffire à écarter le droit extra-européen.
Le prestataire, sa maison mère et les entités de son groupe peuvent-ils être contraints par une autorité étrangère. La version 3.2 du référentiel SecNumCloud, publiée en mars 2022, a précisément intégré des critères de protection vis-à-vis du droit extra-européen, portant notamment sur l'implantation et la structure capitalistique.
Processeurs, systèmes d'exploitation, bases de données, couches d'orchestration. Aucune offre, qualifiée ou non, ne maîtrise aujourd'hui l'intégralité de cette chaîne en Europe. Le directeur général de l'ANSSI l'a rappelé publiquement en janvier 2026, une qualification ne signifie pas l'absence de dépendance.
Une direction des systèmes d'information qui pose les trois questions séparément obtient des réponses exploitables. Une direction qui demande simplement si l'offre est souveraine reçoit un oui commercial dont la portée reste indéterminée.
Le choix se fait sur la sensibilité des données et sur la capacité d'exploitation interne, pas sur la notoriété d'un fournisseur.
| Option | Ce qu'elle apporte | Ce qu'elle exige | Pertinente quand |
|---|---|---|---|
| Sur vos serveurs | Contrôle direct du chemin de la donnée, fonctionnement possible en réseau fermé, absence de coût à la requête. | Capacité matérielle de calcul, équipe d'exploitation, gestion du cycle de vie des modèles. | Les données relèvent d'un cadre strict et vos volumes justifient l'amortissement du matériel. |
| Hébergeur qualifié SecNumCloud | Exploitation de l'infrastructure déléguée, localisation dans l'Union, critères de protection face au droit extra-européen. | Coût récurrent, dépendance contractuelle, vérification que la qualification couvre bien le périmètre utilisé. | Vous n'exploitez pas de serveurs de calcul en interne et vos exigences de conformité excluent un service ordinaire. |
| Service en ligne classique | Mise en route immédiate, aucun investissement matériel, accès aux modèles les plus récents. | Acceptation que les requêtes sortent du système d'information, contrat de sous-traitance et garanties de transfert. | Les usages ne portent ni données personnelles ni documentation sensible ou stratégique. |
Pour les usages qui exposent des données personnelles ou de la documentation sensible, notamment en génération augmentée par récupération, la CNIL juge généralement plus opportun et plus sécurisé de privilégier le déploiement sur site. La troisième option sort alors du champ. Les critères détaillés de sélection d'une solution et les clauses à porter au cahier des charges figurent sur notre page IA d'entreprise sécurisée on premise.
Le sujet mérite une lecture exacte, car la qualification est régulièrement présentée comme une garantie absolue qu'elle ne prétend pas être.
La liste des offres qualifiées évolue, et une page commerciale vieillit mal sur ce point. Consultez la liste officielle des produits et services qualifiés publiée par l'ANSSI plutôt qu'un comparatif daté, y compris celui-ci.
La question qui revient le plus souvent en avant-vente. Une plateforme d'IA souveraine s'intègre sans refonte, à condition de savoir où se situe l'effort réel.
La connexion aux progiciels de gestion, aux outils de relation client et aux espaces documentaires passe par des interfaces standardisées. Les applications métier existantes restent en place et ne sont pas modifiées.
Le travail réel commence ici. Identifier les référentiels qui font foi, écarter les copies obsolètes et fixer la fréquence de mise à jour de l'index conditionne la qualité des réponses bien davantage que le choix du modèle.
Les droits existants sont repris depuis l'annuaire d'entreprise et appliqués au moment de la récupération des documents. Un collaborateur ne voit jamais passer dans une réponse un document auquel il n'a pas accès.
Une mise en production progressive, cas d'usage après cas d'usage, limite les perturbations et permet de mesurer la valeur avant d'élargir. La recherche documentaire et la synthèse de rapports constituent les entrées les plus fréquentes.
Sur les délais, BADIS AI annonce un Data Assistant en deux à quatre semaines et un projet complet sur mesure en trois à six mois. Ces ordres de grandeur supposent des sources documentaires identifiées et des habilitations exploitables. Quand la cartographie reste à faire, le calendrier se joue là.
Un historique de conversation ne constitue pas une piste d'audit. Voici les six champs qu'un journal doit enregistrer pour chaque réponse produite.
Ces éléments servent autant au contrôle interne qu'à la démonstration de conformité au règlement européen sur l'IA, dont les obligations et le calendrier sont détaillés sur notre page conformité AI Act. La supervision continue de ces journaux relève de BADIS Control Center.
Le classement des modèles à poids ouverts change plusieurs fois par an. Un document qui en nomme un devient caduc avant la fin du projet.
La licence de la version exacte que vous utiliserez, car l'ouverture se décide modèle par modèle et un éditeur ouvert hier peut publier une version fermée demain. La possibilité de récupérer les poids et de les exécuter sur votre matériel. La qualité mesurée en français, sur vos propres documents, plutôt que sur un classement public.
Le critère qui protège le mieux un investissement reste la capacité de l'éditeur à changer de modèle sans réécrire l'application. Une architecture correcte isole le moteur d'inférence derrière une interface stable. Le modèle devient alors un paramètre d'exploitation, pas une décision structurante.
Sur le marché francophone, plusieurs familles de modèles à poids ouverts conviennent à un déploiement local, avec des équilibres différents entre qualité en français, empreinte matérielle et conditions de licence. Une comparaison conduite sur vos documents, avec vos questions métier, tranche en quelques jours. Un classement générique, lui, ne tranche rien.
Sept critères pour arbitrer une shortlist et sept clauses à porter au cahier des clauses techniques, utilisables telles quelles pour consulter plusieurs fournisseurs.
Hébergement, modèle à poids ouverts, RAG local et journalisation auditable, la méthode complète de mise en place d'un copilote interne.
Un échange court permet de qualifier la maturité de vos données, de hiérarchiser les cas d'usage et d'estimer le périmètre matériel nécessaire.
Les affirmations réglementaires de cette page renvoient aux documents suivants.
La question se tranche par la sensibilité des données et par la capacité d'exploitation interne, pas par un nom de produit. Trois options existent : l'exécution sur les serveurs de l'entreprise, l'hébergement chez un prestataire qualifié SecNumCloud, et le service en ligne classique. Les deux premières conviennent aux données que rien n'autorise à exposer à un tiers. La couche logicielle, elle, se choisit sur des critères de réversibilité, d'intégration au système d'information et de traçabilité.
La qualification SecNumCloud atteste qu'une offre cloud répond à un référentiel exigeant de l'ANSSI, dont la version 3.2 de mars 2022 a ajouté des critères de protection vis-à-vis du droit extra-européen. Elle apporte donc une réduction du risque d'accès par une autorité non européenne et une localisation des données dans l'Union. Elle ne constitue pas une garantie absolue. L'ANSSI précise elle-même que la qualification ne préjuge pas du niveau de sécurité des services numériques portés par ces offres, et que les dépendances technologiques envers des composants non européens subsistent.
L'intégration s'opère par des interfaces documentées et des connecteurs vers les outils déjà en place, sans refonte du progiciel de gestion ni du système de gestion de la relation client. Le travail réel porte ailleurs : la cartographie des sources documentaires, la reprise des habilitations depuis l'annuaire d'entreprise et le paramétrage de la journalisation. Un déploiement par cas d'usage successifs limite les perturbations sur l'activité.
Par une journalisation qui enregistre, pour chaque réponse produite, l'auteur de la requête, son horodatage, les documents effectivement récupérés avec leur version, le modèle et sa version, ainsi que le profil d'habilitation appliqué au filtrage. Le journal doit être exportable, doté d'une durée de conservation explicite, et consultable par des rôles identifiés. Une traçabilité qui se limite à l'historique de conversation ne permet aucun audit sérieux.
Mieux vaut inscrire des critères qu'un nom de modèle, car le classement change plusieurs fois par an et un cahier des charges nominatif devient caduc avant la fin du projet. Les critères qui tiennent sont la licence de la version exacte utilisée, la possibilité de récupérer les poids et de les exécuter sur votre matériel, la qualité mesurée en français sur vos propres documents, et la capacité de l'éditeur à changer de modèle sans réécrire l'application.
Le déploiement sur les serveurs de l'entreprise offre le contrôle le plus direct et convient aux organisations disposant d'une équipe d'exploitation et d'une capacité matérielle. L'hébergement chez un prestataire qualifié transfère l'exploitation de l'infrastructure au prestataire, au prix d'un coût récurrent et d'une dépendance contractuelle. Le critère décisif reste la capacité interne à exploiter des serveurs de calcul dans la durée.
BADIS AI annonce un Data Assistant en deux à quatre semaines et un projet complet sur mesure en trois à six mois. Ces ordres de grandeur supposent que les sources documentaires soient identifiées et accessibles, et que les habilitations soient exploitables depuis l'annuaire. La qualité des données disponibles reste le premier facteur de variation.
Décrivez-nous vos contraintes de conformité, vos sources documentaires et votre capacité d'exploitation. Nous vous dirons quelle option tient, laquelle ne tient pas, et ce que chacune implique pour vos équipes.