Fournisseurs d'IA en France et confidentialité des données (2026) : hébergement de modèles, passerelles, observabilité

Tu construis quelque chose avec des modèles de langage, et tes données ne peuvent pas quitter l'Europe, ou ne doivent pas se retrouver à portée des autorités américaines. Il te faut donc un fournisseur d'IA en France pour héberger des modèles avec une confidentialité stricte des données, et sans doute une passerelle, une couche d'orchestration et un moyen de suivre l'usage qui respectent les mêmes règles. Ce guide recense les options françaises et européennes qui existent vraiment fin 2026, ce que chacune promet réellement (avec des liens vers leur propre documentation) et les trous qui restent.

La réponse courte

Pour une confidentialité stricte en France, les fournisseurs d'IA les plus sûrs sont des entreprises françaises qui font tourner l'inférence en France et ne conservent rien. Côté API de modèles : Mistral AI (hébergement UE par défaut, zéro conservation sur demande), Scaleway Generative APIs (Paris, zéro conservation par défaut) et OVHcloud AI Endpoints. S'il te faut du SecNumCloud, regarde Cloud Temple ou OUTSCALE.

La suite explique comment vérifier ces promesses toi-même, et couvre les couches autour du modèle : passerelles, plateformes d'agents et observabilité.

Comment évaluer un fournisseur d'IA pour la confidentialité

« Hébergé en Europe » est la promesse la plus courante, et la moins utile. Quatre questions comptent davantage. Notre guide sur les agents IA souverains, le RGPD et le CLOUD Act détaille le cadre juridique ; voici la version pratique.

1. La nationalité de l'entreprise, pas seulement le lieu des données

Le CLOUD Act américain permet aux autorités des États-Unis d'obliger un fournisseur américain à livrer les données en sa « possession, garde ou contrôle », où qu'elles soient stockées (ministère de la Justice américain). Une région parisienne exploitée par une entreprise américaine, ou par la filiale européenne d'une telle entreprise, reste exposée. Si tu veux une IA sans exposition au CLOUD Act, l'entreprise qui fait l'inférence, et chaque entreprise sur le chemin de la requête (passerelle, journalisation, hébergeur), doit échapper à la juridiction américaine.

2. Où l'inférence tourne vraiment

Stockage et inférence, ce n'est pas la même chose. Un fournisseur peut garder tes fichiers en France et envoyer chaque prompt à un modèle aux États-Unis. Demande, pour chaque modèle et chaque solution de repli : dans quel pays cette requête est-elle traitée, et peut-elle un jour être routée ailleurs ?

3. Conservation des données et entraînement

Même un fournisseur européen peut garder les prompts pour détecter les abus, ou s'en servir pour améliorer ses modèles. Cherche trois choses par écrit : combien de temps les entrées et sorties sont gardées, si elles servent à l'entraînement, et qui peut les lire. Le zéro conservation des données (ZDR, zero data retention) veut dire que le fournisseur ne garde rien une fois la réponse renvoyée. Certains l'appliquent par défaut, d'autres seulement sur demande.

4. Les certifications

• SecNumCloud est la qualification de l'ANSSI pour les fournisseurs de cloud. La version 3.2 ajoute une protection contre les lois extra-européennes : siège dans l'UE, limites sur les actionnaires non européens, aucun accès au service depuis l'extérieur de l'UE (ANSSI). C'est la référence française la plus solide pour dire « pas d'exposition au CLOUD Act ».
• HDS (hébergeur de données de santé) est la certification obligatoire pour héberger des données de santé.
• La conformité RGPD et SOC 2 sont utiles, mais ne disent rien de la juridiction étrangère.

Règle simple : la qualification doit couvrir le service précis que tu utilises, pas seulement une autre plateforme du même fournisseur.

Les fabricants de modèles et API d'inférence en France

Ce sont eux qui font tourner le modèle et voient tes prompts. C'est le choix le plus important.

• Mistral AI (Paris) fabrique ses propres modèles et les sert via son API. Son centre d'aide indique que, par défaut, les données sont hébergées dans l'Union européenne, et aux États-Unis seulement si tu utilises explicitement le point d'accès américain. Il précise aussi que certaines fonctions peuvent envoyer temporairement des données hors de l'UE (centre d'aide Mistral). Le zéro conservation est proposé aux organisations éligibles sur les offres payantes, sur demande et après examen, pour les appels sans état comme les complétions de chat, les embeddings ou l'OCR ; les produits avec état comme Agents, Conversations ou les fichiers en sont exclus (documentation Mistral). Son avenant de traitement des données (DPA) autorise aussi l'entraînement sur les données clients sauf si tu t'y opposes : vérifie ce réglage (DPA Mistral).
• Scaleway Generative APIs (hébergeur cloud français) sert des modèles ouverts via une API compatible OpenAI (Scaleway). Sa page sur la confidentialité indique une politique de zéro conservation par défaut, que les prompts ne servent pas à l'entraînement et que les données peuvent être stockées à Paris. Le contenu n'est gardé, jusqu'à deux semaines, que si une requête provoque une erreur ou semble malveillante (documentation Scaleway).
• OVHcloud AI Endpoints (hébergeur cloud français) propose des LLM, des embeddings, des modèles audio et vision derrière une API compatible OpenAI. Sa documentation situe l'infrastructure à Gravelines, en France, et indique que les données ne sont ni stockées ni partagées pendant ou après l'usage du modèle (documentation OVHcloud). OVHcloud détient une qualification SecNumCloud pour une autre plateforme (OVHcloud) ; nous n'avons rien trouvé indiquant qu'AI Endpoints est couvert.

L'inférence SecNumCloud

Si tes données relèvent de la loi SREN ou si tu travailles pour le secteur public, il te faut une offre qualifiée :

• Cloud Temple LLMaaS : une API compatible OpenAI qui, selon sa documentation, tourne sur une infrastructure qualifiée SecNumCloud 3.2, dans les centres de données français de Cloud Temple (documentation Cloud Temple). La page produit mentionne aussi une infrastructure certifiée HDS et affirme que les données ne sont ni utilisées ni stockées après traitement (Cloud Temple).
• OUTSCALE (Dassault Systèmes) : du LLM as a Service avec les modèles de Mistral AI sur son infrastructure SecNumCloud (Dassault Systèmes). L'« Assistant IA » de l'État pour les agents publics tourne sur des modèles Mistral hébergés par Outscale, comme on l'a noté dans notre guide des alternatives françaises à ChatGPT.

Vérifie le catalogue de modèles actuel auprès de chacun : les offres SecNumCloud proposent en général moins de modèles, et plus petits, que les API publiques.

Les passerelles et routeurs IA en France

Une passerelle IA (AI gateway) se place entre ton code et les fournisseurs de modèles : une seule clé, du routage, des solutions de repli, des budgets. Elle voit aussi chaque prompt, donc c'est un sous-traitant aussi important que le fournisseur du modèle.

• Eden AI (Lyon) est une passerelle IA française avec une API compatible OpenAI devant de nombreux modèles et fournisseurs. Elle annonce un point d'accès UE dédié où les modèles hors UE sont refusés, et le zéro conservation des données par défaut (Eden AI). C'est la réponse la plus directe à « passerelle IA en France » qu'on ait trouvée.
• Les passerelles auto-hébergées sont l'autre voie. LiteLLM est une passerelle open source (licence MIT pour le cœur, licence séparée pour les fonctions entreprise) que tu fais tourner sur ton propre serveur européen ; elle enregistre le coût de chaque requête et gère des budgets par clé et par équipe (documentation LiteLLM). Comme elle tourne chez toi, la juridiction est celle de ton hébergeur et de tes fournisseurs de modèles.

À vérifier sur toute passerelle : où elle tourne, si elle journalise les prompts (et combien de temps), et si on peut la forcer à ne router que vers les fournisseurs que tu as validés. Le routage zéro conservation, un réglage qui n'envoie les requêtes qu'aux fournisseurs qui ne gardent rien, est utile, mais seulement si la passerelle elle-même échappe à la juridiction américaine.

Les outils d'orchestration LLM et plateformes d'agents en France

« Orchestration » recouvre deux besoins : une plateforme où les agents sont configurés et tournent, ou un framework dans ton propre code.

• L'API Agents de Mistral AI : des agents avec des outils intégrés (exécution de code, recherche web, bibliothèque de documents), des connecteurs MCP et des passages de relais entre agents (documentation Mistral). Attention : Agents et Conversations ont un état, et ne sont pas couverts par le zéro conservation de Mistral.
• Dust (Paris) : une plateforme d'agents d'entreprise connectés aux outils internes. Sa page sécurité indique qu'on peut héberger dans l'UE ou aux États-Unis, avec une certification SOC 2 Type II (Dust). Les modèles choisis peuvent rester exploités par des fournisseurs américains : choisis-les avec autant de soin que la région.
• LightOn (Paris, cotée sur Euronext Growth) : sa plateforme Paradigm est une IA générative conçue pour un déploiement sur site ou en cloud privé (Wikipédia).
• Les frameworks open source tournent dans ton propre code. Ils ne déplacent pas de données d'eux-mêmes : ce qui compte, c'est où tu les fais tourner et quelle API de modèle ils appellent.

Observabilité LLM et suivi de l'usage de l'IA en France

C'est la catégorie la plus maigre. On n'a trouvé aucune entreprise française dont le produit principal soit le traçage LLM ou le suivi de l'usage de l'IA, avec un service hébergé dans l'UE qu'on ait pu vérifier. Les options réalistes :

• Auto-héberger un outil open source. Langfuse (traces, gestion des prompts, évaluations, suivi des coûts) est sous licence MIT, sauf ses dossiers ee (GitHub). Fondé à Berlin, il a été racheté par l'américain ClickHouse en janvier 2026 ; l'équipe assure qu'il reste open source et auto-hébergeable (Langfuse). Auto-hébergé sur un serveur français, tes traces restent chez toi. Sa version cloud, c'est une autre affaire au regard du CLOUD Act.
• Utiliser les journaux de ta passerelle. Un LiteLLM auto-hébergé enregistre déjà le coût par requête, par clé et par équipe, ce qui couvre la plupart des besoins de suivi.
• Tester et évaluer avec Giskard (Paris) : une bibliothèque open source (Apache 2.0) pour tester les systèmes LLM et les agents sur la sécurité, les biais et la qualité (GitHub). C'est de l'évaluation, pas du traçage en direct.

Si tu as seulement besoin de chiffres (tokens, coût, latence par utilisateur), tu n'as peut-être pas besoin d'outil dédié : la plupart des API de modèles renvoient le nombre de tokens, et une table dans ta propre base reste l'observabilité la plus confidentielle qui soit.

Où se place Baguette Bot

Baguette Bot n'est pas un fournisseur de modèles. Il donne aux agents IA leur propre ordinateur dans le cloud (bureau Linux, Chrome, terminal, fichiers), hébergé à Paris, et une API développeur pour créer ces agents depuis ton propre produit, payée depuis un solde prépayé en euros, l'ordinateur à 2 € de l'heure facturé à la seconde (documentation de l'API).

• Chaque bot peut utiliser un modèle parmi plus de 400. En mode souverain, les bots n'utilisent que les modèles de Mistral AI, sans conservation des données, et les services hébergés hors d'Europe sont coupés. Pendant la bêta, ces requêtes passent encore par OpenRouter, un routeur de modèles américain, configuré pour ne les envoyer qu'à Mistral AI en refusant la collecte des données : si tu ne veux aucune exposition américaine, ce passage compte. Une connexion directe à Mistral est prévue dans le code, mais pas encore activée.
• Hors mode souverain, les prompts partent chez le fournisseur du modèle choisi, souvent aux États-Unis.
• Notre équipe administre le service en partie depuis l'extérieur de l'UE, comme l'indique notre politique de confidentialité.
• Nous ne sommes pas qualifiés SecNumCloud, ni certifiés HDS. S'il te faut l'un ou l'autre, passe par Cloud Temple ou OUTSCALE pour l'inférence.

Pour la vue d'ensemble, lis notre guide pour faire tourner un agent IA hébergé en France.

Tableau comparatif

« Non indiqué » veut dire qu'on n'a trouvé aucune affirmation dans un sens ou dans l'autre dans la documentation du fournisseur. Demande avant de t'appuyer dessus.

Questions fréquentes

Comment trouver un fournisseur d'IA en France pour héberger des modèles avec une confidentialité stricte ?

Choisis une entreprise française qui fait l'inférence en France et propose le zéro conservation : Scaleway Generative APIs et OVHcloud AI Endpoints pour les modèles ouverts, Mistral AI pour les modèles Mistral. S'il te faut du SecNumCloud, passe par Cloud Temple ou OUTSCALE. Vérifie ensuite par écrit les conditions de conservation et d'entraînement de ton offre exacte.

Existe-t-il une passerelle IA en France ?

Oui. Eden AI, basée à Lyon, propose une passerelle compatible OpenAI avec un point d'accès UE qui refuse les modèles hors UE. Sinon, tu peux auto-héberger une passerelle open source comme LiteLLM sur un serveur français.

Quels sont les outils d'orchestration LLM en France ?

L'API Agents de Mistral AI, Dust pour les agents d'entreprise et Paradigm de LightOn pour le déploiement sur site sont français. Les frameworks open source conviennent aussi, à condition de tourner sur un serveur européen et d'appeler des API de modèles européennes.

Quels outils d'observabilité LLM ou de suivi de l'usage de l'IA existent en France ?

Peu de français. La réponse pratique : auto-héberger un outil open source comme Langfuse (cœur sous licence MIT) sur un serveur français, ou utiliser les journaux de coûts d'une passerelle auto-hébergée. Giskard, à Paris, couvre les tests et l'évaluation.

Peut-on utiliser une IA sans exposition au CLOUD Act ?

Oui, si chaque entreprise sur le chemin de la requête échappe à la juridiction américaine : fournisseur du modèle, passerelle, outil de journalisation et hébergeur. La région européenne d'une entreprise américaine ne suffit pas. SecNumCloud 3.2 est la qualification française conçue pour le garantir.

Mistral AI est-il conforme au RGPD et hébergé en Europe ?

Mistral AI est une entreprise française et héberge les données dans l'UE par défaut, sauf si tu utilises son point d'accès américain. Le zéro conservation est proposé sur demande pour les appels d'API sans état. Comme pour tout fournisseur, vérifie son DPA et les réglages d'entraînement de ton organisation.

Baguette Bot est-il qualifié SecNumCloud ?

Non. Baguette Bot héberge les ordinateurs des agents à Paris et propose un mode souverain limité à Mistral, mais n'est pas qualifié SecNumCloud. Pour des données réglementées, passe par un prestataire qualifié.