Le vrai problème : l'IA shadow

Dans la plupart des PME et ETI, il existe une IA shadow. Un commercial jette une proposition client dans ChatGPT. Une avocate analyse un contrat dans Claude. Un consultant RH résume des entretiens d'embauche dans Perplexity. Personne n'a approuvé rien, et personne ne sait où ces données ont atterri.

Ces informations pourraient être confidentielles : données client, contrats, salaires, stratégie. Elles sortent de votre périmètre contrôlé et ne reviennent jamais.

Ce problème vient de se durcir légalement. Depuis août 2026, l'Europe impose un cadre resserré. Les obligations sont nouvelles et elles s'appliquent largement.

Ce qu'impose réellement l'IA Act depuis août 2026

Depuis le 2 août 2026 (entrée en vigueur immédiate) : les chatbots, agents conversationnels et avatars doivent signaler clairement qu'ils sont une IA. Les contenus générés ou très modifiés par l'IA, publiés sans contrôle humain, doivent être identifiables (marquage technique ou mention visible).

Ce que cela veut dire concrètement : si vous publiez une description produit entièrement générée par l'IA sur votre site sans révision humaine, vous devez le dire. C'est legal ; c'est juste signalé.

Depuis le 2 février 2025 : certaines pratiques d'IA sont interdites (manipulation biométrique, notation de crédit sans appel, reconnaissance faciale généralisée). Et les salariés qui utilisent l'IA doivent comprendre son fonctionnement, ses limites, ses risques.

En cours de transition : les obligations plus lourdes (audit d'IA, traçabilité complète) arrivent en décembre 2027 pour les systèmes à haut risque. Pour le moment, c'est surtout de la transparence qui s'impose.

Le vrai enjeu : où partent vos données

Une entreprise qui utilise ChatGPT envoie littéralement ses documents à OpenAI. Officiellement, OpenAI ne les utilise pas pour entraîner son modèle si vous avez un contrat d'entreprise. Officieusement, ils restent dans ses serveurs aux USA.

Une PME française avec données clients sensibles, cela pose trois risques :

  • Légal : le RGPD demande un traitement dans le cadre légal européen.
  • Commercial : vous négociez avec un grand compte qui ne signerait pas si vous travaillez sur données externalisées.
  • Tactique : un concurrent peut voir vos patterns, vos projets.

Les deux solutions françaises offrent l'alternative.

Deux plateformes françaises pour une IA maîtrisée

L'écosystème français propose des plateformes où vous pouvez déployer l'IA sans expatrier vos données. Deux approches dominent.

La plateforme généraliste. Un espace de travail où vos équipes accèdent à un (ou plusieurs) modèles d'IA, hébergés en France, fiables pour l'entreprise. Vous pouvez ajouter votre propre documentation, votre contexte métier, vos données propriétaires. Le modèle les voit mais n'en parle pas à l'extérieur.

La plateforme verticalisée. Un outil construit autour d'un besoin spécifique (génération de contenu, analyse de documents, veille) qui intègre l'IA générative. Par exemple, un outil de création de contenu qui branche un modèle français à la place de ChatGPT.

Dans les deux cas, l'idée est la même : donnez à votre équipe l'équivalent productif de ChatGPT, mais sans risque de fuite.

Avant d'adopter un outil français d'IA générative

Testez d'abord. Demandez un POC d'une semaine sur un cas réel : cent documents à résumer, mille descriptions produits à générer, cinquante contrats à analyser.

Vérifiez le fine-tuning. Pouvez-vous ajouter votre glossaire maison ? Votre contexte métier ? Ou c'est juste un modèle générique français ?

Demandez où les données restent. Hébergement en France, oui, mais quels serveurs ? Quels backups ? Quelle géo-redondance ?

Calculez le coût réel. Outil + training d'équipe + possibles intégrations. Cela vaut-il mieux qu'une licence ChatGPT Enterprise avec une politique de confidentialité stricte ?

En résumé

L'IA générative en entreprise n'est plus optionnelle en 2026. Mais vous avez maintenant le choix : l'externaliser aux géants US, ou le garder en France. Le choix dépend de vos données et de votre secteur. Pour un cabinet d'avocat ou un prestataire en santé, la France est mieux. Pour une agence créative, l'US suffit.

Les deux solutions françaises montrent qu'on peut avoir une IA productive sans importer ses données. C'est le sujet de 2026-2027.