Depuis le 2 août 2026, l'IA Act impose de nouvelles obligations de transparence. Deux plateformes d'IA générative françaises pour équiper ses équipes sans envoyer ses données hors d'Europe.
Vos équipes utilisent déjà l'IA, la question est de savoir avec quelles données
Dans la plupart des PME et ETI françaises, l'IA générative est entrée par la porte de service. Un commercial colle une proposition dans un chatbot grand public, un juriste y dépose un contrat, une assistante RH y résume des entretiens. Personne n'a validé quoi que ce soit, et personne ne sait où ces documents ont atterri.
Ce « shadow AI » pose deux problèmes : des informations clients ou des données de paie circulent hors de votre système d'information, et le cadre réglementaire vient de se durcir. Voici ce qui s'applique réellement depuis le 2 août 2026, puis deux plateformes françaises pour ouvrir l'IA à vos équipes dans un cadre maîtrisé.
Ce que l'IA Act impose vraiment depuis le 2 août 2026
Le calendrier européen a été remanié cet été. Le règlement (UE) 2026/1744, dit Digital Omnibus sur l'IA, a été publié au Journal officiel de l'Union européenne le 24 juillet 2026 et est entré en vigueur trois jours plus tard. Il confirme certaines échéances et en repousse d'autres.
Depuis le 2 août 2026 : les obligations de transparence de l'article 50 s'appliquent. Un chatbot, un agent conversationnel ou un avatar doit signaler clairement à son interlocuteur qu'il s'agit d'une IA, sauf lorsque cela ne fait aucun doute. Les contenus générés ou fortement modifiés par IA, publiés sans contrôle éditorial humain, doivent être identifiables par marquage technique ou mention visible. Les systèmes déjà commercialisés avant cette date bénéficient d'une transition jusqu'au 2 décembre 2026.
Déjà en vigueur : depuis le 2 février 2025, huit pratiques d'IA sont interdites et les salariés qui utilisent des outils d'IA doivent comprendre leur fonctionnement, leurs limites et leurs risques. C'est l'obligation de littératie IA, et elle concerne toutes les entreprises, quelle que soit leur taille. Depuis le 2 août 2025, le régime général des sanctions est actif : en France, la DGCCRF, la CNIL et l'Arcom peuvent intervenir.
Reporté : les obligations lourdes pesant sur les systèmes à haut risque (recrutement, notation de crédit, éducation, biométrie) s'appliqueront le 2 décembre 2027 pour les systèmes autonomes et le 2 août 2028 pour ceux intégrés à des produits déjà réglementés (calendrier détaillé sur Blog du Modérateur).
Le report ne dispense donc de rien à court terme. Si vous déployez un assistant interne, vous devez déjà savoir dire quels modèles il utilise, où passent les données et qui a formé vos équipes.
Les six critères à examiner avant de choisir une plateforme
- Hébergement et qualification. Hébergement en France, certification ISO 27001, et pour les données sensibles, qualification SecNumCloud délivrée par l'ANSSI.
- Étanchéité vis-à-vis des modèles externes. Vos prompts servent-ils à entraîner un modèle tiers ? La réponse doit être écrite dans le contrat.
- Choix des modèles. Router un usage anodin vers un modèle léger et un usage sensible vers un modèle souverain évite de payer le prix fort partout.
- Gouvernance des droits. Qui accède à quelle base de connaissances, avec quelles traces. C'est ce qui distingue un outil d'équipe d'un outil d'entreprise.
- Connexion au système d'information. Une IA déconnectée de vos documents produit des réponses génériques. Cherchez des bases RAG et des connecteurs vers vos outils existants.
- Prévisibilité du coût. Un prix par utilisateur reste plus lisible qu'une facturation au token quand vous ouvrez l'usage à cinquante personnes.
Deux plateformes françaises pour déployer l'IA générative en interne
Ces deux solutions répondent au même besoin par deux chemins opposés : l'une est prête à l'emploi pour les métiers, l'autre sert à industrialiser vos propres modèles.
SafeBrain : l'IA générative clé en main pour les métiers
SafeBrain est une plateforme d'IA générative pensée pour être ouverte à l'ensemble des collaborateurs sans ouvrir la porte aux fuites de données. L'éditeur, adossé depuis 2025 au groupe français Jamespot (annonce reprise par Archimag), propose une bibliothèque d'agents prêts à l'emploi déclinés par fonction : DRH, juridique, DSI, commercial, marketing, finance.
Le point différenciant se joue sur l'architecture. Les données sont hébergées en France dans un environnement certifié SecNumCloud et ISO 27001, avec pseudonymisation des informations identifiantes, de sorte qu'elles restent hors de portée des LLM externes. La plateforme laisse choisir le modèle usage par usage : des LLM de référence comme GPT-5.2 ou Mistral AI pour les besoins complexes, des alternatives open source hébergées en SecNumCloud comme Llama ou Command-R pour les données sensibles. S'y ajoutent des bases RAG, une API, des connecteurs MCP et l'interrogation de bases SQL en langage naturel. Le tarif affiché est de 20 € HT par mois et par utilisateur, tout compris (site de l'éditeur).
À privilégier si votre objectif est l'adoption : équiper vite des équipes non techniques, dans un cadre de sécurité piloté.
Craft AI : industrialiser ses propres modèles et LLM
Craft AI joue dans une autre catégorie. C'est une plateforme française de MLOps et LLMOps, destinée aux équipes data et aux DSI qui développent leurs propres modèles plutôt que d'en consommer. Elle couvre la chaîne complète : préparation des données, fine-tuning de LLM open source, RAG, déploiement en API ou en chatbot sur des infrastructures GPU ou CPU, puis supervision en production.
C'est justement la supervision qui intéresse une DSI en 2026. La plateforme surveille la dérive des modèles, la perte de contexte, les hallucinations et la toxicité des réponses, déclenche des alertes, et embarque un module FinOps pour suivre le coût de chaque projet. L'éditeur revendique une approche d'IA de confiance articulée autour de l'explicabilité, de la frugalité, de la confidentialité et de l'équité, et la solution s'installe sur le cloud de votre choix (détails sur craft.ai). La tarification n'est pas publique : elle dépend de l'offre et du volume d'infrastructure.
À privilégier si vous avez une équipe data, des cas d'usage spécifiques et le besoin de garder la main sur le modèle.
Prêt à l'emploi ou sur mesure : comment trancher
| Critère | SafeBrain | Craft AI |
|---|---|---|
| Utilisateur cible | Tous les métiers | Équipes data, DSI |
| Nature de la solution | Agents IA prêts à l'emploi | Plateforme d'industrialisation |
| Hébergement | France, SecNumCloud et ISO 27001 | Cloud de votre choix |
| Modèles | Catalogue multi-LLM, dont open source souverain | Vos modèles, fine-tunés |
| Tarif | 20 € HT / utilisateur / mois | Selon offre |
| Délai de mise en route | Rapide | Projet |
Les deux ne s'excluent pas : un groupe peut ouvrir SafeBrain à ses équipes pour les usages quotidiens et industrialiser sur Craft AI un modèle métier qui lui est propre.
Feuille de route en cinq étapes
- Recenser l'existant. Demandez à vos équipes quels outils d'IA elles utilisent. La liste est presque toujours plus longue que prévu.
- Classer les données. Séparez ce qui peut sortir (contenus publics, brouillons marketing) de ce qui ne doit pas sortir (données personnelles, contrats, secrets industriels).
- Écrire une charte courte. Deux pages suffisent : usages autorisés, outils validés, ce qu'on ne colle jamais dans un prompt.
- Tester sur un périmètre restreint. Un service, un mois, deux ou trois cas d'usage mesurables.
- Former, puis élargir. Une équipe qui comprend les limites du modèle relit ce qu'il produit. C'est aussi ce qu'exige l'obligation de littératie IA.
Questions fréquentes
L'IA Act s'applique-t-il aux PME qui utilisent simplement ChatGPT ou un assistant interne ?
Oui, mais de façon allégée. Une entreprise qui se contente d'utiliser un outil d'IA est déployeur, pas fournisseur. Elle doit respecter l'obligation de littératie IA depuis février 2025 et, si elle expose un chatbot à des utilisateurs, l'obligation de transparence de l'article 50 depuis le 2 août 2026.
Le report des obligations « haut risque » signifie-t-il qu'il n'y a rien à faire avant 2027 ?
Non. Le report prévu par le règlement (UE) 2026/1744 ne concerne que les systèmes classés à haut risque. La transparence, la littératie IA et le régime de sanctions sont déjà applicables.
Une IA hébergée en France est-elle automatiquement conforme au RGPD ?
Non. L'hébergement en France réduit le risque de transfert hors UE, mais la conformité dépend aussi de la base légale, de la durée de conservation et de l'information des personnes. La qualification SecNumCloud porte sur la sécurité du cloud, pas sur votre conformité RGPD.
Faut-il choisir un modèle français pour être souverain ?
Pas nécessairement. Ce qui compte est le lieu de traitement, l'engagement de non-réutilisation des données et la maîtrise des accès. Un modèle open source hébergé en France peut répondre à ces exigences.
Que faire des outils d'IA déjà utilisés sans validation ?
Plutôt que de les interdire d'un coup, remplacez-les par une alternative validée et expliquez pourquoi. Une interdiction sans solution de rechange déplace simplement l'usage vers les téléphones personnels.
En résumé
Le report des obligations « haut risque » n'est pas un report du sujet. Depuis le 2 août 2026, la transparence est due, la littératie IA est due et les sanctions sont actives. Le vrai chantier reste opérationnel : savoir quelles données sortent de l'entreprise, et donner à vos équipes un outil assez bon pour qu'elles n'aient plus envie d'utiliser autre chose.
Les éditeurs français ont ici un argument concret à faire valoir, entre hébergement qualifié et engagements contractuels lisibles. Pour approfondir : notre comparatif des meilleures IA françaises, notre guide d'achat d'un logiciel d'IA en entreprise et notre panorama du cloud souverain français. Toutes les solutions référencées sont accessibles depuis la catégorie Intelligence artificielle.