Agent IA français : ce que le mot garantit vraiment

Un éditeur français ne garantit ni un hébergement en France, ni un modèle européen. Nous avons relevé, le 3 octobre 2026, ce que déclarent les cinq éditeurs français du panel, comparé avec les assistants américains, et réduit la vérification à cinq questions.

Chercher un agent IA français, c’est souvent chercher autre chose derrière le mot : des données qui restent en Europe, un interlocuteur joignable, un contrat de droit français. Un agent IA est un logiciel qui reçoit un objectif, décide des étapes et agit dans vos outils (mail, agenda, documents) ; il voit donc passer vos clients, vos prix et vos échanges. Pour une IA française en entreprise, savoir qui l’édite compte, mais ne répond qu’à une partie de la question.

Cinq agents de notre panel sont édités en France. Nous avons relu le 3 octobre 2026 leurs pages officielles (mentions légales, politique de confidentialité, page sécurité) pour séparer ce que « français » garantit de ce qu’il laisse ouvert. C’est du déclaré par l’éditeur, pas un audit.

Agent IA français : les cinq éditeurs du panel

Le tableau distingue trois couches que le mot « français » mélange : la société qui édite, le lieu où les données sont stockées, et le fournisseur du modèle de langage qui lit vos textes pour y répondre.

Agent	Siège de l’éditeur	Stockage déclaré	Modèles qui lisent vos textes	Source
Mistral Vibe	Paris	Union européenne par défaut	Modèles Mistral ; transferts temporaires hors UE possibles selon la fonction	Aide Mistral
Dust	Paris	Union européenne ou États-Unis, au choix	OpenAI, Anthropic, Mistral, Google, Fireworks, au choix par agent	Confidentialité Dust
Limova	Nice	Union européenne, pays non précisé	Non nommés	Confidentialité Limova
Qapten	Paris	Serveur dédié en Europe, chez Hetzner	Plus de 30 modèles (OpenAI, Anthropic, Google, DeepSeek…) via OpenRouter	Qapten
Jolibot	Nice	France et Allemagne (Scaleway, Hetzner)	OpenAI, Google, Anthropic, xAI, DeepSeek… via OpenRouter ; Mistral pour la transcription vocale	Mentions et contrat Jolibot

La lecture est nette. Un seul des cinq, Mistral, fait tourner par défaut ses propres modèles. Les quatre autres stockent vos données en Europe mais confient la lecture de vos textes à des modèles dont plusieurs fournisseurs sont américains ou chinois. Ce n’est pas caché : Dust, Qapten et Jolibot nomment ces fournisseurs ; Limova ne les nomme pas.

Ce que « français » garantit vraiment

Un éditeur immatriculé en France vous donne trois choses concrètes. D’abord, un interlocuteur identifié : raison sociale, siège, numéro d’immatriculation, que les mentions légales doivent publier. Ensuite, un contrat de droit français et un tribunal français en cas de litige, ce qui pèse quand une PME doit faire valoir une clause. Enfin, une autorité de contrôle proche : la CNIL est l’interlocuteur naturel d’une société dont l’établissement principal est en France.

Le RGPD, en revanche, n’est pas un avantage propre aux éditeurs français. Il s’applique à toute entreprise qui traite les données de personnes situées dans l’Union, américaine comprise. Un éditeur français n’est pas plus « conforme » par nature ; il est plus simple à interroger et à poursuivre.

Ce qu’il ne garantit pas : le modèle, l’hébergeur, les sous-traitants

Le modèle. Quand un agent français s’appuie sur un modèle américain, votre texte part chez ce fournisseur pour être lu. Jolibot l’écrit dans son contrat de sous-traitance : certains traitements « peuvent impliquer un transfert hors de l’Union européenne », encadrés par les clauses contractuelles types de la Commission. Dust indique de même que des données peuvent aller aux États-Unis, sous décision d’adéquation ou clauses types, et que ses fournisseurs de modèles appliquent une non-conservation des données.

L’hébergeur. Une société française peut stocker ses bases chez un hébergeur étranger. La politique de confidentialité de Dust cite l’infrastructure Google Cloud ; Qapten et Jolibot citent l’allemand Hetzner, Jolibot aussi le français Scaleway. Le pays du serveur et la nationalité de son exploitant sont deux informations distinctes.

Les sous-traitants. Limova déclare un hébergement exclusivement dans l’Union, mais ne nomme qu’un sous-traitant, Google Firebase, pour la gestion des mots de passe. Sans liste nominative, impossible de savoir qui d’autre voit passer vos données.

La question de la loi américaine sur l’accès aux données, le Cloud Act, découle de ces trois couches : elle vise les sociétés soumises au droit américain, où que soient leurs serveurs. Nous l’avons détaillée dans où vont vos données quand un agent IA lit vos mails, avec le cadre de transfert UE-États-Unis ; nous ne la répétons pas ici.

IA souveraine : le seul critère écrit est SecNumCloud

« Souverain » n’a pas de définition légale dans le marketing. Le seul référentiel public français qui traite précisément la question est la qualification SecNumCloud de l’ANSSI, l’agence nationale de la sécurité des systèmes d’information. Selon sa FAQ, elle vise à garantir que le prestataire est soumis exclusivement au droit de l’Union, avec un siège dans un État membre et des actionnaires hors UE minoritaires.

Aucune des pages consultées pour cet article ne revendique cette qualification pour l’agent lui-même. Ce n’est pas forcément un défaut pour une PME qui gère des devis et des relances : l’ANSSI recommande ce niveau pour les systèmes d’information sensibles, dont l’administration, les systèmes d’importance vitale et les données de santé, selon sa FAQ sur l’hébergement dans le cloud. Mais un éditeur qui écrit « IA souveraine » sans la citer décrit une intention, pas une garantie vérifiable.

Pour une entreprise qui veut tout garder chez elle, l’autre voie est l’auto-hébergement d’un agent libre sur son propre serveur, avec un modèle choisi selon son lieu d’exécution. Nous avons chiffré ce que cela demande dans auto-héberger son agent IA.

Les assistants américains, pour comparaison

Les éditeurs américains ne sont pas tous logés à la même enseigne, et certains documentent leurs engagements européens plus finement que des acteurs français.

Copilot. Microsoft écrit que, pour les utilisateurs de l’Union, le trafic reste dans la frontière de données de l’UE, et que prompts et réponses ne servent pas à entraîner les modèles, selon sa documentation sur la confidentialité. La même page précise que les modèles Anthropic, utilisés comme sous-traitant, sont exclus de cette frontière. Notre fiche Copilot détaille ce point.

Gemini. Google s’engage à ce que les contenus des comptes Workspace ne soient ni relus par des humains ni utilisés pour entraîner des modèles hors de votre domaine sans autorisation, selon son centre de confidentialité. Le stockage dans l’Union se règle dès Business Standard ; le lieu de traitement, seulement sur les éditions Enterprise, comme le relève notre fiche Gemini.

ChatGPT et Claude. Sur les offres individuelles, les deux traitent les données aux États-Unis, sans résidence européenne, d’après nos fiches. Les offres d’équipe excluent l’entraînement par défaut : OpenAI l’écrit pour ChatGPT Business, Anthropic pour Claude Team.

Conclusion pratique : un agent américain avec un engagement européen écrit et détaillé peut être mieux documenté qu’un agent français qui écrit « hébergé en Europe » sans nommer personne. Le passeport de l’éditeur est un critère, pas le critère.

Vérifier en cinq questions

Ces questions s’envoient par écrit, à n’importe quel éditeur, français ou non. Une réponse vague à l’une d’elles est déjà une réponse.

Quelle société signe mon contrat, et dans quel pays est-elle immatriculée ? Le nom figure dans les mentions légales ; vérifiez-le sur l’annuaire officiel des entreprises.
Dans quel pays, et chez quel hébergeur, mes données sont-elles stockées ? « En Europe » ne suffit pas ; demandez le pays et le nom.
Quel modèle lit mes textes, et où tourne-t-il ? C’est la question que le mot « français » escamote le plus souvent.
Pouvez-vous me fournir la liste nominative de vos sous-traitants, avec leur pays ? Elle accompagne normalement le contrat de sous-traitance.
Mes contenus servent-ils à entraîner un modèle, et ce réglage dépend-il de l’offre ? Chez Mistral, par exemple, les comptes individuels ne sont pas exclus de l’entraînement par défaut et doivent le désactiver dans leurs réglages, selon son centre d’aide.

Les obligations qui restent à votre charge une fois l’outil choisi (registre, information des clients, analyse d’impact) sont rassemblées dans agent IA et RGPD.

Ce que vous faites lundi matin

Ouvrez les mentions légales de l’agent que vous utilisez ou envisagez, et notez la société, son pays et son hébergeur.
Cherchez dans sa politique de confidentialité le nom des fournisseurs de modèles ; s’il n’y figure pas, posez la question 3 par écrit.
Si vous êtes déjà sous Microsoft 365 ou Google Workspace, comparez la réponse avec l’engagement européen de Copilot ou de Gemini avant de payer un outil de plus.
Classez vos données en deux tas : ce qui peut passer par un modèle américain sous clauses types (relances, plannings), et ce qui ne le doit pas (santé, contentieux). Choisissez l’agent d’après le second tas.