Plateforme d'IA souveraine européenne.

Ce que « souverain UE » signifie vraiment

L'IA souveraine européenne, c'est plus qu'une « région UE » chez les fournisseurs de cloud américains. Une vraie souveraineté européenne exige quatre couches : premièrement une société UE comme fournisseur (personne morale de droit UE, pas une filiale américaine), deuxièmement une infrastructure d'hébergement UE (serveurs dans un État membre de l'UE, pas une région de cloud américaine), troisièmement un traitement LLM dans l'UE (inférence sur des serveurs UE, contractuellement garanti, sans entraînement sur les données clients), quatrièmement un contrat de sous-traitance complet au titre de l'art. 28 RGPD avec une liste transparente de sous-traitants. Chez les hyperscalers américains, le premier point est déjà difficile : les maisons mères relèvent du droit américain, par exemple du CLOUD Act. La « région UE » ne déplace que la localisation des serveurs, pas la souveraineté juridique.

Schrems II + RGPD art. 28, la réalité juridique 2026

L'arrêt Schrems II de la Cour de justice de l'Union européenne de 2020 a invalidé le Privacy Shield et exige, pour les transferts vers des pays tiers, un niveau de protection équivalent. Le Comité européen de la protection des données a décrit dans ses recommandations 01/2020 à quoi peuvent ressembler des mesures supplémentaires. Depuis juillet 2023, la décision d'adéquation relative au EU-US Data Privacy Framework s'applique aux fournisseurs américains certifiés ; le Tribunal de l'UE l'a confirmée en septembre 2025. Les transferts vers ces fournisseurs sont donc licites, mais dépendent d'une décision politiquement et judiciairement contestée. Qui traite les données dans l'UE dès le départ n'a pas besoin de cette base : aucun transfert vers un pays tiers, aucune analyse d'impact des transferts pour cette partie.

AI Act art. 50, obligation de transparence à partir du 02/08/2026

L'article 50 du règlement européen sur l'IA 2024/1689 oblige les fournisseurs, à partir du 02/08/2026, à l'information lors des interactions IA au contact avec la clientèle finale. Les personnes doivent apprendre clairement, au plus tard lors du premier contact, qu'elles interagissent avec une IA. Le règlement ne précise pas comment ; l'usage est une annonce au téléphone, une mention visible dans le chat et une mention dans le texte d'un e-mail. Les infractions peuvent entraîner des amendes jusqu'à 15 M€ ou 3 % du chiffre d'affaires annuel mondial. Chez rinqo, la mention est réglée d'office, intégrée de façon fixe dans le chat et par e-mail, au téléphone dans l'accueil préréglé.

La pile pleinement européenne de rinqo en détail

Hébergement : serveurs en Allemagne chez un hébergeur allemand, contrat de sous-traitance au titre de l'art. 28 RGPD. L'application, l'API, la base de données, la base de données vectorielle, la file d'attente et le service vocal y tournent tous. Les sauvegardes sont stockées chiffrées dans l'UE. Téléphonie : un fournisseur établi en Irlande. Modèle de langage : modèles d'IA avec traitement des données dans l'UE garanti par contrat (sans entraînement sur les données clients), plus un prestataire de secours européen qui prend le relais en cas de panne. Reconnaissance vocale : un fournisseur avec traitement en France, avec contrat de sous-traitance. Synthèse vocale : un fournisseur allemand, traitement dans l'UE. Les catégories figurent sur /security, la liste nominative des sous-traitants ultérieurs dans le tableau de bord.

Quand la souveraineté européenne est obligatoire, et quand non

Un fournisseur européen n'est pas imposé par la loi : le RGPD autorise les transferts vers des pays tiers aux conditions du chapitre V, par exemple avec une décision d'adéquation ou des clauses contractuelles types. Un traitement dans l'UE a particulièrement du sens là où les données sont spécialement protégées : données de santé, secret des clients d'un avocat, données financières, tout ce qui relève du secret professionnel. Chez rinqo s'applique en plus, pour ces domaines : pour les données de santé, vous concluez un accord complémentaire avant le démarrage ; pour le secret professionnel, c'est la section 10 du contrat de sous-traitance qui s'applique. Moins critiques sont les applications sans données personnelles, par exemple des bots de FAQ anonymes sur des pages marketing.

Souveraineté numérique : pourquoi la localisation des serveurs est devenue une affaire de direction

La souveraineté numérique signifie que vous contrôlez qui accède à vos données d'entreprise, et selon quel droit. Pendant des années, la question relevait des services informatiques. Le CLOUD Act américain en a fait une affaire de direction : les autorités américaines peuvent contraindre les fournisseurs américains à remettre des données, quel que soit le lieu où se trouvent les serveurs. Un centre de données à Francfort ne protège donc en rien si le cocontractant est un groupe américain. C'est pourquoi la localisation des serveurs se décide aujourd'hui au niveau de la direction, et plus seulement au sein de l'informatique. Concrètement, la souveraineté numérique repose sur trois critères. Premièrement, des serveurs dans l'UE : vos données sont traitées et stockées sur des serveurs situés dans l'Union européenne. Deuxièmement, un cocontractant européen : votre partenaire au titre du DPA (contrat de sous-traitance) relève du droit européen, non du CLOUD Act. Troisièmement, la réversibilité : vous pouvez exporter vos données et changer de fournisseur sans immobiliser votre activité. Si l'un de ces trois critères fait défaut, la souveraineté reste incomplète, quel que soit le discours marketing. Pour les systèmes d'IA, l'enjeu pèse doublement, car les appels téléphoniques, les conversations de chat et les e-mails contenant des données clients transitent par le système. Interrogez donc chaque fournisseur précisément sur ces trois points. Chez rinqo, les réponses sont les suivantes : serveurs en Allemagne dans des centres de données certifiés ISO 27001, DPA conforme à l'art. 28 du RGPD, traitement des modèles de langage contractuellement garanti au sein de l'UE. Vos données ne servent pas à l'entraînement des modèles. L'ensemble de la pile technique est documenté, chaque composant avec son fournisseur et sa région.

• Serveurs dans l'UE : traitement et stockage sur des serveurs situés dans l'Union européenne
• Cocontractant européen : le partenaire au titre du DPA relève du droit européen, non du CLOUD Act
• Réversibilité : données exportables, changement de fournisseur sans interruption d'activité

IA locale ou cloud européen : le choix réaliste pour les PME

Pour la plupart des PME, le cloud européen constitue la voie praticable vers une IA conforme au RGPD. L'IA locale, c'est-à-dire des modèles de langage exploités sur votre propre matériel, représente la forme maximale de contrôle : aucune donnée ne quitte l'entreprise, aucun cocontractant externe, aucune question de pays tiers. En toute honnêteté, ce contrôle a un prix. Les modèles de langage performants exigent des serveurs GPU, dont l'acquisition et la consommation électrique restent à votre charge. S'y ajoutent l'exploitation, la supervision, les mises à jour des modèles, les correctifs de sécurité et le personnel qui en assume durablement la responsabilité. Un agent téléphonique exige en outre un fonctionnement en temps réel et un raccordement à la téléphonie : c'est une exploitation permanente, pas un projet de week-end. L'IA locale se justifie donc avant tout pour les entreprises disposant d'une équipe informatique propre et d'exigences particulières. Le cloud européen apporte les avantages de la souveraineté sans cette charge d'exploitation : serveurs dans l'UE, cocontractant européen, DPA conforme à l'art. 28 du RGPD, le fournisseur assumant l'exploitation et les mises à jour. rinqo a délibérément choisi cette voie. Les serveurs se trouvent en Allemagne, dans des centres de données certifiés ISO 27001. Le traitement des modèles de langage est contractuellement garanti au sein de l'UE, sans entraînement sur vos données. Un prestataire de secours européen prend le relais en cas de panne. Nous vous accompagnons pour la mise en place ; dans le chat et par e-mail, les agents travaillent dans 17+ langues, au téléphone dans votre langue principale et en anglais. Le calcul, posé sobrement : un contrôle total contre une exploitation maîtrisée. Pour le téléphone, le chat et l'e-mail au quotidien d'une PME, le cloud l'emporte presque toujours.