TL;DRLe PDG d'OpenAI a reconnu que l'entreprise perd de l'argent sur chaque abonnement ChatGPT Pro vendu 200 dollars par mois. Ce constat, combiné au cadre juridique du Cloud Act américain, remet la question de la souveraineté des données au centre des choix d'hébergement des entreprises françaises.
Le coût réel des abonnements IA grand public#
Le PDG d'OpenAI a reconnu courant 2026 que l'entreprise perd de l'argent sur chaque abonnement ChatGPT Pro vendu 200 dollars par mois. La cause identifiée est un usage bien plus intensif que prévu de la part des abonnés premium, qui bénéficient d'un accès quasi illimité à des modèles très gourmands en puissance de calcul : chaque nouvelle génération de modèle coûte sensiblement plus cher à faire fonctionner que la précédente.
Ce n'est pas un accident isolé : OpenAI est cité comme prévoyant jusqu'à 39 milliards de dollars de pertes cumulées d'ici la fin 2026, pour environ 800 à 900 millions d'utilisateurs actifs hebdomadaires dans le monde début 2026, dont seulement environ 35 millions d'abonnés payants. Pour une entreprise qui bâtit une partie de son activité sur ces outils, ce déséquilibre économique — un usage massivement subventionné par du capital d'investissement — n'est pas neutre : les conditions tarifaires actuelles ne sont pas garanties de durer telles quelles.
Ce que change réellement le Cloud Act#
Le Cloud Act américain accorde aux autorités des États-Unis une large autorité pour exiger la communication de données détenues par un prestataire basé aux États-Unis, quel que soit l'endroit où ces données sont physiquement stockées. Une donnée hébergée en France, mais confiée à un prestataire soumis au droit américain, n'est donc pas automatiquement à l'abri de ce texte.
C'est là que se joue la distinction entre souveraineté et simple localisation géographique. Le critère qui compte n'est pas où se trouve le serveur, mais l'immunité juridique du prestataire vis-à-vis d'un droit étranger extraterritorial. C'est précisément ce que vise à garantir en France le label SecNumCloud, délivré par l'ANSSI.
Ce que le RGPD impose vraiment (et ce qu'il n'impose pas)#
Le RGPD, en tant que tel, n'impose aucune obligation de localisation géographique des données au sein de l'Union européenne : un hébergement en Irlande ou aux Pays-Bas constitue un traitement intra-UE parfaitement licite. Les obligations de localisation strictement françaises proviennent d'autres textes, sectoriels : l'article 31 de la loi SREN, la certification Hébergeur de Données de Santé, ou la doctrine applicable aux données classifiées.
Le sujet a par ailleurs pris une dimension européenne le 3 juin 2026, quand la Commission européenne a présenté le Cloud and AI Development Act, qui structure un cadre à quatre niveaux de souveraineté pour les achats publics, allant de la simple localisation européenne des infrastructures jusqu'au contrôle capitalistique européen du fournisseur et à l'absence d'ingérence d'un État tiers.
Pourquoi ce sujet remonte maintenant côté entreprises#
Ces deux constats se combinent pour une raison simple : à mesure que les usages IA se généralisent dans le travail quotidien, y compris pour des données sensibles — documents internes, code source, données clients, travaux de recherche —, les entreprises commencent logiquement à se demander où vont réellement ces données et sous quel régime juridique. L'incertitude sur la pérennité des tarifs actuels s'ajoute à l'exposition juridique liée au Cloud Act.
Cela ne signifie pas qu'il faille abandonner les outils IA américains pour l'ensemble de ses usages : l'hébergement souverain ou l'IA auto-hébergée deviennent des options crédibles pour des traitements identifiés comme réellement sensibles, pas un remplacement systématique de tous les usages IA d'une entreprise.
Comment évaluer votre propre exposition avant de trancher#
Avant de faire un choix, quelques vérifications concrètes permettent d'y voir clair sur votre situation réelle :
- Listez les données réellement transmises à vos outils IA au quotidien : documents internes, code source, données clients, travaux de recherche.
- Distinguez les usages occasionnels et non sensibles des usages structurants portant sur des données confidentielles.
- Vérifiez le statut juridique réel de votre prestataire : société américaine, filiale européenne, ou hébergeur qualifié SecNumCloud.
- Renseignez-vous sur les obligations sectorielles qui s'appliquent spécifiquement à votre activité, au-delà du RGPD général.
- Réservez l'hébergement souverain ou l'IA auto-hébergée aux traitements identifiés comme réellement sensibles, plutôt que de basculer l'ensemble de vos usages par principe.
Questions fréquentes#
Le Cloud Act s'applique-t-il même si mes données sont hébergées en France ?#
Oui, potentiellement. Le Cloud Act vise le prestataire, pas le lieu de stockage. Si ce prestataire est basé aux États-Unis ou en dépend juridiquement, les autorités américaines peuvent exiger l'accès aux données qu'il détient, même si elles sont physiquement hébergées en France.
Le RGPD m'oblige-t-il à héberger mes données en France ?#
Non. Le RGPD lui-même n'impose aucune obligation de localisation géographique au sein de l'Union européenne. Certaines obligations de localisation strictement française proviennent d'autres textes, comme la loi SREN ou la certification HDS, applicables à des cas précis.
Qu'est-ce que le label SecNumCloud ?#
C'est une qualification délivrée par l'ANSSI qui vise à garantir l'immunité juridique d'un hébergeur vis-à-vis d'un droit étranger extraterritorial comme le Cloud Act, au-delà de la simple localisation géographique des serveurs.
Faut-il abandonner les outils IA américains pour des raisons de souveraineté ?#
Pas nécessairement. La démarche la plus réaliste consiste à réserver l'hébergement souverain ou l'IA auto-hébergée aux traitements réellement sensibles, plutôt qu'à basculer l'ensemble de ses usages IA par principe.
Article rédigé le 12/09/2026 par l'équipe Websource à partir des sources citées ci-dessus, puis relu avant publication. Une information vous semble inexacte ou datée ? Signalez-le nous, nous corrigeons.
