Microsoft et Mistral : leur IA « souveraine » contestée en France

Microsoft et Mistral : leur IA « souveraine » contestée en France

Microsoft et Mistral viennent d'annoncer un renforcement majeur de leur alliance stratégique, présenté comme la garantie d'une IA "souveraine" pour les organisations les plus sensibles. Cependant, en France, ce terme a une définition légale précise, et cet accord ne s'y conforme pas.

La "souveraineté" vendue par Microsoft et Mistral n'est pas reconnue par l'ANSSI

Le communiqué, diffusé conjointement depuis Redmond et Paris, est dense. Microsoft s'engage sur plusieurs milliards de dollars pour exploiter une partie des capacités GPU européennes de Mistral, bientôt renforcées par des puces Nvidia Vera Rubin de dernière génération. En échange, le modèle Medium 3.5 de la start-up française rejoint Microsoft Foundry et Copilot Studio, tandis qu'OCR 4, son modèle de traitement de documents, arrive uniquement dans Foundry. Azure et Azure Local servent de socle d'exécution commun aux deux.

Trois modes de déploiement sont mis en avant :

• Le cloud public classique
• Un mode "connecté au cloud" où l'entreprise garde la main sur son infrastructure tout en se synchronisant ponctuellement avec Azure
• Un mode entièrement déconnecté, présenté comme la solution pour les environnements les plus sensibles ou critiques

Microsoft prend comme exemple les secteurs de la finance, de l'industrie et de la santé.

Sur le papier, rien de choquant. Il est plutôt logique de vouloir proposer plusieurs niveaux de contrôle à des clients aux contraintes différentes. Cependant, une fois de plus, Microsoft utilise à tort le terme souveraineté pour vendre son ensemble.

Le mot qui revient sans cesse

"Souveraineté", "contrôle", "maîtrise"… ces termes reviennent presque à chaque paragraphe du communiqué. Microsoft parle même explicitement de renforcer son offre "Sovereign Cloud". Sauf qu'en France, la souveraineté numérique n'est pas qu'un argument marketing. Elle doit répondre à un référentiel technique précis publié par l'ANSSI, SecNumCloud.

La version 3.2 de ce référentiel, en vigueur depuis 2022, ajoute un critère qui change tout : l'immunité aux lois extraterritoriales. Concrètement, un prestataire qualifié doit prouver qu'aucune juridiction étrangère - CLOUD Act américain ou FISA compris - ne peut le contraindre à transmettre des données sans que le client en soit informé. Une exigence qui exclut de facto Azure, AWS ou Google Cloud tels quels. Leur maison mère reste américaine, donc soumise à ce droit, quel que soit l'endroit où tournent physiquement les serveurs.

Azure, oui. Bleu, toujours pas

À aucun moment le communiqué ne mentionne SecNumCloud, ni Bleu, la coentreprise créée par Orange et Capgemini avec Microsoft précisément pour tenter de répondre à cette exigence d'immunité. Le partenariat avec Mistral repose sur l'offre Azure standard, celle que l'ANSSI ne peut pas qualifier en l'état.

Or Bleu vise toujours cette qualification sans l'avoir obtenue : son jalon technique a été validé en avril 2025, mais sa disponibilité commerciale complète n'est annoncée que pour le second semestre 2026. Son concurrent direct, S3NS, la coentreprise entre Thales et Google Cloud, a décroché sa qualification SecNumCloud dès décembre 2025 pour son offre Premi3ns. Sur ce terrain précis, Microsoft accuse donc un retard sur Google, ce que le communiqué de mardi se garde bien de préciser.

Un partenariat qui a beaucoup grandi depuis 2024

Ce décalage entre discours et cadre légal n'est pas nouveau chez Microsoft et Mistral. Leur histoire commune a commencé en février 2024 par un investissement de 15 millions d'euros, modeste face aux levées de fonds de la start-up française, accompagné de la mise à disposition de l'infrastructure Azure pour entraîner Mistral Large. L'accord avait déjà suscité des remous à Bruxelles, certains y voyant un risque de dépendance excessive envers un acteur américain.

Depuis, la relation est passée de la simple distribution de modèles à un partage d'infrastructure de calcul à plusieurs milliards de dollars. Entre un actionnariat étranger et dépendance aux infrastructures des géants du cloud, la souveraineté de Mistral est déjà à prendre avec des pincettes. Ce nouvel accord enfonce davantage le clou.

Même Microsoft l'admet, entre les lignes

Interrogés par Reuters le jour de l'annonce, Brad Smith et Arthur Mensch ont d'ailleurs tenu un discours plus mesuré que celui du communiqué officiel. Le président de Microsoft a reconnu que découpler l'Europe de la technologie américaine restait une tâche ardue, ne serait-ce que parce que les puces Nvidia qui alimentent les data centers européens de Mistral demeurent de conception américaine.

Arthur Mensch, de son côté, a admis que l'accord montrait surtout comment les deux entreprises "travaillaient ensemble pour combler le fossé" des infrastructures en Europe, un aveu qui en dit long sur le point de départ. Il est à noter que l'accord n'inclut en tout cas aucune nouvelle prise de participation de Microsoft au capital de Mistral, malgré les rumeurs d'une levée de fonds à venir chez Mistral.

Si Microsoft présente cet accord comme une indépendance numérique européenne, en vérité, on comprend surtout que même le champion français de l'IA a besoin de l'infrastructure et de la distribution d'un hyperscaler américain pour exister à grande échelle. Pour une organisation soumise à une obligation réglementaire de "cloud de confiance", qu'il s'agisse d'un Opérateur d'Importance Vitale, d'une administration, ou d'un établissement de santé, ce partenariat ne change rien. Azure et Azure Local ne remplacent pas Bleu, et encore moins une qualification SecNumCloud en bonne et due forme. Pour toutes les autres organisations, qui cherchent surtout de la flexibilité opérationnelle et un déploiement air-gapped sans contrainte réglementaire stricte, l'offre a le mérite d'exister.