L'accélération des projets d'intelligence artificielle en entreprise remet sur la table un débat que beaucoup de directions informatiques pensaient tranché depuis dix ans : où faire tourner les modèles et où stocker les données qui les alimentent. Entre les tensions géopolitiques autour de certains contrats cloud, la multiplication des textes réglementaires et le coût réel de l'inférence à grande échelle, le on-premise revient en force dans les arbitrages, sans pour autant faire disparaître les alternatives hybrides.
Le chiffre qui alarme les DSI : moins de 30 % des données critiques restent en Europe
Selon l'Indice de résilience numérique cité par DecisionIA, moins de 30 % des données critiques des entreprises européennes sont aujourd'hui hébergées localement. Cette proportion nourrit une inquiétude structurelle : la dépendance à des infrastructures situées hors de l'Union européenne expose les organisations aux régulations extraterritoriales et aux aléas des politiques commerciales des fournisseurs non-européens. Les tensions récentes autour de certains contrats cloud, notamment celles évoquées autour du dossier Mistral, ont mis en lumière la fragilité de l'autonomie décisionnelle des entreprises quand leurs partenariats technologiques dépendent d'acteurs situés hors d'Europe.
Cette vulnérabilité pèse particulièrement sur les secteurs régulés. La santé, la finance, la défense et l'énergie figurent parmi les domaines où la confidentialité des données ne se négocie pas, et où le choix de l'hébergement engage directement la conformité réglementaire.
RGPD, NIS2, EU AI Act : trois textes qui redessinent la carte de l'hébergement
Le cadre juridique européen impose des contraintes croissantes sur les transferts de données personnelles. Le RGPD prévoit des amendes pouvant atteindre 4 % du chiffre d'affaires mondial d'une entreprise en cas de manquement, ce qui pousse les organisations à sécuriser leurs infrastructures plutôt qu'à découvrir leur exposition lors d'un contrôle. La directive NIS2 ajoute des obligations de traçabilité et de sécurité pour les opérateurs considérés comme essentiels.
L'EU AI Act complète cet édifice, mais sans trancher clairement en faveur d'un mode d'hébergement plutôt qu'un autre. Les obligations de traçabilité et de supervision humaine varient selon la configuration retenue. Un déploiement local facilite le contrôle des journaux d'activité et la démonstration de conformité lors d'un audit, l'entreprise maîtrisant l'intégralité de la chaîne, du stockage des logs à leur conservation. En cloud, ces responsabilités sont partagées entre l'éditeur et le client, et le contrat de service doit préciser qui conserve les journaux, pendant combien de temps, et sous quelle juridiction. Les éléments disponibles ne permettent pas de conclure qu'un mode d'hébergement est systématiquement plus simple à mettre en conformité : tout dépend du périmètre fonctionnel activé et du niveau de risque attribué au système.
Le on-premise, un choix qui a un prix
Installer les infrastructures IA directement dans les data centers de l'organisation suppose un investissement conséquent. Les grands modèles de langage exigent des ressources matérielles importantes, notamment des GPU haute performance, dont le coût peut représenter un frein réel pour les PME. Les data centers locaux doivent en outre répondre à des normes de sécurité et de résilience, ce qui implique des dépenses supplémentaires en cybersécurité et en redondance des systèmes.
La gestion des compétences internes constitue un second défi. Le déploiement et la maintenance d'infrastructures on-premise nécessitent des expertises pointues en ingénierie système, en virtualisation et en optimisation des modèles d'IA, que les entreprises doivent souvent recruter ou former. Des données Cloudera relayées par CIO en 2026 confirment ce mouvement à grande échelle : 66 % des répondants ont déplacé des workloads du cloud public vers des environnements on-premise ou cloud privé au cours des douze derniers mois, et les budgets déclarés pour l'infrastructure locale et l'edge sont en hausse. Les motivations reviennent systématiquement : souveraineté des données, contrôle des coûts récurrents et maîtrise de la latence sur les tâches critiques.
Le vrai coût du local ne se lit toutefois pas seulement sur la facture d'achat. Il faut compter l'électricité, la climatisation du local technique, le remplacement des disques et le temps humain consacré à l'administration système. Certaines organisations trouvent l'investissement rentable dès la deuxième année, tandis que d'autres sous-estiment la charge de maintenance et finissent par revenir vers le cloud après coup.
Le cloud distribué souverain : une troisième voie entre cloud et salle serveur
Face à ces arbitrages coûteux, un modèle intermédiaire gagne du terrain : le cloud distribué souverain. Selon Philipp Jäggi, Head of Business Line Cloud chez l'opérateur ICT DEEP, l'opposition classique entre cloud public flexible et infrastructures locales rigides est aujourd'hui dépassée. « Les organisations veulent savoir où sont stockées leurs informations, qui exploite leurs infrastructures, quelles juridictions s'appliquent et jusqu'où elles restent maîtresses de leurs choix technologiques », résume-t-il.
Le principe consiste à apporter l'expérience et les services du cloud au plus près de l'entreprise, dans ses propres centres de données ou au sein d'une infrastructure dédiée et souveraine. « Il brouille volontairement la frontière entre cloud et infrastructure locale, et cherche à apporter sur site ce qui faisait la force du cloud public : l'automatisation, l'orchestration, la consommation à la demande », détaille Philipp Jäggi. Certaines architectures peuvent même fonctionner sans connexion permanente à une plateforme extérieure, un atout pour la résilience des secteurs les plus critiques.
DEEP a concrétisé cette approche à travers un partenariat avec OVHcloud, en s'appuyant sur une solution baptisée On-Premise Cloud Platform, et via la création de la Schengen Cloud Alliance, un consortium réunissant DEEP, OVHcloud et Clever Cloud dont l'ambition est de bâtir un écosystème européen de services cloud souverains, ouverts et complémentaires. DEEP revendique par ailleurs plus de 750 collaborateurs et trois centres de données certifiés Tier IV. Pour Philipp Jäggi, « la vraie modernité n'est peut-être plus de tout déplacer vers le cloud. Elle consiste à faire venir le cloud exactement là où l'on en a besoin ».
Le cloud privé se réinvente aussi pour l'IA
Le on-premise pur n'est pas la seule réponse à la demande de maîtrise. Broadcom a récemment annoncé que plusieurs modèles d'IA, dont Nemotron 3 de NVIDIA, Gemma 4 de Google DeepMind, cotomi de NEC, Qwen 3.7-Max d'Alibaba Cloud et GLM 5.2 de Z.ai, ont été validés pour fonctionner sur VMware Cloud Foundation (VCF), la plateforme de cloud privé unifié de l'éditeur. Les entreprises peuvent ainsi déployer ces modèles au sein de leurs propres infrastructures et les proposer à leurs utilisateurs sous forme de service.
Selon l'étude Private Cloud Outlook 2026 de Broadcom, 56 % des entreprises exécutent déjà leurs charges d'inférence d'IA en production dans un cloud privé, ou prévoient de le faire. Chris Wolf, responsable mondial de l'IA et des services avancés au sein de la division VMware Cloud Foundation de Broadcom, résume l'enjeu : « en collaborant avec les principaux fournisseurs de modèles d'IA, nous offrons aux organisations une voie claire vers la souveraineté des données et le déploiement d'une IA à grande échelle à un coût maîtrisé ». Des tests réalisés selon les standards MLPerf Inference v5.1 indiquent que VCF offre des performances comparables à celles d'une infrastructure bare metal, ce qui atténue l'un des principaux reproches historiquement adressés au cloud privé face au on-premise.
On-premise, cloud distribué souverain, cloud privé : que choisir ?
Aucune des trois options ne l'emporte dans l'absolu. Le choix dépend de la taille de l'équipe IT interne, du nombre de sites, de l'horizon budgétaire et du niveau de criticité des données traitées.
| Modèle | Contrôle des données | Coût d'entrée | Scalabilité | Cas d'usage typique |
|---|---|---|---|---|
| On-premise classique | Total, isolation physique des serveurs | Élevé (GPU, data center, personnel qualifié) | Planification à long terme, ajustement lent | Défense, énergie, administrations, opérateurs d'importance vitale |
| Cloud distribué souverain | Élevé, infrastructure dédiée sur site ou en centre souverain | Intermédiaire, mutualisé avec un opérateur partenaire | Automatisation et orchestration proches du cloud public | Industries réglementées, organismes publics, infrastructures critiques |
| Cloud privé pour l'IA (type VCF) | Fort, infrastructure interne avec plateforme unifiée | Intermédiaire à élevé selon le parc GPU existant | Bonne, mutualisation des environnements applicatifs | Entreprises disposant déjà d'un socle VMware ou Kubernetes |
| Cloud public classique | Limité, données chez le fournisseur | Faible à l'entrée, coût récurrent élevé sur le long terme | Ajustement dynamique des ressources | Usages non critiques, structures sans équipe IT dédiée |
Pour les usages moins critiques, une autre approche existe : héberger l'application en France sans forcément recréer une infrastructure on-premise. C'est le positionnement de plateformes comme Moon AI, qui hébergent leur application et leur stockage chez OVHcloud, à Strasbourg et Roubaix, et proposent un mécanisme de pseudonymisation, Moon Blur, remplaçant les données personnelles par des jetons avant leur envoi aux modèles tiers. Ce procédé étant réversible, il s'agit d'une pseudonymisation au sens de l'article 4-5 du RGPD, et non d'une anonymisation : les requêtes adressées aux modèles tiers partent bien chez leurs fournisseurs, une fois les données pseudonymisées. Cette approche ne remplace pas un on-premise pour les données les plus sensibles, mais elle offre une option d'accès mutualisé à plusieurs dizaines de modèles pour des organisations qui n'ont pas les moyens d'investir dans une infrastructure dédiée.
Questions fréquentes
Le on-premise garantit-il automatiquement la conformité RGPD ?
Non. Le on-premise facilite la démonstration de conformité, notamment pour la traçabilité des journaux d'activité, mais il n'exempte pas l'entreprise de ses obligations. Les éléments disponibles ne permettent pas d'affirmer qu'un mode d'hébergement est systématiquement plus simple à mettre en conformité : cela dépend du périmètre fonctionnel activé et du niveau de risque attribué au système au regard de l'EU AI Act.
Qu'est-ce que le cloud distribué souverain concrètement ?
C'est un modèle qui apporte l'expérience du cloud, automatisation, orchestration, consommation à la demande, directement dans les centres de données de l'entreprise ou dans une infrastructure dédiée et souveraine. Il se distingue du on-premise classique par sa capacité à reproduire l'agilité du cloud public tout en conservant la maîtrise physique des données.
Quelles entreprises doivent prioriser le on-premise plutôt qu'une solution intermédiaire ?
Les secteurs où la confidentialité des données est non négociable, comme la défense, l'énergie, la santé ou la finance, ainsi que les administrations publiques et les opérateurs d'importance vitale, sont ceux pour lesquels l'isolation physique des serveurs et le contrôle total des mises à jour de sécurité pèsent le plus dans la décision.
Existe-t-il des alternatives pour les PME qui ne peuvent pas investir dans une infrastructure on-premise ?
Oui, plusieurs formules existent : le cloud distribué souverain proposé par des opérateurs comme DEEP avec OVHcloud, le cloud privé optimisé pour l'inférence IA comme VMware Cloud Foundation, ou des services hébergés en France s'appuyant sur des mécanismes de pseudonymisation des données personnelles avant leur envoi aux modèles tiers. Chacune de ces options implique un niveau de contrôle différent, à évaluer au regard de la criticité réelle des données traitées.