RAG hébergé en France : ce que la souveraineté change réellement

Un RAG (Retrieval-Augmented Generation) stocke trois choses : vos documents, le texte extrait et un index de vecteurs. Dire qu'il est hébergé en France signifie que ces données résident sur des serveurs situés en France. C'est une information utile. Elle répond à la question « où ? ».

Elle ne répond pas à la question « sous quel contrôle ? ». Le guide RAG de la Direction générale des entreprises (DGE) le rappelle : dans un hébergement cloud, les données transitent entre l'entreprise cliente et les serveurs du fournisseur. Pour l'isolement des données, le guide donne l'avantage à l'hébergement sur site, à une condition : que la cybersécurité du système d'information soit bien assurée.

Sources : DGE, Guide RAG, novembre 2024, p. 14-15. Lecture IgnitionAI pour les colonnes.

Le droit américain contient une disposition que tout acheteur de RAG devrait lire en entier. L'article 2713 du titre 18 du Code des États-Unis est issu du CLOUD Act de 2018. Il impose à un fournisseur de services de communications électroniques ou de services informatiques à distance de préserver ou de communiquer les données qu'il détient. L'obligation s'applique « que ces données soient situées à l'intérieur ou à l'extérieur des États-Unis » (notre traduction).

La conséquence est simple. Le critère qui compte est le rattachement juridique du fournisseur, et la ville du centre de données ne suffit pas à le trancher. Un service hébergé à Paris par une société soumise à ce texte reste dans son champ.

L'ANSSI a construit une réponse à ce risque. Sa qualification SecNumCloud reconnaît des offres cloud qui visent à protéger les données sensibles « face à la menace cybercriminelle et à l'application de lois extraterritoriales ». L'agence précise aussi une limite : la qualification « ne préjuge pas » du niveau de sécurité des services du client construits sur l'offre qualifiée. Un RAG installé sur une infrastructure qualifiée n'hérite donc pas automatiquement de la qualification.

Les trois questions à poser à chaque fournisseur de la chaîne :

1. Quelle société exploite le service, et dans quel pays est-elle établie ?
2. L'offre utilisée est-elle qualifiée SecNumCloud, et pour quel périmètre exact ?
3. Quels sous-traitants traitent des données, où, et avec quelles garanties de transfert ?

Un RAG se compose de plusieurs briques, et chacune peut vivre ailleurs. Le guide de la DGE le note explicitement : l'hébergement peut être différencié selon les briques. Un de ses cas présentés combine une recherche vectorielle sur site et un appel au modèle dans le cloud.

La couche « modèle » est la plus souvent oubliée. À chaque question, les passages récupérés dans vos documents sont envoyés au modèle pour rédiger la réponse. Un index hébergé en France associé à un modèle appelé ailleurs fait donc sortir des extraits de vos documents à chaque requête.

Le guide de la DGE compare les modes d'hébergement d'un RAG. Ses conclusions tiennent en un tableau.

Source : DGE, Guide RAG, novembre 2024, p. 14.

Le même guide donne un ordre de grandeur de délai, présenté « à titre indicatif » : un même projet peut demander 6 mois de déploiement sur site contre 2 mois dans le cloud. Ce chiffre est celui de la DGE. Il ne décrit pas un projet particulier.

Le choix dépend donc moins d'une préférence de principe que de trois paramètres : la sensibilité des documents, les compétences internes disponibles pour exploiter l'infrastructure dans la durée, et le délai acceptable.

IgnitionRAG est un RAG d'entreprise qui répond à partir de vos documents en citant ses sources. Voici sa position sur chacune des quatre couches, d'après ses pages publiques.

Stockage et index. L'infrastructure (base de données, serveurs) est hébergée en France chez OVH.

Modèle de langage. En SaaS (offres Solo et Équipe), l'IA est gérée par la plateforme, avec crédits inclus : vous ne fournissez aucune clé. La politique de confidentialité indique que les appels au modèle passent alors par l'infrastructure de la plateforme. Avec une licence, le BYOK (« apportez vos clés ») est possible : les appels au modèle peuvent alors utiliser les clés du client. La politique ne précise pas le fournisseur ni le lieu d'exécution du modèle en SaaS : si ce point est déterminant pour vous, posez la question avant d'ingérer des documents sensibles.

Services annexes. L'authentification, les paiements et les emails transactionnels passent par des prestataires listés dans la politique de confidentialité. Certains sont établis aux États-Unis. La politique décrit les clauses contractuelles types mises en place pour ces transferts.

Journaux et traces. La politique de confidentialité fixe la conservation des journaux techniques à 12 mois.

Déploiement. La licence Agence/ESN, sur devis, se déploie sur l'infrastructure du client (Azure, AWS ou Google Cloud) ou chez IgnitionAI, avec BYOK possible.

Ce guide ne présente pas IgnitionRAG comme une offre qualifiée SecNumCloud. La licence se déploie aujourd'hui sur l'Azure, l'AWS ou le Google Cloud du client, ou chez IgnitionAI. Si votre cas d'usage exige une qualification SecNumCloud, vérifiez-la couche par couche, avec la limite rappelée par l'ANSSI plus haut.

Base de la grille : DGE, Guide RAG, novembre 2024, p. 9 et 14-15 ; ANSSI, page SecNumCloud. L'affectation des situations relève de notre lecture et ne constitue pas un avis juridique.

Sources réglementaires et institutionnelles

• 18 U.S.C. § 2713, Required preservation and disclosure of communications and records, texte officiel publié par l'Office of the Law Revision Counsel de la Chambre des représentants des États-Unis ; version Legal Information Institute (Cornell) : law.cornell.edu. Ajouté par Pub. L. 115-141 du 23 mars 2018. Consulté le 22 octobre 2026.
• ANSSI, Cloud : qualification et visa de sécurité SecNumCloud. Consulté le 22 octobre 2026.
• DGE, Guide de la génération augmentée par récupération (RAG), novembre 2024, p. 9, 14 et 15. Consulté le 22 octobre 2026.

Sources techniques

• OVHcloud, régions et zones de disponibilité : localisation des régions françaises. Consulté le 22 octobre 2026.
• IgnitionRAG, politique de confidentialité et page pilote : hébergement, sous-traitants, configuration IA selon l'offre. Consultées le 22 octobre 2026.

Estimations IgnitionAI

Aucune. Les seuls chiffres de durée sont ceux de la DGE, cités avec sa mention « à titre indicatif ».

Limites

Ce guide décrit des questions à poser et des critères de choix. Il ne qualifie pas juridiquement votre situation. Les décisions de transfert et de sous-traitance se valident avec votre DPO et votre RSSI.

Dernière relecture des sources

22 octobre 2026.

Les offres Solo (59 € HT/mois) et Équipe (249 € HT/mois) incluent les crédits IA. L'essai prévoit 14 jours et 100 crédits, sans carte bancaire. Pour un déploiement sous licence dans votre cloud, décrivez votre contexte depuis la page pilote.