IA Défense France DGA Guide 2026 : Souveraineté et RGPD

1. Contexte stratégique : pourquoi la DGA impose un guide IA spécifique en 2026

La Loi de programmation militaire 2024-2030 a alloué 6 milliards d’euros à l’IA embarquée et aux systèmes autonomes. Mais l’accélération des projets (drones, analyse satellitaire, cyberdéfense) a révélé des failles juridiques majeures, notamment sur le traitement des données personnelles des civils en zone de conflit. La DGA a donc publié le “IA défense France DGA guide” (réf. DGA/IA/2026-01) qui uniformise les exigences.

“Ce guide n’est pas une option. Tout système d’IA utilisé par les armées françaises ou développé dans le cadre d’un marché DGA doit s’y conformer. Il remplace les instructions techniques éparses et crée un droit commun pour l’IA militaire.”

— Maître Julien Vernet, entretien avec la DGA, novembre 2025

Les trois piliers du guide

Le guide s’articule autour de la souveraineté des données, de la transparence algorithmique et de la conformité RGPD renforcée. Il impose notamment que tout algorithme de décision opérationnelle soit auditable par un tiers de confiance agréé par l’ANSSI.

2. Souveraineté numérique : les clauses obligatoires du guide DGA

Le guide 2026 interdit formellement le recours à des infrastructures cloud non souveraines pour les données classifiées ou sensibles. Seuls les hébergeurs agréés “SecNumCloud” (OVHcloud, Outscale, Cloud Temple) sont autorisés. Les algorithmes doivent être développés en France ou dans un État membre de l’UE, et le code source doit être déposé chez un tiers de confiance français.

Clause de “préférence nationale” pour les modèles de langage

Le guide mentionne explicitement les modèles Mistral AI comme référence pour les tâches de traitement du langage naturel (NLP) en contexte militaire. Les startups French Tech bénéficient d’un guichet accéléré si elles utilisent des briques logicielles open source françaises (ex : Le Chat de Mistral, ou les frameworks de l’INRIA).

“La souveraineté ne se décrète pas, elle se code. Le guide DGA exige que les poids des modèles soient hébergés en France et que les données d’entraînement soient exclusivement issues de sources européennes ou françaises, sauf dérogation motivée.”

— Extrait du rapport DGA “Souveraineté IA” (2025)

3. RGPD et IA défense : les articles clés et les dérogations encadrées

Le RGPD s’applique même en contexte militaire, sauf dérogations très strictes prévues par l’article 23 (sécurité nationale) et l’article 9 (données sensibles). Le guide DGA rappelle que toute IA traitant des données biométriques (reconnaissance faciale, empreintes vocales) doit obtenir une autorisation préalable de la CNIL et du ministère de la Justice.

Les articles du RGPD directement concernés

• Article 5 : minimisation des données – interdit la collecte massive de données civiles “au cas où”.
• Article 22 : décision individuelle automatisée – les soldats doivent pouvoir contester une décision IA.
• Article 35 : AIPD obligatoire pour tout système de notation ou de ciblage.
• Article 46 : transfert de données vers un pays tiers – interdit sauf accord de sécurité négocié (ex : États-Unis, Data Privacy Framework 2.0).

“Attention : la dérogation ‘sécurité nationale’ n’est pas un blanc-seing. Le Conseil d’État a jugé en 2026 que l’utilisation d’une IA prédictive pour la surveillance de foules sans base légale spécifique était illégale. Voir arrêt n°478932.”

— Maître Julien Vernet, analyse de la jurisprudence 2026

4. Focus sur Mistral AI et les startups French Tech : compatibilité avec le guide

Mistral AI est cité 17 fois dans le guide DGA comme “modèle de référence pour l’IA générative souveraine”. Ses API sont désormais compatibles avec les exigences de chiffrement militaire (AES-256, TLS 1.3). Les startups French Tech qui utilisent Mistral peuvent prétendre au label “IA de confiance” délivré par la DGA, ce qui réduit les délais d’homologation de 6 à 3 mois.

Les conditions pour les startups

• Hébergement sur OVHcloud ou Outscale (certification SecNumCloud).
• Pas de dépendance à des API américaines (OpenAI, Google) pour les fonctions critiques.
• Code source ouvert pour les modules de décision (sauf secrets industriels).
• Audit RGPD annuel par un organisme accrédité COFRAC.

“Une startup qui utilise Mistral en local et respecte ces quatre points obtient automatiquement le visa DGA. C’est un accélérateur colossal pour les marchés de la défense.”

— Témoignage d’un CTO de startup French Tech, forum DGA 2025

5. Procédure d’homologation DGA : checklist 2026 pour les entreprises

L’homologation est obligatoire pour tout système d’IA classé “critique” (niveaux 3 et 4 selon la grille DGA). Voici les étapes clés :

1. Dépôt du dossier technique : architecture, flux de données, mesures de sécurité.
2. AIPD version défense : à soumettre à la CNIL en parallèle.
3. Audit du code source par un laboratoire agréé (ex : CEA, INRIA).
4. Test en environnement réel supervisé par un officier de protection des données.
5. Délivrance du certificat valable 2 ans, renouvelable après mise à jour.

“Sans homologation, pas de déploiement. En 2025, 3 projets sur 10 ont été refusés pour non-conformité RGPD. Le guide 2026 durcit encore les critères.”

6. Jurisprudence récente : l’arrêt du Conseil d’État sur l’IA prédictive

Le 12 février 2026, le Conseil d’État (n°478932) a annulé un marché public de la DGA portant sur un système d’IA prédictive destiné à anticiper les mouvements de foule. Motif : absence d’AIPD et non-respect de l’article 22 du RGPD. Cette décision fait jurisprudence : toute IA qui “profile” des personnes physiques (même en zone militaire) doit garantir un droit d’opposition effectif.

Enseignements pour les entreprises

• Ne pas qualifier systématiquement les données de “sécurité nationale” pour contourner le RGPD.
• Prévoir une interface de contestation humaine pour les décisions automatisées.
• Documenter la base légale de chaque traitement (intérêt public impérieux, consentement, etc.).

“Cet arrêt est un avertissement. La DGA elle-même a revu ses clauses types pour les intégrer. Le guide 2026 reprend mot pour mot les attendus du Conseil d’État.”

— Maître Julien Vernet, commentaire de l’arrêt

7. Recommandations sectorielles : défense, cybersécurité, logistique

Le guide DGA propose des annexes sectorielles. Pour la cybersécurité, les IA doivent être entraînées uniquement sur des flux de menaces européens. Pour la logistique prédictive, les données de maintenance doivent être pseudonymisées et stockées en France. Enfin, pour les systèmes d’armes autonomes, un “human-in-the-loop” est obligatoire pour toute action létale.

Tableau des exigences par secteur

“Le guide est très précis : pour la logistique, utilisez des données synthétiques quand c’est possible. La DGA fournit des datasets labellisés ‘France IA’.”

— Guide DGA, annexe logistique (2026)

8. Sanctions et risques : ce que risquent les entreprises non conformes

Les sanctions sont lourdes : amende administrative jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial (RGPD), exclusion des marchés publics pour 5 ans, et peine complémentaire d’interdiction d’exportation d’armes. La DGA a mis en place une cellule de contrôle spécialisée “IA-Def” qui a déjà réalisé 12 audits en 2025.

Cas récents de non-conformité

• Startup A : amende de 2,5M€ pour avoir utilisé des données civiles sans base légale.
• Groupe B : exclusion des appels d’offres DGA pour 3 ans (hébergement AWS non autorisé).
• PME C : interdiction d’exportation vers l’OTAN (algorithme non audité).

“Ne jouez pas avec le guide. Les contrôles sont renforcés en 2026. Si vous n’êtes pas conformes, vous perdez non seulement des marchés, mais aussi la confiance de l’État.”

— Maître Julien Vernet, avocat spécialisé