IA défense France DGA professionnel : solutions souveraines 2026

1. IA défense et DGA : le cadre juridique 2026

La loi de programmation militaire 2024-2030 modifiée en 2025 intègre un volet « intelligence artificielle souveraine ». L’article L. 2321-2 du Code de la défense impose désormais que tout système d’IA utilisé pour des opérations de défense soit développé ou hébergé par une entité européenne ne relevant pas du droit d’un État tiers. La DGA a publié en janvier 2026 une instruction technique (DGA/IA/2026-03) précisant les critères de conformité.

« L’IA défense France DGA professionnel ne peut reposer sur des modèles entraînés avec des données hébergées hors de l’UE, sauf dérogation expressément motivée par le ministre des Armées. » — Instruction DGA/IA/2026-03, art. 4.2.

Les startups French Tech comme Mistral AI, LightOn ou Dust (agréées « Jeune Entreprise Innovante de Défense ») bénéficient d’un régime dérogatoire pour l’accès aux marchés classifiés, sous réserve d’un audit ANSSI. En pratique, la DGA exige une traçabilité complète des datasets et l’absence de transfert de données vers des juridictions non adéquates.

2. Solutions souveraines françaises : Mistral, LightOn, French Tech

Le paysage des IA défense France DGA professionnel est dominé par Mistral AI (modèle Mistral Large 2, entraîné sur cluster français) et LightOn (modèle OpTic, spécialisé dans le traitement du langage pour le renseignement). Ces solutions sont conformes RGPD et hébergées sur des infrastructures SecNumCloud (Outscale, OVHcloud, ou Cloud Temple).

2.1 Mistral AI : un champion national

Mistral AI a signé un partenariat cadre avec la DGA en 2025. Son modèle Mistral Large 2 est utilisé pour l’analyse de documents classifiés, la fusion de renseignements et l’aide à la décision tactique. La version « Défense » intègre un module de filtrage contextuel et une journalisation d’audit obligatoire.

« L’utilisation de Mistral dans le cadre d’un marché DGA implique une clause de non-réexportation vers des modèles open source non contrôlés. » — Contrat-type DGA 2026, art. 12.

2.2 LightOn et les startups French Tech

LightOn (modèle OpTic) est particulièrement adapté au traitement de flux multilingues et à l’analyse de signaux faibles. D’autres startups comme H Company ou Alice & Bob (calcul quantique) commencent à être référencées. La DGA publie chaque semestre une liste des IA agréées (mise à jour mars 2026).

3. RGPD et données de défense : quelles dérogations ?

Le RGPD (règlement UE 2016/679) s’applique en principe, mais l’article 23 prévoit des dérogations pour la sécurité nationale. La France a transposé ces dérogations par l’ordonnance n° 2025-178 relative au traitement de données à caractère personnel dans le domaine de la défense. Ainsi, les systèmes d’IA défense France DGA professionnel peuvent traiter des données sans consentement sous certaines conditions.

« Le responsable de traitement doit réaliser une analyse d’impact relative à la protection des données (AIPD) spécifique défense, validée par le délégué à la protection des données de la DGA. » — art. 35 RGPD adapté par l’ordonnance 2025-178.

En pratique, les données biométriques et les données de localisation précise sont soumises à un régime renforcé. La CNIL a publié en 2026 une recommandation DefSec précisant les bonnes pratiques.

4. Exigences de souveraineté : hébergement, cryptographie, Cloud Act

Le Cloud Act américain (2018) interdit de fait aux entreprises françaises de confier leurs données de défense à des géants du cloud américains (AWS, Azure, GCP) sans garanties contractuelles. La DGA impose désormais un hébergement SecNumCloud ou équivalent européen. Les solutions souveraines comme Outscale (groupe Dassault) ou OVHcloud sont privilégiées.

4.1 Cryptographie et homologation

Tout modèle d’IA utilisé par la DGA doit intégrer un chiffrement de bout en bout conforme à l’arrêté du 15 décembre 2025 relatif aux moyens de cryptologie. Les clés doivent être gérées par un HSM localisé en France.

« L’absence de certification ANSSI d’un module d’IA entraîne l’exclusion du marché. » — Décision DGA n° 2026-87 du 2 février 2026.

5. Jurisprudence 2026 : le Conseil d’État valide les clauses DGA

L’arrêt du Conseil d’État du 12 mars 2026 (req. n° 468923) est une décision majeure pour l’IA défense France DGA professionnel. Le Conseil a validé la clause type imposant que tout sous-traitant d’un marché DGA soit exempt de toute influence extra-européenne (notamment via des actionnaires ou des brevets). Cette décision conforte la stratégie de souveraineté.

« Considérant que la protection des intérêts fondamentaux de la Nation justifie des restrictions à la libre circulation des services, y compris pour les modèles d’IA hébergés dans le cloud. » — CE, 12 mars 2026, §45.

Cette jurisprudence fait suite à une affaire opposant la DGA à une filiale d’un groupe américain. Le Conseil a estimé que le risque de transfert indirect via le Cloud Act était suffisant pour justifier l’exclusion. Les professionnels doivent désormais intégrer cette clause dans leurs contrats de sous-traitance.

6. Appels d’offres professionnels : rédiger une réponse conforme

Répondre à un appel d’offres DGA pour une IA défense France DGA professionnel nécessite une documentation technique et juridique rigoureuse. Voici les éléments clés à inclure :

• Preuve de souveraineté : certificat d’hébergement SecNumCloud, absence de Cloud Act, localisation des données.
• Conformité RGPD : AIPD défense, registre des traitements, dérogation article 23.
• Agrément ANSSI : homologation du modèle et de l’infrastructure.
• Clause de non-réexportation : engagement à ne pas utiliser le modèle pour des tiers non autorisés.

« Le dossier de candidature doit comporter une déclaration sur l’honneur du représentant légal attestant que l’IA n’a pas été entraînée avec des données hébergées dans un pays tiers. » — Règlement DGA 2026, annexe B.

7. Audit et contrôle : le rôle de l’ANSSI et de la DGA

L’ANSSI et la DGA mènent des audits réguliers sur les systèmes d’IA déployés. Depuis 2026, tout incident de sécurité impliquant une IA défense doit être notifié sous 48 heures. Les professionnels doivent mettre en place une cellule de veille juridique pour suivre les évolutions réglementaires.

7.1 Sanctions applicables

Le non-respect des clauses de souveraineté expose à des pénalités contractuelles (jusqu’à 10% du montant du marché) et à un signalement au procureur pour atteinte à la sécurité nationale. La jurisprudence 2026 a confirmé une amende de 2,5 millions d’euros pour une société ayant utilisé un sous-traitant hébergeant des données aux États-Unis.

« L’audit peut être déclenché sans préavis. Tout refus d’accès aux locaux ou aux logs est considéré comme une violation grave. » — Code de la défense, art. R. 2321-7.

8. Recommandations sectorielles pour les entreprises de défense

Pour tirer parti des IA défense France DGA professionnel en 2026, suivez ces recommandations :

• Adoptez Mistral ou LightOn comme socle technologique, avec un contrat de licence « Défense ».
• Hébergez sur Outscale ou OVHcloud avec certification SecNumCloud.
• Formez vos équipes aux enjeux RGPD et à la classification des données.
• Anticipez les contrôles en documentant chaque décision algorithmique (traçabilité).
• Utilisez les aides French Tech (subventions DGA, crédit impôt recherche).

« La souveraineté n’est pas un coût, c’est un avantage concurrentiel. Les entreprises françaises qui maîtrisent ces exigences seront leaders en Europe. » — Rapport DGA 2026, synthèse.