Agent IA français : quelles solutions souveraines tiennent vraiment la route pour une PME en 2026

TL;DR

• L'écosystème agent IA français a changé de catégorie en 18 mois : Mistral a levé 1,7 milliard d'euros en septembre 2025 (valorisation 11,7 milliards, environ 300 millions d'euros de revenus annualisés), Dust a bouclé 40 millions de dollars en mai 2026 avec plus de 3 000 entreprises clientes, LightOn tient le créneau on-premise.
• "Souverain" recouvre trois réalités très différentes : résidence des données en UE, opérateur de droit européen (hors Cloud Act), et on-premise intégral. La plupart des PME n'ont besoin que de la première, certaines de la deuxième, très peu de la troisième.
• L'AI Act devient pleinement applicable le 2 août 2026. Pour un usage agent classique en PME, les obligations restent gérables (transparence, documentation, formation), mais les cas d'usage RH et scoring basculent en régime haut risque.
• Côté coûts API, le souverain n'est pas un surcoût : Mistral Medium 3 (0,40/2 USD par million de tokens) est moins cher que les équivalents américains. Le surcoût réel se situe sur le on-premise et sur le temps d'intégration (écosystème agentique moins mûr, 15 à 30 pour cent de build en plus).
• Notre grille de décision en quatre questions permet de qualifier en une heure si la souveraineté est chez vous une exigence réelle, un avantage commercial, ou du théâtre.

Pourquoi cet article maintenant

Début 2026, un courtier en assurance santé collective de la région nantaise (52 salariés, environ 800 entreprises clientes en portefeuille) nous consulte pour automatiser la pré-analyse de ses dossiers entrants : extraction des garanties depuis les contrats concurrents, détection des écarts de couverture, préparation du comparatif pour les commerciaux. Techniquement, rien d'exotique. Un agent avec de l'extraction documentaire, deux ou trois appels d'outils, une sortie structurée vers leur CRM.

Le point dur était ailleurs. Leurs documents contiennent des données de santé au sens RGPD, leur DPO externe avait posé une ligne rouge sur tout traitement par un fournisseur de droit américain, et deux de leurs gros clients (des ETI industrielles) venaient d'ajouter des clauses de localisation des traitements IA dans leurs avenants. Le choix du modèle n'était plus une question de benchmark, c'était une question de contrat.

On a livré l'agent sur Mistral Medium 3 via La Plateforme, hébergement UE, opérateur de droit français, DPA propre. Coût API constaté après trois mois de production : 85 à 140 EUR par mois pour environ 1 100 dossiers traités. Précision d'extraction mesurée sur échantillon manuel : 94 pour cent sur les garanties standard, 81 pour cent sur les clauses exotiques (renvoyées en revue humaine). Le client a signé ses deux avenants sans friction.

Voilà le cas où le "souverain" est une exigence réelle, qui se qualifie en une réunion et se chiffre. Le problème, c'est que pour dix demandes qui arrivent avec le mot "souveraineté" dedans, on en compte environ trois dans ce cas. Les sept autres relèvent d'une préférence diffuse, parfois légitime, souvent alimentée par un marketing qui surfe sur l'anxiété géopolitique. Et cette confusion coûte cher : soit en surcoût d'infrastructure inutile, soit en renoncement à des outils qui auraient parfaitement convenu.

Cet article fait le tri. Le paysage français réel en 2026, les coûts comparés, la grille pour qualifier votre besoin, et les pièges qu'on a payés sur nos propres projets.

Le paysage français en 2026 : trois acteurs qui comptent, et le reste

La France compte plus de 780 startups IA en 2025, en hausse de 27 pour cent par rapport à 2023, avec environ 13 milliards d'euros levés collectivement. Sur ce volume, trois acteurs structurent réellement l'offre agent IA pour les entreprises. Les autres sont soit des surcouches d'API américaines avec un drapeau français sur la landing page (on y revient), soit des acteurs de niche verticale.

Mistral AI : le socle modèle

Mistral a définitivement quitté la catégorie "challenger prometteur". La levée de 1,7 milliard d'euros de septembre 2025, menée par le néerlandais ASML, a porté la valorisation à 11,7 milliards d'euros et fait de l'entreprise la première décacorne française. Côté usage réel, l'entreprise revendique environ 300 millions d'euros de revenus en rythme annualisé fin 2025, soit dix fois le niveau de fin 2024, et son dirigeant a publiquement posé l'objectif de dépasser le milliard d'euros de revenus en 2026 lors du forum de Davos en janvier.

Pour une PME, Mistral c'est concrètement La Plateforme : une API au token, hébergée dans des datacenters européens, opérée par une entreprise de droit français. La gamme 2026 couvre tous les étages : Ministral 8B à 0,10 USD par million de tokens (entrée comme sortie) pour les tâches simples, Medium 3 à 0,40/2 USD pour le gros des workloads agents, Large 3 à 2/6 USD pour les cas qui demandent du raisonnement. À titre de comparaison, ce positionnement tarifaire est agressif : sur la plupart des paires de modèles équivalents, Mistral est au niveau ou en dessous des tarifs américains.

Notre retour de production, sans langue de bois : sur l'extraction, la classification, la génération de texte français et les agents courts (3 à 8 appels d'outils), Medium 3 et Large 3 tiennent le niveau requis. Sur les agents longs et complexes (orchestration 15 appels et plus, raisonnement sur du code volumineux), Claude et GPT gardent une avance que nous mesurons encore dans nos benchmarks internes. Ce n'est pas disqualifiant, c'est une donnée de dimensionnement : on choisit le modèle par cas d'usage, pas par nationalité.

Dust : la plateforme d'agents prête à l'emploi

Dust occupe un créneau différent : pas un fournisseur de modèles, mais une plateforme no-code pour construire et déployer des agents branchés sur les outils de l'entreprise (Slack, Notion, Gmail, Hubspot, Google Drive). La société a levé 40 millions de dollars en mai 2026 auprès de Sequoia Capital et Abstract, avec Snowflake et Datadog en co-investisseurs, portant le total levé au-delà de 60 millions depuis 2022. Elle revendique plus de 3 000 entreprises clientes, dont Doctolib, Qonto, Alan et Pennylane, plus de 300 000 agents actifs sur la plateforme, et un ARR passé d'environ 1 à plus de 20 millions de dollars en deux ans.

Nuance utile, parce que le drapeau peut induire en erreur : Dust est une entreprise française avec hébergement européen, mais les agents construits dessus s'appuient sur les grands modèles du marché, y compris américains (avec des accords de traitement de données encadrés). Si votre exigence est "aucun fournisseur de droit américain ne touche mes données", Dust en configuration par défaut ne la satisfait pas. Si votre exigence est "hébergement UE, RGPD propre, time-to-value court", c'est probablement la réponse la plus rapide du marché pour une PME de 10 à 200 personnes.

Sur un projet client PME en 2025, une société de services RH de 35 personnes, on a déployé quatre agents Dust (synthèse de réunions clients, préparation de propositions, veille réglementaire, FAQ interne) en moins de trois semaines, sans une ligne de code. L'adoption a tenu : environ 70 pour cent d'utilisateurs actifs hebdomadaires à six mois, ce qui correspond d'ailleurs au taux d'usage que Dust communique sur sa base. La limite est apparue exactement où on l'attendait : dès qu'il a fallu un workflow métier précis avec des règles dures et des intégrations exotiques, on est sortis du no-code pour passer sur du custom.

LightOn : le on-premise pour les cas étroits

LightOn est le seul acteur français d'envergure positionné sérieusement sur le déploiement on-premise : les modèles tournent sur les serveurs du client, rien ne sort. La cible est explicite : banques, administrations, défense, hôpitaux. Pour une PME standard, ce positionnement est surdimensionné, et le ticket d'entrée (infrastructure GPU dédiée plus licence plus maintien en condition opérationnelle) le réserve aux structures qui ont une contrainte dure, pas une préférence.

On le mentionne quand même pour une raison : certains de nos clients PME sont sous-traitants de donneurs d'ordre défense ou santé, et héritent contractuellement d'exigences qui dépassent leur taille. Dans ce cas précis, la conversation LightOn (ou un déploiement open-weight maison type vLLM sur infra dédiée) a du sens. Pour les autres, c'est un coût sans contrepartie.

"Souverain" : les trois niveaux que tout le monde confond

Le mot souverain est devenu un argument commercial, et il écrase trois exigences de natures très différentes. Les distinguer est la première étape de toute décision propre.

Niveau 1, la résidence des données. Vos données sont traitées et stockées dans des datacenters situés en UE. C'est le niveau qu'exigent la plupart des DPO et des clauses RGPD standard. Point essentiel : les fournisseurs américains le proposent aussi (régions UE chez les hyperscalers, options de data residency chez les fournisseurs de modèles). Ce niveau est aujourd'hui accessible chez à peu près tout le monde et ne justifie pas, à lui seul, d'écarter un fournisseur.

Niveau 2, l'opérateur de droit européen. Là, on parle du Cloud Act : la loi américaine qui permet aux autorités US de réquisitionner des données détenues par des entreprises de droit américain, où que soient leurs serveurs. Un datacenter Azure à Paris reste exposé. Si votre contrainte est de sortir de ce périmètre juridique (marchés publics sensibles, clauses contractuelles de certains grands comptes, doctrine interne stricte), il vous faut un opérateur européen de bout en bout : Mistral sur La Plateforme, OVHcloud AI Endpoints, Scaleway, ou les offres qualifiées SecNumCloud pour les cas les plus exigeants.

Niveau 3, le on-premise. Rien ne sort de vos murs. Défense, santé hospitalière, certaines banques. Coût et complexité d'un autre ordre de grandeur.

L'erreur classique consiste à exprimer un besoin de niveau 1 et à payer pour du niveau 2 ou 3. L'erreur inverse existe aussi : on a vu une PME signer un contrat avec une clause de localisation stricte sans réaliser que son stack IA passait par un fournisseur américain, et découvrir le problème en audit client. Dans les deux sens, la qualification précoce coûte une heure et économise des dizaines de milliers d'euros.

La grille de décision en quatre questions

Voici la grille qu'on déroule en cadrage. Une heure, quatre questions, et la réponse tombe presque toute seule.

1. Quelles catégories de données vont transiter par l'agent ? Données de santé, données pénales, données de mineurs, secrets industriels sous accord de confidentialité renforcé : chaque catégorie sensible pousse vers le niveau 2 minimum. Des données clients B2B classiques (emails, CRM, documents commerciaux) se traitent proprement au niveau 1 avec un DPA correct.

2. Vos contrats clients ou votre secteur imposent-ils quelque chose ? Relisez les avenants récents de vos cinq plus gros clients. Les clauses de localisation des traitements IA se multiplient depuis 2025, surtout côté ETI et grands comptes industriels. Si elles existent, le sujet n'est plus une préférence, c'est une obligation contractuelle chiffrable.

3. Où serez-vous le 2 août 2026 au regard de l'AI Act ? Le règlement, entré en vigueur le 1er août 2024, devient pleinement applicable le 2 août 2026 : obligations sur les systèmes à haut risque de l'annexe III et obligations de transparence. Les pratiques interdites courent depuis février 2025, les obligations des fournisseurs de modèles depuis août 2025. Pour un agent support ou marketing, l'impact se limite à la transparence (dire que c'est une IA), à la documentation et à la formation des équipes. Pour un agent qui trie des CV ou influence un scoring d'accès à un service, vous basculez en haut risque : gestion des risques documentée, contrôle humain, documentation technique. À noter, les sanctions sont plafonnées plus favorablement pour les PME (le montant retenu est le plus bas entre le pourcentage du CA mondial et le montant fixe, là où les grandes entreprises écopent du plus élevé). Travailler avec un fournisseur européen ne vous exonère de rien, mais simplifie concrètement la collecte de documentation.

4. Le "made in France" a-t-il une valeur commerciale chez vous ? Pour certains de nos clients (secteur public local, agro, industrie patrimoniale), afficher une stack IA française est un argument de vente mesurable. Pour d'autres, personne ne posera jamais la question. C'est un critère légitime, à condition de le nommer pour ce qu'il est : du positionnement, pas de la conformité.

Si les quatre réponses sont "rien de sensible, pas de clause, usage hors annexe III, pas de valeur commerciale", alors la nationalité du fournisseur est pour vous un non-sujet. Choisissez sur le benchmark, le coût et l'écosystème. Et c'est très bien comme ça.

Les coûts réels, comparés sans idéologie

Mettons des chiffres sur la table, parce que le débat souverain charrie beaucoup de suppositions fausses sur les coûts.

API au token : le souverain est compétitif, parfois moins cher. Mistral Medium 3 à 0,40 USD le million de tokens en entrée et 2 USD en sortie se situe sous la plupart des modèles américains de gamme équivalente. Ministral 8B à 0,10/0,10 est imbattable pour le routage, la classification et l'extraction simple. Pour un agent PME qui traite 2 000 à 5 000 conversations ou documents par mois, la facture API tourne entre 40 et 250 EUR mensuels, et la nationalité du fournisseur ne change presque rien à ce chiffre. Notre guide détaillé des coûts d'un agent IA en production pose la méthode de calcul complète.

Le temps d'intégration : le vrai surcoût caché. L'écosystème agentique américain (SDK, serveurs MCP, librairies, exemples, communauté) garde une longueur d'avance en maturité. Concrètement, sur nos projets 2025 et début 2026, un agent équivalent construit sur stack Mistral plutôt que Claude ou OpenAI demande 15 à 30 pour cent de temps de build en plus : connecteurs à écrire soi-même, moins d'exemples de référence, quelques comportements d'appels d'outils à stabiliser au prompt. Sur un setup à 12 000 EUR, ça représente 1 800 à 3 600 EUR. Pas rédhibitoire, mais à budgéter honnêtement plutôt qu'à découvrir.

Le on-premise : un ordre de grandeur au-dessus. GPU dédié, MCO, montées de version, monitoring : comptez 1 500 à 4 000 EUR par mois d'infrastructure avant même la première requête, plus les licences le cas échéant. Sous 200 salariés et sans contrainte dure, on ne l'a jamais vu se justifier économiquement.

Une contradiction qu'on assume : on entend souvent que "le souverain coûte plus cher, c'est le prix de l'indépendance". Sur la couche API, c'est factuellement faux en 2026, Mistral est l'un des fournisseurs les moins chers du marché. Et on entend aussi l'inverse, "le souverain ne coûte rien de plus". Faux également dès qu'on intègre le temps de build et, a fortiori, le on-premise. La vérité est ennuyeuse : ça dépend de la couche dont on parle.

Architecture type : un agent souverain niveau 2 en production

Pour fixer les idées, voici l'architecture qu'on déploie le plus souvent quand un client a une exigence de niveau 2 (opérateur européen de bout en bout).

Le socle modèle est Mistral via La Plateforme (Medium 3 par défaut, Large 3 sur les étapes de raisonnement, Ministral 8B pour le routage et la classification en amont, ce qui divise par quatre à six le coût des étapes simples). L'orchestration tourne sur n8n auto-hébergé chez un hébergeur européen (Scaleway ou OVHcloud, instance à 30 à 80 EUR par mois), ce qui garde les logs et les payloads dans le périmètre. La base documentaire (pour le RAG) vit dans une instance PostgreSQL avec pgvector chez le même hébergeur : pas besoin d'un service vectoriel américain managé pour des volumétries PME, pgvector tient sans broncher jusqu'à plusieurs millions de chunks.

Trois points de vigilance issus de la production. D'abord, la couche d'abstraction modèle : on isole systématiquement les appels LLM derrière une interface unique, ce qui permet de re-benchmarker et de changer de modèle en quelques jours quand la gamme évolue (et elle évolue vite, trois mises à jour majeures de gamme chez Mistral sur les douze derniers mois). Ensuite, le monitoring : mêmes exigences que pour n'importe quel agent, échantillonnage manuel mensuel, suivi du taux d'erreur par type de tâche, alerting sur les dérives de coût. Notre guide de déploiement d'un agent IA en production détaille la checklist complète. Enfin, les connecteurs : vérifiez la résidence des données de chaque outil tiers branché à l'agent. Un agent souverain qui pousse ses résultats dans un SaaS américain sans DPA correct ruine l'exercice. C'est le maillon qu'on oublie le plus souvent, et le standard MCP ne résout pas la question juridique, seulement la question technique.

Les pièges qu'on a payés

Le souverainwashing des surcouches. Une partie non négligeable des "agents IA français" du marché sont des interfaces posées sur des API américaines. Ce n'est pas un problème en soi (c'est même souvent un bon produit), mais c'en est un quand la communication laisse entendre le contraire. Le test en deux minutes : demandez le sous-traitant de traitement listé au DPA et le lieu d'inférence. Si la réponse est floue, vous avez votre réponse.

Benchmarker la marque au lieu du cas d'usage. En 2025, on a repris un projet où le prestataire précédent avait imposé un modèle français sur une tâche d'agent complexe multi-outils, par principe. Taux de complétion en production : 71 pour cent, inacceptable. Re-benchmark, bascule de l'orchestrateur sur un modèle américain via une région UE (le client était niveau 1, pas niveau 2), maintien du modèle français sur l'extraction où il était excellent : 93 pour cent. Le patriotisme technologique appliqué sans mesure coûte des points de fiabilité.

Sous-estimer la vitesse d'évolution. La gamme Mistral de mi-2026 n'a plus grand-chose à voir avec celle de début 2025. Un choix figé dans un contrat de 24 mois sans clause de revoyure technique, c'est la garantie de tourner sur du matériel daté. On impose désormais une revue de stack semestrielle sur tous nos retainers.

Oublier que la conformité est un processus, pas un fournisseur. Choisir Mistral ou Dust ne vous met pas en conformité AI Act ou RGPD par magie. Les obligations de transparence, de documentation des usages et de formation des équipes vous incombent quel que soit le fournisseur. Le bon fournisseur facilite le dossier, il ne le remplace pas.

Quand ne PAS choisir une solution française

Trois cas où on oriente nos clients vers une stack américaine (en région UE), et où on l'écrit dans le compte rendu de cadrage.

D'abord, les agents longs et complexes où l'écart de capacité agentique se mesure encore : orchestrations à 15 appels d'outils et plus, raisonnement sur des bases de code, tâches autonomes longues. Si votre cas d'usage est là et que votre contrainte réelle est de niveau 1, brider la fiabilité pour un drapeau est une mauvaise décision d'ingénierie.

Ensuite, les équipes qui dépendent fortement d'un écosystème spécifique : si vos workflows reposent déjà sur un SDK agentique américain et ses connecteurs, le coût de migration vers une stack moins outillée doit être justifié par une contrainte, pas par une humeur.

Enfin, les cas où le budget build est serré : à enveloppe contrainte, les 15 à 30 pour cent de temps d'intégration supplémentaires se paient en fonctionnalités non livrées. Mieux vaut un agent fiable en région UE qu'un agent souverain à moitié fini.

Et une nuance pour finir ce chapitre : l'inverse est tout aussi vrai. Si vous cochez une contrainte de niveau 2, la stack française n'est pas un compromis militant, c'est aujourd'hui une option techniquement solide et économiquement compétitive. Ce qui est nouveau, et c'est précisément pour ça que cet article existe en 2026 plutôt qu'en 2024.

Ce qu'on retient

Le marché français des agents IA a atteint le seuil de crédibilité industrielle : Mistral sur les modèles (300 millions d'euros de revenus annualisés, gamme tarifaire agressive), Dust sur les plateformes d'agents (plus de 3 000 clients, hébergement UE), LightOn sur le on-premise de niche. Pour une PME francophone, construire souverain n'est plus un sacrifice technique sur la majorité des cas d'usage.

La décision propre commence par qualifier votre exigence réelle : résidence des données (niveau 1, accessible partout), opérateur européen hors Cloud Act (niveau 2, là où Mistral et consorts prennent tout leur sens), ou on-premise (niveau 3, réservé aux contraintes dures). Quatre questions, une heure de cadrage, et la grille tranche. L'échéance AI Act du 2 août 2026 ajoute une raison de documenter ce choix maintenant, surtout si vos usages flirtent avec l'annexe III.

Côté budget, retenez les ordres de grandeur : API au niveau ou en dessous des tarifs américains, 15 à 30 pour cent de temps de build en plus à prévoir sur l'intégration, on-premise hors de portée raisonnable sous 200 salariés. Et quelle que soit la stack, gardez une couche d'abstraction modèle : dans un marché qui sort trois générations de modèles par an, la réversibilité vaut plus que n'importe quel choix initial.

Si vous êtes CTO ou dirigeant d'une PME de 10 à 100 personnes, que des clauses de localisation commencent à apparaître dans vos contrats clients ou que votre DPO a posé des lignes rouges sur les fournisseurs américains, c'est le bon moment pour cadrer le sujet posément, avant que l'échéance d'août ou un audit client ne le transforme en urgence. Pour la méthode complète de mise en production, notre guide de déploiement d'un agent IA en PME couvre le cycle entier, du cadrage au monitoring. Et pour chiffrer votre projet avant de vous engager, le guide des coûts réels d'un agent IA pose tous les postes, API comprise.