Introduction
Le préfet de Seine-et-Marne a autorisé le 29 juillet 2026 la réalisation du campus de centres de données Campus IA sur la commune de Fouju, ainsi que l’exploitation des premiers bâtiments. Les travaux de la première phase sont annoncés pour septembre 2026. L’ouverture de ce chantier place la question de la souveraineté de la capacité de calcul au centre des arbitrages de sécurité des organisations françaises.
Le projet Campus IA en données vérifiées
- Actionnariat de la société porteuse : MGX (fonds d’investissement technologique des Émirats arabes unis), Bpifrance, NVIDIA et Mistral AI.
- Implantation : lieu-dit Les Bordes, commune de Fouju (77), à environ 40 kilomètres au sud-est de Paris, sur un périmètre de l’ordre de 87 à 90 hectares.
- Programme immobilier : trois bâtiments de datacenters et un bâtiment de formation en phase 1 d’ici 2028, puis une neuvaine de datacenters supplémentaires à partir de 2029.
- Puissance électrique cible : 1,4 GW, avec raccordement au réseau 400 000 volts via un poste RTE implanté sur site.
- Puissance déjà contractualisée : 700 MW auprès de RTE selon la réponse ministérielle publiée au Journal officiel du Sénat.
- Extension nationale annoncée le 1er juin 2026 au sommet Choose France : objectif de capacité porté jusqu’à 3 GW, avec un accès prioritaire de Mistral AI et un approvisionnement sécurisé pouvant atteindre 200 MW sur le site de Fouju.
- Investissement annoncé : 30 à 50 milliards d’euros, dans le cadre des engagements pris lors du sommet sur l’IA de février 2025.
Un recours contentieux a été annoncé par un collectif d’associations, et le dossier reste soumis à l’examen du Conseil départemental de l’environnement et des risques sanitaires et technologiques. Le calendrier industriel demeure donc exposé à un aléa juridique.
Localisation des infrastructures et contrôle effectif des traitements
L’implantation d’une capacité de calcul sur le territoire national constitue une condition nécessaire de la souveraineté numérique. Elle en couvre une partie seulement. Trois autres dimensions déterminent le niveau réel de contrôle.
- Contrôle capitalistique. La question écrite déposée au Sénat relève que le fonds souverain émirati MGX détient plus de 50 % du capital de la société par actions simplifiée portant le projet. La structure de détention conditionne l’exposition potentielle à des régimes juridiques extraterritoriaux et l’arbitrage des priorités d’allocation de capacité en période de tension.
- Maîtrise de la chaîne matérielle. L’infrastructure d’entraînement et d’inférence repose sur des accélérateurs graphiques conçus par un fournisseur unique, associé au tour de table. La disponibilité des composants, les cycles de renouvellement et les conditions de licence logicielle constituent des points de dépendance documentables.
- Réversibilité applicative. L’accès à une capacité de calcul localisée en France laisse entière la question du modèle exécuté, de son fournisseur, de ses conditions contractuelles et de la portabilité des charges de travail vers une infrastructure alternative.
La souveraineté opérationnelle se mesure à la capacité de remplacement : délai de bascule vers un fournisseur alternatif, portabilité des données et des pipelines, existence de clauses de réversibilité activables et testées.
Le régime NIS2 appliqué aux exploitants de centres de données et à leurs clients
Les fournisseurs de services de centres de données relèvent du secteur infrastructure numérique inscrit à l’annexe I de la directive (UE) 2022/2555. Un campus de la taille de Fouju entre par construction dans le périmètre des entités essentielles, avec des effets contractuels en cascade sur ses clients et ses sous-traitants.
- La transposition française passe par la loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui couvre également les directives REC et DORA. Au 6 août 2026, la procédure parlementaire restait en cours et aucune loi de transposition n’avait été promulguée.
- L’ANSSI met à disposition depuis le 17 mars 2026 le Référentiel Cyber France (ReCyF), qui liste les mesures recommandées pour atteindre les objectifs de sécurité fixés par NIS2.
- La sécurité de la chaîne d’approvisionnement figure parmi les mesures obligatoires. Les entités régulées répercutent contractuellement leurs exigences vers leurs fournisseurs, hébergeurs et intégrateurs.
- Les plafonds de sanction repris par la transposition atteignent 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour une entité essentielle, et 7 millions d’euros ou 1,4 % pour une entité importante.
- Les organes de direction approuvent les mesures de sécurité, supervisent leur mise en œuvre et suivent une formation régulière.
Toute organisation qui prévoit d’héberger des charges de travail IA sur ce type d’infrastructure intègre donc l’exploitant dans sa cartographie de dépendances critiques et dans son dispositif d’évaluation des tiers.
AI Act et ISO/IEC 42001 : le calendrier réel de la gouvernance de l’IA
Le règlement dit Digital Omnibus sur l’IA a été publié au Journal officiel de l’Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Il modifie le calendrier d’application sans altérer l’approche par les risques.
- Obligations relatives aux systèmes à haut risque de l’annexe III : report du 2 août 2026 au 2 décembre 2027 pour les systèmes autonomes, et au 2 août 2028 pour les systèmes intégrés à des produits déjà réglementés.
- Obligations de transparence de l’article 50 : application maintenue au 2 août 2026, avec une période transitoire portant au 2 décembre 2026 le marquage des contenus générés par les systèmes déjà sur le marché.
- Obligations applicables aux modèles d’IA à usage général : inchangées depuis le 2 août 2025.
- Nouvelles interdictions et fin de la période de transition sur le marquage : 2 décembre 2026.
Ce décalage ouvre une fenêtre de préparation. Les organisations qui structurent dès maintenant un système de management de l’intelligence artificielle selon ISO/IEC 42001 disposent d’un dispositif de preuve documenté au moment où les obligations à haut risque deviendront exigibles : inventaire des systèmes d’IA, analyse d’impact, gestion des fournisseurs, journalisation et supervision humaine.
Implications opérationnelles pour les organisations françaises
- Cartographier les dépendances de calcul. Identifier, pour chaque cas d’usage IA, le fournisseur de modèle, l’hébergeur, la localisation d’exécution et le régime juridique applicable aux données traitées.
- Formaliser des scénarios de rupture. Traiter par EBIOS Risk Manager les scénarios de perte d’accès à la capacité de calcul, de rupture d’approvisionnement matériel et de changement de contrôle capitalistique de l’exploitant.
- Contractualiser la réversibilité. Exiger des clauses de portabilité, des formats d’export documentés, des délais de restitution et des engagements de sortie testables.
- Étendre le dispositif tiers. Intégrer les exploitants de centres de données et les fournisseurs de modèles au programme d’évaluation des fournisseurs, avec des exigences alignées sur le ReCyF.
- Instruire la gouvernance. Présenter l’exposition IA au comité de direction, conformément aux obligations de supervision et de formation prévues par le régime NIS2.
- Documenter la conformité IA. Aligner l’inventaire des systèmes d’IA sur les exigences de transparence applicables depuis le 2 août 2026 et préparer les échéances de décembre 2027.
Conclusion
L’annonce d’infrastructures de calcul implantées sur le territoire modifie l’échelle des ressources disponibles. Elle laisse inchangée la nature des obligations de sécurité et de conformité qui pèsent sur les utilisateurs finaux. DEVFORMA recommande de traiter la capacité de calcul comme un fournisseur critique de plein exercice, avec le même niveau d’exigence que pour un hébergeur ou un opérateur de services managés.
Cette approche repose sur trois piliers déjà normés : ISO/IEC 27001 pour le système de management de la sécurité de l’information, ISO/IEC 42001 pour le management de l’intelligence artificielle, et EBIOS Risk Manager pour l’analyse des scénarios stratégiques de rupture. Les équipes de DEVFORMA interviennent sur ces trois référentiels en formation certifiante et en accompagnement de mise en conformité.
FAQ
Le Campus IA de Fouju garantit-il la souveraineté numérique française ?
Le projet apporte une capacité de calcul localisée sur le territoire national. Le niveau de souveraineté effectif dépend de la structure capitalistique de la société porteuse, dont plus de 50 % du capital est détenu par le fonds émirati MGX selon la question écrite déposée au Sénat, ainsi que de la maîtrise de la chaîne matérielle et des conditions contractuelles d’accès.
Quand les premiers datacenters entreront-ils en service ?
La phase 1 comprend trois bâtiments de datacenters et un bâtiment de formation, pour une livraison annoncée en 2028. La mise en service progressive d’environ neuf datacenters supplémentaires est prévue à partir de 2029.
Un exploitant de centre de données relève-t-il de NIS2 ?
Les fournisseurs de services de centres de données figurent dans le secteur infrastructure numérique de l’annexe I de la directive NIS2. Les entités concernées répercutent leurs exigences de sécurité vers leurs clients et fournisseurs par voie contractuelle.
Le report de l’AI Act suspend-il les obligations en cours ?
Le report porte sur les systèmes à haut risque de l’annexe III, dont l’échéance passe au 2 décembre 2027. Les interdictions applicables depuis février 2025, les obligations relatives aux modèles à usage général et les obligations de transparence de l’article 50 restent en vigueur.
Quel référentiel utiliser pour structurer la gouvernance de l’IA ?
ISO/IEC 42001 fournit les exigences d’un système de management de l’intelligence artificielle : politique, rôles, inventaire des systèmes, analyse d’impact, gestion des tiers et amélioration continue. Le référentiel se combine avec ISO/IEC 27001 pour le volet sécurité de l’information.
Formations DEVFORMA
- ISO/IEC 42001 Lead Implementer : mise en œuvre et pilotage d’un système de management de l’IA, préparation à la certification PECB.
- ISO/IEC 42001 Lead Auditor : conduite d’audits de systèmes de management de l’intelligence artificielle.
- ISO/IEC 27001 Lead Implementer : construction et pilotage d’un SMSI aligné sur les exigences NIS2.
- NIS 2 Directive Lead Implementer : structuration d’un programme de conformité NIS2 sur quatre jours.
- EBIOS Risk Manager : analyse des scénarios stratégiques, dont les scénarios de dépendance fournisseur et de rupture d’approvisionnement.
DEVFORMA, organisme certifié Qualiopi et Platinum Authorized Training Partner PECB, accompagne les organisations sur la gouvernance de l’IA, la conformité NIS2 et la sécurisation des chaînes de dépendance numérique.
