S'implanter en France pour une scale-up IA : ce que ça coûte vraiment, et pourquoi ce n'est pas une armée de conformité
Beaucoup d'entreprises d'intelligence artificielle de l'Est de l'Asie me demandent la même chose : combien coûte réellement l'entrée sur le marché français, et comment éviter de se noyer dans la conformité. La réponse honnête est double. D'un côté, le cadre n'est pas la monstruosité administrative qu'on décrit : une entreprise peut s'implanter depuis l'étranger, sans y résider, en quelques semaines et pour quelques milliers d'euros. De l'autre, l'AI Act s'applique à vos systèmes même si vous êtes établi hors d'Europe dès lors que vos sorties sont utilisées dans l'Union — et pour les usages à haut risque, vous devez désigner un mandataire établi dans l'UE avant de mettre quoi que ce soit sur le marché. La bonne nouvelle : ces obligations sont remplies par une structure de représentation locale compétente, pas par une armée de juristes. Voici le détail, coûts et délais inclus, sans inventer de chiffre.
By John-Guy Park · · 13 min de lecture
Key facts
- L'AI Act est territorialement très étendu : il s'applique aux fournisseurs établis hors de l'Union dès lors que les sorties produites par leurs systèmes d'IA sont destinées à être utilisées dans l'UE (article 2, paragraphe 1) — être établi en Asie ne vous met pas hors de portée dès que vos clients sont en Europe (donnée tierce : AI Act Service Desk, Commission européenne).
- Pour les systèmes d'IA à haut risque, un fournisseur établi dans un pays tiers doit, par mandat écrit, désigner un mandataire établi dans l'Union avant de mettre son système sur le marché (article 22 du règlement 2024/1689). Ce mandataire conserve la documentation technique et la déclaration de conformité pendant dix ans et répond aux autorités à la place du fournisseur (donnée tierce : Taylor Wessing, synthèse article 22).
- Les obligations sont aussi portées par les modèles d'IA à usage général (GPAI) : les fournisseurs hors UE de tels modèles doivent désigner le même type de mandataire (article 54), sauf diffusion en open source sous licence libre (donnée tierce : Taylor Wessing).
- Ne pas désigner de mandataire quand c'est requis est une non-conformité formelle (article 83) qui peut conduire à restreindre ou interdire le système, et expose à des amendes administratives pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial (article 99) (donnée tierce : Taylor Wessing).
- Côté implantation pure, la barrière est basse : une société étrangère peut créer une SAS ou une SASU en France sans y résider, avec un capital minimum symbolique (1 € en principe), l'ensemble se faisant à distance en deux à trois semaines via le guichet unique (donnée tierce : French Business Law).
- Le contrôle des investissements étrangers en France (dossier IEF) ne s'applique qu'aux investisseurs non-UE prenant le contrôle, ou franchissant 25 % des droits de vote, dans un secteur sensible — cyberdéfense, énergie, santé, communications, données sensibles — avec une instruction de 30 jours ouvrés minimum (donnée tierce : Welcome Business France).
- La France compte 1 114 startups d'IA recensées, ce qui la place troisième au niveau mondial, avec plus de 50 000 emplois directs et 16 milliards d'euros levés cumulés ; en 2025, l'IA a capté plus de 60 % des montants levés (donnée tierce : France Digitale & Bpifrance, recensement 2026).
L'AI Act vous rattrape même si vous êtes établi hors d'Europe
C'est la première question que je pose à une scale-up IA un peu partout en Asie : combien de vos clients ou utilisateurs finaux sont en Europe ? Si la réponse n'est pas zéro, alors l'AI Act vous concerne déjà — indépendamment de l'endroit où votre siège est immatriculé. L'article 2, paragraphe 1 du règlement (UE) 2024/1689 l'écrit noir sur blanc : il s'applique aux fournisseurs et aux déployeurs de systèmes d'IA qui, étant établis dans un pays tiers, produisent des sorties utilisées dans l'Union (donnée tierce : AI Act Service Desk, Commission européenne). L'extraterritorialité n'est pas un détail : c'est le fondement même du régime.
Concrètement, la conformité n'est pas « un problème européen qui ne me concerne pas » mais une condition d'accès au marché. La bonne nouvelle, c'est que le régime est progressif : les obligations applicables à votre usage dépendent de la catégorie (risque minimal, GPAI, haut risque) et de la date d'application associée. Tout n'est pas exigé le premier jour. Mais si vous visez des clients français ou européens, le cadre s'applique dès la première sortie utilisée dans l'Union.
Trois fausses solutions reviennent : (1) « je passe par un revendeur ou une plateforme cloud » — l'obligation revient au fournisseur, pas au canal de distribution (donnée tierce : Regulation AI) ; (2) « j'attends que ça s'éclaircisse » — le calendrier est publié et connu depuis 2024 ; (3) confondre conformité et absence de contrôle — les autorités françaises (CNIL, surveillance du marché) peuvent enquêter et sanctionner les systèmes utilisés dans l'Union. Faire semblant de ne pas être concerné est la stratégie la plus coûteuse à long terme.
Le mandataire : la pièce que tout fournisseur hors UE doit poser
Pour les systèmes d'IA à haut risque, le règlement impose une figure peu connue mais centrale : le mandataire (authorised representative). Un fournisseur établi dans un pays tiers désigne, par mandat écrit, une personne physique ou morale établie dans l'Union, avant de mettre son système sur le marché (article 22 du règlement 2024/1689). En France, le mandataire alors joue doublement : il vérifie que la documentation technique et la déclaration de conformité ont été établies, il conserve ces documents dix ans, et il répond aux autorités à la place du fournisseur si la conformité est mise en cause (donnée tierce : RGPD.com / synthèse article 22).
Le même mécanisme s'applique aux fournisseurs hors UE de modèles d'IA à usage général (les GPAI, dont les grands modèles de langage) : désignation d'un représentant autorisé établi dans l'UE avant mise à disposition, avec un devoir continu de coopération et de signalement (donnée tierce : Taylor Wessing, article 54). Trois nuances à connaître : les modèles en open source sous licence libre sont exemptés ; la désignation ne décharge pas le fournisseur de ses propres obligations (les deux portent une responsabilité) ; et l'omission de désigner un mandataire est une non-conformité formelle qui peut conduire les autorités à restreindre ou interdire l'accès au marché (donnée tierce : Taylor Wessing).
Enfin, le sens pratique : le mandataire n'est pas un gadget papier. Il doit avoir accès à la documentation, être joignable, et a même le devoir de rompre le mandat et de le signaler s'il considère que le fournisseur manque à ses obligations (article 22, paragraphe 4). C'est une responsabilité réelle, pas une case à cocher. Pour une scale-up qui veut entrer en France sans monter une structure lourde, désigner un représentant compétent et joignable est donc une décision structurante, à traiter en amont.
S'implanter en France : la vérité sur les coûts et la durée
Passons à la partie concrète, parce que l'essentiel des craintes vient d'une image héritée des années 2000 : des mois de bureaucratie, des sièges sociaux obligatoires, des intermédiaires à payer. Ce n'est plus la réalité. Une entreprise étrangère peut créer une société française — typiquement une SAS (société par actions simplifiée) ou sa forme unipersonnelle la SASU — depuis l'étranger, sans résidence en France et sans être présent le jour de l'immatriculation. Il n'existe pas de capital minimum légal : une SAS ou SASU peut en principe se constituer avec 1 € de capital (donnée tierce : French Business Law).
Le déroulé est court : quelques jours pour rédiger les statuts, deux à quatre jours ouvrés pour ouvrir le compte de dépôt du capital, un jour pour la publication légale, puis une journée à l'Insee après dépôt au guichet unique de l'INPI ; l'obtention de l'extrait Kbis et des numéros Siren/Siret se fait en deux à trois semaines pour un dossier complet (donnée tierce : French Business Law). Les coûts obligatoires sont modestes : la publication légale, de l'ordre de 197 € HT pour une SAS en métropole (141 € pour une SASU), et des frais d'immatriculation de quelques dizaines d'euros ; un dossier simple revient à moins de 1 500 € tout compris hors capital (donnée tierce : French Business Law).
D'où ma recommandation, qui surprend : pour les premiers mois, une implantation à distance avec un relais de confiance local compétent est souvent plus rapide, moins coûteuse et plus flexible qu'une filiale avec des locaux et une équipe. On crée la SAS pour porter la relation commerciale et la conformité, on s'appuie sur un relais local pour le terrain, et on garde le développement de produit là où il est déjà efficient. On ne loue pas un bureau « pour faire sérieux » : cela n'ajoute aucune conformité et coûte cher.
Le contrôle des investissements étrangers : quand il s'applique, et quand il ne s'applique pas
Une des peurs les plus fréquentes concerne le contrôle des investissements étrangers en France (le « dossier IEF »). Il faut le démystifier : il n'est pas général. Le contrôle s'applique lorsque l'opération combine deux conditions — un investisseur étranger (hors UE/EEE) qui prend le contrôle d'une société française, ou franchit le seuil de 25 % des droits de vote (10 % pour une société cotée), et une cible opérant dans un secteur sensible listé par la réglementation (défense, énergie, infrastructures critiques, santé, communications électroniques, traitement de données sensibles, etc.) (donnée tierce : Welcome Business France / French Business Law). Créer votre propre filiale pour y porter votre activité n'est pas une opération soumise à ce contrôle — il vise les prises de contrôle sur des acteurs français existants.
Si votre entrée sur le marché consiste à vendre vos systèmes et services à des clients français sans acquérir de société française cotée ou sensible, le dossier IEF ne s'applique en pratique pas. Le cas où il devient central : une stratégie d'acquisition (racheter un éditeur français), ou une activité qui touche un régime réglementé (santé, finance, défense). Dans ces cas, prévoyez l'instruction : 30 jours ouvrés pour l'examen initial, jusqu'à 45 jours en cas d'approfondissement, le silence valant refus (donnée tierce : Welcome Business France). Une pareille procédure se prépare, ne subit pas.
Autre point de vigilance, distinct : les données de santé et les secteurs régulés. Si votre produit traite des données de santé de personnes en France ou en Europe, le socle n'est plus le droit commun des sociétés mais le régime sectoriel et le RGPD renforcé par les recommandations de la CNIL sur le développement de systèmes d'IA — dont le principe que le RGPD s'applique souvent aux modèles entraînés sur des données personnelles du fait de leurs capacités de mémorisation (donnée tierce : CNIL ; opinion 28/2024 de l'EPDB). C'est là que se joue la distinction entre « vendeur de logiciel » et « acteur de la donnée de santé », et elle change le calendrier.
Ce que le relais local apporte vraiment (et ce qu'il ne résout pas)
Au bout du compte, ce qui décide n'est ni juridique ni fiscal : c'est la confiance. Un client français, un fonds, ou une autorité ne veut pas converser avec une adresse e-mail générique et un siège à l'autre bout du monde — il veut un interlocuteur joignable qui comprend son contexte et engage sa responsabilité. C'est exactement ce que le mandataire de l'AI Act formalise, et ce que la plupart des scale-ups d'Asie de l'Est n'ont pas encore sur le terrain français.
Un bon relais local — un CTO senior francophone, établi entre la France et l'Asie, qui parle à la fois la technique et la conformité — apporte trois choses. La première : la crédibilité commerciale, en personnifiant le produit dans un contexte de confiance français. La seconde : la traduction concrète des obligations AI Act et RGPD en décisions de produit, plutôt qu'en documents illisibles — la conformité cesse d'être un coût et devient un avantage de différenciation (la France compte d'ailleurs 1 114 startups d'IA, troisième rang mondial — donnée tierce : France Digitale & Bpifrance). La troisième : la capacité à arbitrer vite, sur le terrain, sans attendre un aller-retour avec le siège.
Ce que le relais ne résout pas : la nécessité que votre propre système soit, en premier lieu, conforme. Personne ne peut « blanchir » un système qui ne l'est pas ; un relais compétent, justement, vous dira honnêtement le périmètre d'obligations avant qu'il ne devienne trop tard. C'est pourquoi je recommande de traiter l'entrée en France comme un projet conduit en parallèle : identifiez le périmètre AI Act de votre usage, posez le mandataire et la structure, et lancez le développement commercial avec un relais qui tient les deux bouts à la fois.
Le budget honnête, étape par étape
Je termine par ce que vous êtes venus chercher : les ordres de grandeur, en toute transparence, sans inventer de chiffre. Pour une scale-up IA qui veut vendre en France sans y installer une équipe, le budget se décompose en trois postes.
Le premier poste est l'implantation : création de la SAS/SASU à distance, statuts, annonce légale, immatriculation au guichet unique. Comptez de 1 000 à 2 000 € de frais hors capital, et deux à trois semaines (donnée tierce : French Business Law). Rien ne justifie des montants à cinq chiffres.
Le deuxième poste est le cadrage de conformité : établir le périmètre AI Act de votre usage (catégorie, obligations, dates), la position RGPD, et le cas échéant poser la désignation du mandataire avec la documentation associée. C'est un travail d'audit, pas une souscription : chez Workfutur, un audit et cadrage structuré se fait à 4 900 € avec restitution écrite — et c'est l'étape qui évite de payer bien plus cher plus tard. Le devis reste sous cinq jours ouvrés, et on n'engage rien avant.
Le troisième poste est le relais sur le terrain : la représentation locale qui porte le développement commercial et incarne la conformité. Les formats varient — étude de faisabilité, représentation récurrente, ou accompagnement complet — et sont dimensionnés au projet (la grille est publique sur la page des tarifs, sans formulaire). Pour cadrer les ordres de grandeur : la direction technique externalisée court de 8 800 à 19 200 € par mois selon l'intensité, et la propriété intellectuelle de ce qui est produit vous est transférée dès le premier euro. C'est le budget d'une représentation sérieuse.
L'essentiel à retenir : le poste qui tue un projet d'entrée en France n'est presque jamais la procédure d'immatriculation — c'est la conformité traitée trop tard et sans relais local compétent. Traitez le périmètre réglementaire en amont, posez le mandataire et la structure, et lancez le commercial en parallèle : c'est le déroulé qui coûte le moins et qui dure le plus.
Entrée en France d'une scale-up IA : les trois postes de coût, en clair
| Poste | Ordre de grandeur | Quand le prévoir |
|---|---|---|
| Implantation (création SAS/SASU à distance) | ≈ 1 000 – 2 000 € de frais (hors capital) · 2–3 semaines | En amont, dès la décision d'entrer sur le marché |
| Cadrage de conformité AI Act / RGPD (+ mandataire si haut risque) | Audit et cadrage : 4 900 € (restitution écrite, devis < 5 j ouvrés) | Avant la première vente ; obligatoire avant mise sur le marché pour les usages à haut risque |
| Relais local / représentation sur le terrain | Direction technique externalisée : 8 800 – 19 200 €/mois selon intensité ; formats d'entrée en France dimensionnés au projet | Dès le lancement commercial ; IP transférée dès le 1er euro |
Sources : French Business Law (implantation SAS à distance, coûts et délais, capital minimum de 1 €) ; AI Act Service Desk / Taylor Wessing / RGPD.com (périmètre article 2 et mandataire article 22) ; Welcome Business France (contrôle des investissements étrangers IEF) ; Workfutur (grille tarifaire publique : audit 4 900 €, CTO fractionné 8 800–19 200 €/mois, IP dès le 1er euro). Aucune donnée inventée.
Frequently asked questions
Une entreprise IA établie hors d'Europe est-elle vraiment soumise à l'AI Act ?
Oui, dans un cas précis : dès lors que les sorties produites par ses systèmes d'IA sont utilisées dans l'Union européenne, l'AI Act s'applique au fournisseur ou au déployeur même s'il est établi hors d'Europe (article 2, paragraphe 1). En pratique, si des clients ou utilisateurs finaux sont en France ou en Europe, vous êtes concerné. Passer par un revendeur ou une plateforme cloud ne change pas l'obligation : elle revient au fournisseur.
Qu'est-ce que le mandataire (représentant autorisé) de l'AI Act, et quand est-il obligatoire ?
C'est une personne physique ou morale établie dans l'Union, désignée par mandat écrit par un fournisseur de pays tiers, qui vérifie la documentation technique et la déclaration de conformité, les conserve dix ans et répond aux autorités en cas de contrôle. Il est obligatoire avant la mise sur le marché pour les fournisseurs hors UE de systèmes d'IA à haut risque (article 22) et de modèles d'IA à usage général (article 54). Ne pas le désigner est une non-conformité formelle exposant à des restrictions du marché et à des amendes jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial.
Peut-on créer une société en France depuis l'étranger, sans y résider ?
Oui. Une société étrangère ou un fondateur étranger peut créer une SAS ou une SASU en France sans résidence en France et sans être présent le jour de l'immatriculation. Il n'y a pas de capital minimum légal (1 € en principe), l'ensemble se fait à distance via le guichet unique de l'INPI, et le dossier complet se boucle en deux à trois semaines, avec des frais obligatoires de l'ordre de 1 000 à 2 000 € hors capital.
Le contrôle des investissements étrangers s'applique-t-il à toutes les entrées en France ?
Non. Le dossier IEF ne s'applique que lorsqu'un investisseur non-UE prend le contrôle d'une société française, ou franchit 25 % des droits de vote (10 % en cas de société cotée), dans un secteur sensible (défense, énergie, santé, communications, données sensibles...). Créer votre propre filiale pour y porter votre activité n'y est pas soumis. Si vous prévoyez une acquisition d'un acteur français sensible, l'instruction prend au moins 30 jours ouvrés, le silence valant refus.
Combien coûte réellement l'entrée sur le marché français pour une scale-up IA ?
Trois postes : (1) l'implantation, de 1 000 à 2 000 € de frais et deux à trois semaines pour créer la société ; (2) le cadrage de conformité AI Act/RGPD, de l'ordre de 4 900 € en audit structuré chez Workfutur ; (3) le relais local de représentation, direction technique externalisée de 8 800 à 19 200 €/mois selon l'intensité, ou format d'entrée en France dimensionné au projet. Le poste qui coûte cher n'est pas la procédure d'immatriculation, c'est la conformité traitée trop tard.
Le RGPD s'applique-t-il à un modèle d'IA entraîné sur des données personnelles ?
Souvent, oui. La CNIL et le comité européen de la protection des données (EDPB, opinion 28/2024) rappellent que le RGPD s'applique à de nombreux modèles entraînés sur des données personnelles du fait de leurs capacités de mémorisation ; l'anonymité se juge au cas par cas. Si votre modèle a été entraîné sur des données personnelles, incluez le RGPD dans le cadrage de conformité, pas seulement l'AI Act : les deux régimes s'empilent.
Pourquoi un relais local est-il si important pour vendre en France ?
Parce que la confiance est la ressource qui décide. Un client, un fonds ou une autorité veut un interlocuteur joignable qui comprend son contexte et engage sa responsabilité — c'est aussi le rôle que formalise le mandataire de l'AI Act. Un relais CTO senior francophone, établi entre la France et l'Asie et à l'aise à la fois en technique et en conformité, transforme l'obligation réglementaire en avantage de différenciation, au lieu d'en faire un dossier opaque.
Sources cited
- AI Act Service Desk — Article 2 : champ d'application (périmètre territorial) — donnée tierce · le règlement s'applique aux fournisseurs et déployeurs établis dans des pays tiers lorsque les sorties produites par leurs systèmes sont utilisées dans l'Union (art. 2 §1) ; importateurs, distributeurs, mandataires et personnes concernées situées dans l'Union sont également visés
- Règlement (UE) 2024/1689 (AI Act) — texte officiel, EUR-Lex — référence norme · objectif d'améliorer le fonctionnement du marché intérieur par un cadre uniforme ; prévention du contournement par les opérateurs établis hors de l'UE dont les sorties sont destinées à l'Union
- Taylor Wessing — The authorised representative under the EU AI Act (art. 22 et 54) — donnée tierce · obligation pour les fournisseurs hors UE de systèmes à haut risque (art. 22) et de modèles GPAI (art. 54) de désigner un représentant autorisé établi dans l'UE ; documents conservés dix ans ; exemption open source libre ; non-désignation = non-conformité formelle (art. 83) avec amendes jusqu'à 15 M€ ou 3 % du CA mondial (art. 99)
- French Business Law — How to set up a SAS in France (guide étranger) — donnée tierce · création d'une SAS/SASU sans capital minimum (1 € par principe) ; société étrangère ou président personne morale ; immatriculation en 2-3 semaines via le guichet unique INPI ; publi légal ~197 € HT (SAS) / 141 € (SASU) en métropole ; dossier simple < 1 500 € hors capital ; pas de résidence ni de présence requise
- Welcome Business France — Contrôle des investissements étrangers (IEF) — donnée tierce · contrôle des investissements étrangers (dossier IEF) pour les investisseurs non-UE prenant le contrôle ou franchissant 25 % des droits de vote (10 % pour une société cotée) dans un secteur sensible ; instruction 30 jours ouvrés max, 45 en approfondissement, silence valant refus
- CNIL — Recommandations sur le développement des systèmes d'IA (RGPD) — donnée tierce · le RGPD s'applique à de nombreux modèles entraînés sur données personnelles du fait de leurs capacités de mémorisation ; démarche en 11 étapes (finalité, base légale, minimisation, durée, information, droits, sécurité, AIPD) ; les deux régimes RGPD et AI Act s'appliquent cumulativement
- EDPB — Opinion 28/2024 sur les modèles d'IA et données personnelles — donnée tierce · les modèles entraînés sur données personnelles ne peuvent pas être considérés anonymes dans tous les cas ; l'anonymat s'évalue au cas par cas ; évaluation du traitement licite de la collecte par le déployeur
- France Digitale & Bpifrance — Recensement des startups d'IA en France (2026) — donnée tierce · 1 114 startups d'IA actives en France, troisième rang mondial, plus de 50 000 emplois directs, 16 milliards d'euros levés cumulés ; en 2025 l'IA a capté plus de 60 % des montants levés ; recensement annuel France Digitale / Bpifrance
Related pages
Got a project to turn into a product?
Book 30 minutes, or describe your idea in a few lines. We reply within 5 business days with free scoping — scope, risks, timeline and engagement pricing.