Numspot : l'infrastructure est qualifiée SecNumCloud, les services d'IA pas encore

Numspot a annoncé le 1er septembre 2026 que l'ANSSI, l'agence française de cybersécurité, avait accordé la qualification SecNumCloud à sa « plateforme de services cloud ». Derrière la formule, le communiqué est précis : la qualification porte sur l'offre IaaS, c'est-à-dire la couche d'infrastructure. Le reste du catalogue suit un autre calendrier.

Ce qui est qualifié

L'IaaS (infrastructure as a service) regroupe les briques de base : puissance de calcul, stockage et réseau. C'est sur ce périmètre que Numspot rejoint la courte liste des fournisseurs dont l'infrastructure est qualifiée par l'ANSSI.

Cette qualification s'ajoute à deux certifications que l'entreprise détenait déjà : ISO 27001 pour la gestion de la sécurité, et HDS pour l'hébergement de données de santé.

Numspot se présente comme une plateforme opérée en France, avec quatre actionnaires français : la Banque des Territoires, Docaposte, Dassault Systèmes et Bouygues Telecom.

Ce qui ne l'est pas encore

Le communiqué indique que la démarche se poursuit pour la partie PaaS, les services managés que le client utilise sans administrer lui-même les serveurs. Elle s'appuie sur la version 3.2 du référentiel SecNumCloud.

Le point qui intéresse nos lecteurs : cette démarche inclut les services managés dédiés aux données et à l'intelligence artificielle. Le texte dit seulement que le processus est en cours. Il ne donne ni date cible, ni liste des services concernés.

Pourquoi la distinction compte

Une qualification SecNumCloud s'attache à un périmètre de services, pas à une entreprise dans son ensemble. Concrètement :

• si vous louez des machines virtuelles chez Numspot pour y installer vous-même un modèle de langage ouvert, vous êtes sur le périmètre qualifié ;
• si vous consommez un service d'IA managé du même fournisseur, vous êtes, à la date du communiqué, sur un périmètre en cours de qualification.

Les deux situations ne se valent pas dans un appel d'offres ou face à un client qui exige un hébergement qualifié.

Les limites à garder en tête

Numspot l'écrit lui-même : la qualification peut aider un projet à s'aligner sur des cadres comme la directive NIS2 ou la doctrine « Cloud au centre » de l'État, mais elle ne remplace pas l'analyse de conformité que chaque organisation doit mener pour son propre compte.

Autrement dit, héberger une application chez un prestataire qualifié ne rend pas l'application conforme. La sécurité du code, la gestion des accès et le choix des sous-traitants restent à la charge du client.

Le communiqué ne mentionne par ailleurs aucun prix, ni aucune information sur la disponibilité de cartes graphiques (GPU) dans le périmètre qualifié. Pour un projet d'IA, c'est une question à poser d'emblée.

Ce qu'il faut vérifier avant de signer

• Le périmètre exact. Demandez la liste des services couverts par la qualification et comparez-la, ligne par ligne, à ceux que vous utiliserez réellement.
• La source officielle. La liste des prestataires qualifiés est publiée par l'ANSSI. C'est elle qui fait foi, pas une plaquette commerciale.
• Le statut des services d'IA. Faites écrire dans le contrat si le service managé que vous achetez est qualifié, en cours de qualification ou hors démarche.
• La suite. Prévoyez une clause d'information si le périmètre qualifié évolue pendant la durée du contrat.

Notre lecture

Pour une PME qui traite des données sensibles ou qui vend à des acteurs publics, l'arrivée d'un fournisseur de plus sur l'infrastructure qualifiée élargit le choix. Mais l'IA « clés en main » en environnement qualifié n'est pas acquise chez Numspot à ce stade. Si votre besoin est un service d'IA managé, demandez un engagement écrit sur le calendrier. Si vous savez exploiter vous-même un modèle sur des machines virtuelles, l'offre d'infrastructure répond dès maintenant à la question de l'hébergement.