L'annuaire des outils OSS RGPD + AI Act compliant by-design dont vous avez besoin

Une stack IA EU conforme RGPD + AI Act peut se construire sans aucune licence propriétaire hors de prix, à condition de sélectionner les bonnes briques open source. C'est même probablement la voie la plus saine pour un solopreneur ou une startup : moins de dépendance, moins de transferts hors UE, plus de contrôle. Mais l'écosystème OSS est massif, et le critère « open source » seul ne garantit ni la conformité RGPD, ni la pérennité du projet, ni l'établissement EU de la communauté qui maintient.

Cet article propose un annuaire raisonné d'une douzaine d'outils OSS que nous recommandons de fait dans notre stack interne et dans le Framework EUDAI v1. Les critères de sélection sont explicites — data residency EU possible, licence permissive ou copyleft acceptable, maintien actif sur les 12 derniers mois, alignement avec un enjeu RGPD ou AI Act concret. Ce n'est pas un classement, c'est une boîte à outils que nous utilisons et que nous publions.

Les quatre critères de sélection

Avant la liste, voici les critères que nous appliquons systématiquement.

Critère 1 — data residency EU possible. Le projet doit pouvoir être déployé sur une infrastructure EU sans dépendance forcée à un service cloud US. C'est une condition pratique pour respecter RGPD Art. 44-49 sans empiler les Clauses Contractuelles Types.

Critère 2 — licence OSS permissive ou copyleft acceptable. Apache 2.0, MIT, BSD, EUPL pour les briques techniques susceptibles d'être embarquées dans un produit commercial. GPL-3 ou AGPL-3 acceptables si la brique est utilisée à côté d'un produit commercial (déploiement, outil interne, scan), pas embarquée dans le code source. Attention à l'AGPL : si vous forkez de l'AGPL dans votre produit propriétaire, vous devez publier votre code sous AGPL — c'est la licence la plus contaminante.

Critère 3 — maintenance active sur les 12 derniers mois. Au moins une release stable dans l'année, ou un flux régulier de commits sur la branche principale. Un projet abandonné OSS est aussi risqué qu'un fournisseur propriétaire qui ferme — pire, parce que personne ne vous prévient.

Critère 4 — alignement avec un enjeu RGPD ou AI Act concret. Pas d'outils OSS « qui pourraient servir ». Chaque brique listée résout un problème de conformité identifié dans le Framework EUDAI v1.

Les outils

Mistral models (open-weight) — modèles LLM EU souverains

Le projet. Mistral AI publie sous Apache 2.0 plusieurs modèles open-weight : Mistral Nemo (12B), Mixtral 8x22B, et la famille de modèles Codestral. Ces poids sont téléchargeables, exécutables sur infrastructure self-host EU via vLLM ou llama.cpp, sans dépendance à l'API Cloud Mistral.

Pourquoi compliant by-design. Modèles européens (Mistral AI, France), poids ouverts, déployables 100 % en local ou sur cloud EU. Évite les transferts hors UE inhérents à OpenAI, Anthropic, Google. À noter : même un fournisseur européen peut, selon son tier ou ses conditions contractuelles, faire transiter des traitements par un cloud hors UE — d'où l'importance de vérifier les processing locations effectives, et pas seulement la nationalité du fournisseur. C'est précisément ce qui rend l'option open-weight self-hébergée d'autant plus crédible que n'importe quelle API SaaS.

Cas d'usage typique. Backend LLM d'un agent IA, summarization, classification, chatbot non-sensible.

NeMo Guardrails — guard d'entrée anti prompt-injection

Le projet. Framework open-source publié par NVIDIA sous licence Apache 2.0, conçu pour poser des garde-fous programmables (rails) qui filtrent les prompts malveillants (jailbreak, injection, contenu à risque) en amont et en aval de votre LLM principal. S'exécute sur CPU, sans GPU dédié requis.

Pourquoi compliant by-design. Couche de défense contre les attaques par injection (RGPD Art. 32 sécurité + AI Act Art. 5.2.a). Self-hostable totalement, aucune donnée ne sort. Rails déclaratifs (Colang) auditables et versionnables.

Cas d'usage typique. Filtre en série entre l'utilisateur final et votre LLM principal. Premier rempart contre les exploits adversariaux, complémentaire d'une couche d'observation a posteriori type POSITRONIA-Observe.

CNIL PIA — l'outil officiel d'analyse d'impact RGPD

Le projet. Logiciel open source publié par la CNIL sous GPL-3.0, distribué via github.com/LINCnil/pia. Version 4 (avril 2025). Disponible en application web, desktop (Electron) ou conteneur Docker. Multilingue (français, anglais, allemand, italien, espagnol, etc.).

Pourquoi compliant by-design. Outil produit par l'autorité de contrôle française elle-même. Format de sortie JSON normalisé. C'est le standard de facto pour les AIPD en France.

Cas d'usage typique. Conduire une AIPD au sens RGPD Art. 35 pour tout traitement à risque élevé. À faire signer par un DPO.

Semgrep — SAST open source pour code Python, JavaScript et autres

Le projet. Scanner SAST publié sous LGPL-2.1 par Semgrep Inc. (US, mais l'outil OSS est utilisable totalement en local). Très rapide, règles personnalisables en YAML. Catalogue communautaire de centaines de règles.

Pourquoi compliant by-design. Détecte les vulnérabilités classiques (injections, secrets en clair, mauvais usage cryptographique) directement dans votre code source. Self-hostable totalement, aucune donnée ne sort. C'est un des piliers du scan POSITRONIA-CORE Local-First.

Cas d'usage typique. Analyse statique de code Python dans votre CI/CD. Détection précoce de vulnérabilités. Important — Semgrep ne fait pas de conformité RGPD/AI Act, c'est de la sécurité applicative ; voir la complémentarité avec POSITRONIA-CORE détaillée dans l'article « Snyk vs POSITRONIA-CORE ».

Trivy — scanner SCA et conteneurs

Le projet. Scanner publié par Aqua Security sous Apache 2.0. Couvre les CVE des dépendances tierces (Python, npm, Maven, Go), les images Docker, les manifests Kubernetes, et l'infrastructure as code (Terraform, CloudFormation).

Pourquoi compliant by-design. Self-hostable totalement, base de CVE téléchargeable en local. Permet d'auditer votre chaîne d'approvisionnement logicielle sans envoyer rien à un SaaS tiers.

Cas d'usage typique. Analyse continue des dépendances et conteneurs dans votre CI/CD. Détection des CVE critiques pendant la build, avant déploiement.

gitleaks — détecteur de secrets en clair

Le projet. Scanner publié sous MIT par Zachary Rice. Détecte les secrets accidentellement committés dans Git (clés API, tokens OAuth, mots de passe, clés privées). Configuration TOML personnalisable, intégrable en pré-commit hook ou en CI.

Pourquoi compliant by-design. Réduit le risque de fuite de secrets et donc le risque RGPD Art. 32 (sécurité du traitement). Self-hostable totalement.

Cas d'usage typique. Pré-commit hook sur tous les repos Git, scan complet historique avant ouverture publique d'un dépôt.

pgvector — extension PostgreSQL pour la recherche sémantique

Le projet. Extension PostgreSQL open source (PostgreSQL License), permettant le stockage et la recherche de vecteurs d'embeddings directement dans PostgreSQL. Maintenue activement par Andrew Kane.

Pourquoi compliant by-design. PostgreSQL est universellement self-hostable EU. pgvector permet de monter un vector store sans dépendre de SaaS US type Pinecone. Compatibilité native avec les outils existants.

Cas d'usage typique. Backend RAG d'un assistant IA, recherche sémantique sur une base documentaire, mémoire long-terme d'un agent.

Qdrant — vector store dédié

Le projet. Vector store open source publié sous Apache 2.0 par Qdrant Solutions (origine France/Berlin). Auto-hébergeable via binaire ou Docker, performant sur de gros volumes, API REST et gRPC.

Pourquoi compliant by-design. Établissement EU, licence permissive, self-host trivial. Alternative crédible à Pinecone (US) pour les charges sémantiques importantes.

Cas d'usage typique. Vector store dédié pour un produit IA en croissance, quand pgvector commence à montrer ses limites de scale.

Outline — wiki / base documentaire interne

Le projet. Outline est un wiki collaboratif self-hostable sous Business Source License 1.1 (BSL). Les releases de plus de 4 ans deviennent automatiquement MIT, mais les versions courantes restent BSL. BSL n'est pas une licence OSS au sens strict de l'OSI (le critère 2 ci-dessus ne l'inclut pas) — toutefois le code source est intégralement accessible et le self-hosting est libre et sans contrepartie commerciale. Maintenu activement. Interface moderne, Markdown natif, intégrations Slack/Mattermost.

Pourquoi compliant by-design. Self-hostable totalement, données restent sur votre infrastructure. Alternative crédible à Notion (US) pour la documentation interne sensible (politiques, procédures, AIPD draft, registre Art. 30). Si vous avez une exigence stricte de licence OSS pure (Apache/MIT/AGPL), considérez plutôt WikiJS (AGPL-3.0) ou AppFlowy (AGPL-3.0).

Cas d'usage typique. Documentation produit interne, wiki équipe, base de connaissances DPO/RSSI.

Element / Matrix — messagerie chiffrée fédérée

Le projet. Protocole Matrix (Apache 2.0) et client Element (Apache 2.0). Messagerie chiffrée de bout en bout, fédérée. Self-hostable via serveur Synapse ou Dendrite.

Pourquoi compliant by-design. Self-host EU possible. Chiffrement E2E natif. Alternative à Slack (US) ou Teams (US) pour les communications sensibles. Plusieurs administrations européennes (Bund DE, gouvernement FR via Tchap) ont déjà fait le pari Matrix.

Cas d'usage typique. Communications équipe sensible, échange avec DPO ou avocat, communauté privée client.

NextCloud — collaboration et stockage de fichiers EU

Le projet. Suite collaborative open source (AGPL-3.0) maintenue par NextCloud GmbH (Allemagne). Stockage de fichiers, partage, édition collaborative documents, calendrier, contacts, vidéo-conférence (Talk).

Pourquoi compliant by-design. Établissement EU (DE), self-hostable trivial, licence AGPL — usage en outil interne ne contamine pas votre produit (vous ne distribuez pas NextCloud, vous l'utilisez). Alternative à Google Workspace (US) ou Microsoft 365 (US).

Cas d'usage typique. Drive d'équipe, partage de documents avec clients ou avocats, archive de livrables AIPD/Art. 30 signés.

Piper TTS — synthèse vocale open source maintenue

Le projet. Piper est une bibliothèque de synthèse vocale rapide, publiée sous MIT. Modèles ONNX légers, exécution locale CPU sans GPU requis, multilingue incluant le français. Maintenu activement en 2025-2026 (contrairement à Coqui TTS dont le développement est suspendu depuis janvier 2024 — voir le README officiel github.com/coqui-ai/TTS).

Pourquoi compliant by-design. Self-hostable totalement, aucune donnée vocale ne quitte votre infrastructure. Alternative à ElevenLabs (US) ou Grok Voice (xAI, US) pour les besoins TTS conformes. Cohérent avec AI Act Art. 50.4 (deepfake) si vous ajoutez un watermark audio. Modèles voix disponibles dans 30+ langues, releases régulières.

Cas d'usage typique. Synthèse vocale d'un assistant IA produit, accessibility (lecture d'écran), génération de podcasts internes, narration automatique de documentations.

Tableau récapitulatif

EuTrustedIA pose les fondations d'un annuaire élargi

Cet article est un échantillon. Notre Stack Recommender (intégré au Framework EUDAI v1, accessible aux abonnés à partir du plan SOLO 25 €/mois HT) maintient un catalogue beaucoup plus large — environ 150 entrées au premier semestre 2026, couvrant 15 couches techniques (cloud, LLM, vector store, observability, guards, eval, speech, watermarking, privacy, cookie consent, AIPD tooling, etc.). Le catalogue est rafraîchi trimestriellement (1er janvier / 1er avril / 1er juillet / 1er octobre) pour vérifier les licences, les versions, la souveraineté effective et les CVE majeures.

À horizon Phase C (~2026 Q3-Q4), EuTrustedIA structurera un annuaire public d'outils OSS RGPD + AI Act compliant by-design, dans le prolongement de l'Annuaire EuTrustedIA d'experts vérifiés. Le critère sera identique : sélection raisonnée, vérification, transparence sur les choix. Pas de scraping, pas d'inclusion par défaut, pas de monétisation des fiches.

Cet annuaire complète et ne remplace pas les catalogues officiels existants — notamment la liste de l'AI Office de la Commission européenne (digital-strategy.ec.europa.eu), le registre des outils référencés par l'EU AI Act service desk, et les recommandations sectorielles des autorités nationales (CNIL pour la France).

La cohérence avec notre stack interne

Dernier point. Notre stack interne respecte ces critères. POSITRONIA-CORE Desktop combine Semgrep + Trivy + gitleaks en local sur la machine client. Notre vector store interne est sur pgvector. Pour les charges produit, notre LLM frontière passe par OVH AI Endpoints / Scaleway / Infomaniak AI avec modèles open-weight Mistral (la rédaction éditoriale, elle, est assumée comme aidée par Claude d'Anthropic — cf. mention de transparence en pied de page). Notre messagerie d'équipe est en cours de migration vers Element/Matrix self-host. Notre documentation interne (LEDGER, ADR, build journals) est sur Git public.

C'est notre application du Pilier 2 EUDAI — « conformité auto-démontrable ». Nous ne recommandons aucun outil OSS que nous n'utilisons pas nous-mêmes, ou que nous n'avons pas testé en interne dans nos 5+2 tests cybersec systématiques (cf. doctrine PiaXel Nexus).

Pour aller plus loin

• Framework EUDAI v1 — Partie 3.3 Stack Recommender (cf. catalogue v0 ~150 entrées)
• Checklist 25 points en PDF standalone — gratuit, scoring de votre stack actuelle
• LEDGER public EuTrustedIA — chaque décision technique structurelle horodatée

Plan SOLO à 25 €/mois pour accès complet au Stack Recommender et au scanner POSITRONIA-CORE. Plan AVANTAGES à 95 €/mois pour le Club Deal partenaires souverains EU et la remise 10 % sur la première heure de consultation par expert vérifié.

---

Cet article est un article de blog éditorial. Les marques citées appartiennent à leurs propriétaires respectifs. Les licences OSS citées sont à vérifier à la date de votre adoption — les projets peuvent changer de licence, les forks divergent, et la due diligence reste à votre charge.

Rédaction aidée par IA Claude Opus 4.7 (Anthropic) — marquage AI Act Art. 50.2 anticipé. Production éditoriale et validation factuelle 100 % humaines, Laurent SOUHY, EuTrustedIA.