Sur cette page
Répondez de tête, puis ouvrez. Le RGPD et l'IA
1Qui est responsable des données personnelles que vos salariés confient à un assistant d'IA ?
L'entreprise, responsable du traitement ; l'éditeur d'une offre d'équipe agit en sous-traitant, dans les limites de son contrat.
2Avant de confier des données personnelles à un outil d'IA, quel document vérifier ?
Le contrat de sous-traitance de l'éditeur : ce qu'il fait des données, où, avec quels sous-traitants, et combien de temps.
- « Hébergé en France » dit où sont les données ; ni qui peut y accéder, ni quel droit s'applique.
- Un fournisseur dont la société mère relève du droit américain peut recevoir une demande légale des autorités américaines : la CNIL le rappelle, et Microsoft France l'a reconnu devant le Sénat.
- Une application compte plusieurs maillons : hébergement, secrets, journaux, sauvegardes, appel au modèle ; chacun peut sortir d'Europe.
- SecNumCloud, la qualification de l'ANSSI, vise aussi la protection contre les lois extraterritoriales ; une offre posée sur une infrastructure qualifiée n'est pas qualifiée pour autant.
- La plupart des PME n'en ont pas besoin : elles ont besoin de savoir où va chaque maillon, et de le régler.
Problème
Un fournisseur annonce « vos données sont hébergées en France ». C'est vrai, et c'est souvent tout ce qu'on vérifie. Mais une application d'IA ne tient pas dans un seul serveur : elle appelle un modèle, garde des secrets, écrit des journaux, fait des sauvegardes. Et le droit qui s'applique aux données dépend de qui les détient, pas seulement d'où elles sont.
Principe
Trois questions, distinctes :
- Où sont les données, au repos et pendant le calcul : une région peut garder les données stockées et laisser partir le calcul, ou des données « système » comme la facturation.
- Qui y accède : l'opérateur, ses sous-traitants, ses équipes de maintenance. La CNIL note que des prestataires installés en Europe recourent eux-mêmes à des prestataires hors de l'Union.
- Quel droit s'applique : pour un hébergeur dont la société mère est américaine et soumise au droit américain, la CNIL écrit que cela implique la possibilité légale de demandes de communication des données par l'administration des États-Unis. Devant le Sénat, en juin 2025, le directeur juridique de Microsoft France a répondu qu'il ne pouvait pas garantir que des données ne seraient jamais transmises, tout en s'engageant à contester les demandes infondées.
Un transfert de données personnelles hors de l'Union reste possible, à condition d'assurer un niveau de protection suffisant ; vers les États-Unis, seuls les transferts vers des entreprises certifiées au cadre de juillet 2023 se passent d'outils d'encadrement.
Fonctionnement
Une application d'IA, maillon par maillon :
SecNumCloud est la qualification de l'ANSSI pour les services en nuage. Elle vise à protéger les données sensibles contre les menaces et contre l'application de lois extraterritoriales, notamment en gardant minoritaire le capital détenu hors de l'Union. Une offre hébergée sur une infrastructure qualifiée n'est pas qualifiée elle-même. Le catalogue de l'ANSSI, mis à jour chaque mois, fait foi.
Exemple détaillé
Sept hébergeurs d'une application Python, relevés le 7 octobre 2026 : le siège, la région en France, la qualification SecNumCloud d'après le catalogue de l'ANSSI du 15 septembre 2026, et ce qu'il faut savoir.
Un avantageÀ savoir
Risques
Mise en place
- Classer les données : celles qui n'exigent rien de particulier, celles qui doivent rester en Europe (un contrat, un client, la loi), celles qui relèvent d'un régime à part, comme les données de santé.
- Poser cinq questions à chaque fournisseur : où sont les données au repos ; où se fait le calcul ; quels sont ses sous-traitants ; quelle société, et quelle maison mère, détient le service ; quelle certification ou qualification, lue à la source.
- Régler chaque maillon : la région de l'hébergement, le point d'accès européen du modèle quand il existe, la réplication des secrets, la région des journaux : le déploiement en région européenne le fait chez sept hébergeurs.
- Réserver SecNumCloud aux cas qui l'exigent : données sensibles, marché public qui la demande, secteur réglementé.
- Écrire le résultat dans le registre des traitements : le RGPD et l'IA.
Faire tourner les automatismes sans aucun poste, chiffré à l'euro
Deux hébergements comparés sur les tarifs publics relevés le jour même, la cause des pannes reproduite, la bascule chiffrée tâche par tâche. La première version recommandait une machine Windows ; le chiffrage complet a inversé la recommandation, et la seconde version le dit.
Exercice
Une PME a Microsoft 365, une petite application chez Clever Cloud, à Paris, qui appelle l'API de Claude, et ses journaux partent dans un outil de suivi américain. Quels maillons sortent d'Europe ?
Ouvrir la correction
L'appel au modèleL'API de Claude n'offre que « global » ou « us » : le calcul peut se faire hors d'Europe. Pour l'éviter, passer par une région européenne d'un grand nuage qui propose Claude, ou par un autre modèle avec un point d'accès européen.
Les journauxEnvoyés à un outil américain, ils sortent d'Europe avec ce qu'ils contiennent : c'est un transfert à la main de l'entreprise.
L'hébergementClever Cloud, société française, à Paris : il reste en Europe. Pour Microsoft 365, il faut regarder les réglages de Copilot, dont le routage flexible : Microsoft 365 Copilot : mise en place.
Exemple fabriqué.
Vérification
1ComprendreUn fournisseur héberge vos données à Paris. Sont-elles à l'abri des lois d'un autre pays ?
Pas forcément : si sa société mère relève du droit américain, une demande légale des autorités américaines reste possible. Le lieu ne dit pas le droit.
2AppliquerQue demander à un fournisseur d'IA pour savoir ce qui sort d'Europe ?
Où sont les données au repos, où se fait le calcul, quels sont ses sous-traitants, qui détient le service, et quelle qualification, vérifiée à la source.
3ComprendreUne application tourne chez un hébergeur qualifié SecNumCloud. L'application est-elle qualifiée ?
Non : une offre posée sur une infrastructure qualifiée n'est pas qualifiée elle-même, dit l'ANSSI.
Lectures suivantes
Hébergement en Europe
Les règles et les risques · étape 7 sur 7
Les pages qui renvoient ici
Limites et sources
Cette page n'est pas un conseil juridique : un transfert de données personnelles s'analyse avec votre délégué à la protection des données ou votre conseil.
Les qualifications SecNumCloud se lisent au catalogue de l'ANSSI, mis à jour chaque mois ; la synthèse cite celui du 15 septembre 2026.
- CNIL : transférer des données hors de l'UE ; ANSSI : FAQ SecNumCloud ; Sénat : audition de juin 2025.
- La synthèse des hébergeurs :
apprendre/donnees/hebergeurs.json; le relevé complet :apprendre/recherches/2026-10-07-deploiement-europe.json.
Écrit par Meridal, avec l'aide de l'IA ; chaque fait vérifié à sa source et relu avant publication. Texte et schémas sous licence CC BY 4.0 : reprenez-les en citant Meridal. Le code sous licence MIT.
Choisir un outil ou un abonnement
275 € à 850 €