RGPD et IA générative : ce qui coince quand vos données sortent d'Europe
Le RGPD n'interdit pas l'intelligence artificielle, et il n'interdit pas non plus de recourir à un prestataire étranger. Ce qu'il encadre, c'est la sortie de la donnée — et c'est précisément ce que fait chaque appel à une API distante.
Le problème n'est pas le règlement, c'est la juridiction
Beaucoup de discussions internes s'enlisent parce qu'on cherche la case à cocher qui rendrait l'usage conforme. Le point dur est ailleurs : une donnée transférée à une entreprise soumise au droit d'un pays tiers peut être réclamée par les autorités de ce pays, quel que soit le lieu physique du serveur. Le droit américain le prévoit explicitement pour les fournisseurs relevant de sa compétence.
L'histoire des cadres de transfert entre l'Union européenne et les États-Unis illustre la fragilité de l'édifice : le Safe Harbor a été invalidé, le Privacy Shield l'a été à son tour par la Cour de justice de l'Union européenne en 2020, et le cadre qui lui a succédé en 2023 fait lui aussi l'objet de contestations juridiques. Construire un traitement de données sensibles sur une base dont la validité est régulièrement remise en cause, c'est accepter de devoir tout redéployer si elle tombe.
Il y a un second effet, moins commenté et souvent plus immédiat : la chaîne de sous-traitance. Un fournisseur d'API s'appuie lui-même sur des hébergeurs, des services de journalisation, parfois des prestataires d'annotation. Chaque maillon est un endroit où votre document existe en clair, et vous n'en choisissez aucun. Un registre de traitements honnête doit les mentionner, ce qui suppose de les connaître.
La seule façon de sortir de ce raisonnement n'est pas de mieux le documenter, c'est de le rendre sans objet : si la donnée ne quitte pas l'infrastructure, il n'y a pas de transfert à encadrer, pas d'analyse d'impact du transfert à produire, et pas de clause à renégocier au prochain revirement jurisprudentiel.
Trois frictions concrètes, à vérifier avant tout déploiement
Ce sont les trois points sur lesquels les projets d'IA en entreprise se bloquent en comité, une fois passé l'enthousiasme de la démonstration.
La frontière entre traitement et entraînement
Les conditions d'usage des grands fournisseurs distinguent l'utilisation de vos données pour répondre à votre requête et leur utilisation pour améliorer un modèle. Cette frontière se déplace au fil des versions contractuelles, et elle est difficile à auditer de l'extérieur. La garantie robuste n'est pas une clause, c'est l'absence de sortie.
La rétention et les journaux
Même sans entraînement, les requêtes sont fréquemment conservées un certain temps pour des raisons de sécurité ou de lutte contre les abus. Sur un dossier médical ou un contrat, une rétention de quelques semaines chez un tiers est déjà un transfert à documenter — et à justifier auprès d'une personne concernée qui demanderait des comptes.
La minimisation, qui devient très difficile
Le règlement demande de ne traiter que les données nécessaires. Or coller un document entier dans une invite envoie tout : les noms, les montants, les mentions incidentes. Pseudonymiser en amont est possible mais coûteux et fragile ; ne rien faire sortir résout le problème à la racine.
Ce que dit l'autorité, et où le lire
La CNIL a publié une série de recommandations sur le développement et l'usage de systèmes d'intelligence artificielle, qui abordent la base légale, l'information des personnes, la minimisation et l'exercice des droits (cnil.fr). C'est la lecture à faire avant d'ouvrir un débat interne : elle évite de réinventer des principes déjà écrits, et elle est plus nuancée que la plupart des résumés qu'on en fait.
Au niveau européen, le Comité européen de la protection des données publie les lignes directrices qui s'imposent aux autorités nationales, notamment sur les transferts hors Union (edpb.europa.eu). C'est là que se trouve la doctrine applicable, et non dans les pages marketing des fournisseurs.
Un point que ces textes rappellent et qu'on oublie souvent : l'obligation porte sur le responsable de traitement, c'est-à-dire vous. Choisir un prestataire ne transfère pas la responsabilité ; elle reste chez celui qui décide de la finalité du traitement.
Les secteurs où c'est franchement rédhibitoire
Dans ces situations, l'obstacle n'est pas une préférence prudente mais une règle qui s'applique, parfois assortie de sanctions pénales.
Santé et médico-social
- Ce qui bloque
- Les données de santé relèvent d'un régime renforcé, et leur hébergement en France est soumis à une certification spécifique. Faire transiter un compte rendu par une API non certifiée sort du cadre.
Professions au secret
- Ce qui bloque
- Avocats, notaires, médecins, experts-comptables : le secret professionnel est protégé pénalement. Un document confié à un tiers non soumis à ce secret constitue un risque personnel pour le professionnel, indépendamment du RGPD.
Marchés publics et collectivités
- Ce qui bloque
- Les exigences de souveraineté et de localisation figurent de plus en plus dans les cahiers des charges, et l'analyse d'impact devient une pièce du dossier plutôt qu'une formalité.
R&D et données industrielles
- Ce qui bloque
- Il ne s'agit plus de données personnelles mais de secret des affaires : un plan, une formule ou un carnet d'essais qui sort de l'entreprise ne relève pas du RGPD, et n'est pas moins grave pour autant.
Héberger soi-même ne rend pas conforme
C'est l'erreur symétrique, et il faut la dire nettement : rapatrier le calcul ne crée aucune conformité. Un traitement sans base légale reste illicite sur vos propres serveurs. Une décision automatisée mal encadrée reste contestable. Un défaut d'information des personnes reste un défaut d'information.
Ce que l'hébergement local supprime, c'est un chapitre précis du dossier : le transfert hors Union européenne et tout ce qu'il entraîne — analyse d'impact du transfert, clauses contractuelles types, dépendance à un cadre d'adéquation susceptible d'être invalidé. Le reste du travail de conformité demeure entier, et il faut le prévoir.
Autrement dit, l'infrastructure règle une question de juridiction, pas une question de gouvernance. Les deux sont nécessaires. Si un prestataire vous vend la conformité comme une propriété de ses serveurs, c'est un signal d'alerte, pas un argument.
Pour aller plus loin
Quelle IA pour des données sensibles
Quatre familles de solutions comparées sur cinq critères, ce que le label « européen » ne garantit pas, et un chemin de décision selon la sensibilité réelle.
Héberger un LLM en France : 3 options
Ce qu'exige réellement un modèle de langage sur des serveurs français : matériel, VRAM, modèles ouverts, et les trois approches possibles comparées honnêtement.