Héberger son IA en France : ce que la souveraineté change

Héberger votre IA en France ou en Europe réduit un risque précis : celui d'un accès à vos données par les autorités d'un État tiers. Cela ne suffit pourtant pas à vous mettre en conformité, car le lieu des serveurs ne dit rien du contrat signé, ni de ce que votre prestataire est autorisé à faire des données que vous lui confiez.

La question revient presque à chaque audit, en Martinique comme en métropole : mes données restent-elles en France ? Pour y répondre utilement, il faut séparer trois choses que le discours commercial mélange souvent : le modèle, l'hébergement et les données.

Modèle, hébergement, données : où passe la frontière ?

Un projet d'IA se décompose en trois couches qui ne vivent pas toujours au même endroit.

Le modèle est le moteur : reconnaissance vocale, génération de texte, classement de demandes. Il a été entraîné ailleurs, souvent hors d'Europe, et son origine ne change pas selon l'endroit où vous l'exécutez.

L'hébergement est l'infrastructure qui fait tourner ce modèle et stocke vos fichiers : un centre de données, une région cloud, parfois un serveur dans vos murs.

Les données, enfin, sont vos fiches clients, vos enregistrements d'appels, vos devis. Ce sont elles que le RGPD protège, pas le modèle.

Un fournisseur peut donc vous proposer un modèle américain hébergé dans une région européenne, ou un modèle ouvert hébergé en France. Les deux configurations existent et elles n'ont pas le même profil de risque. Demander où sont vos données reste utile, mais la question complète est plus longue : quelles données, chez quel sous-traitant, sous quel contrat, et avec quelle possibilité de réutilisation ?

Qui est responsable de quoi au sens du RGPD ?

Selon la CNIL (2026), le client est en principe responsable des traitements qu'il met en œuvre sur un service d'informatique en nuage, et le fournisseur intervient généralement comme sous-traitant, puisqu'il traite les données sur les instructions de son client. Le garage ou le cabinet qui utilise l'outil reste donc responsable, même si l'infrastructure appartient à quelqu'un d'autre.

Cette répartition n'est pas automatique pour autant. La CNIL (2026) précise que le fournisseur peut être regardé comme co-responsable du traitement lorsque certaines opérations servent à la fois les finalités du client et celles du fournisseur, par exemple l'amélioration de son propre service. Elle indique aussi qu'en règle générale, le fournisseur peut être qualifié de responsable du traitement pour les données traitées afin d'assurer la sécurité de son infrastructure elle-même.

Pour une petite structure, la conséquence pratique est simple. En cas de doute sur le rôle de chacun, la CNIL (2026) recommande de documenter la réflexion menée pour aboutir à cette qualification et d'être en mesure de la justifier. Deux pages écrites au moment du choix valent mieux qu'une reconstitution après un incident. Nous reprenons ce point dans notre article sur les 7 questions à poser avant de signer avec un prestataire IA.

Que doit contenir le contrat avec votre prestataire ?

Selon la CNIL (2025), avant de confier un traitement de données personnelles à un prestataire, le responsable du traitement doit s'assurer que ce sous-traitant offre toutes les garanties nécessaires pour respecter le RGPD, au titre de l'article 28. Un contrat écrit, ou un autre acte juridique, est obligatoire, et il doit être précis, clair et contraignant.

La CNIL (2025) ajoute un point que beaucoup de contrats laissent de côté : le contrat ne doit pas se contenter de reproduire le RGPD, il doit expliquer concrètement comment les obligations seront mises en œuvre, notamment le niveau de sécurité requis pour le traitement. Une annexe de trois lignes qui recopie le règlement ne remplit pas cette condition.

Deux exigences méritent votre attention au moment de signer. D'abord, vous devez pouvoir disposer à tout moment des informations sur l'identité de tous vos sous-traitants et sous-traitants ultérieurs (CNIL, 2025). Un prestataire d'IA s'appuie presque toujours sur une chaîne : un hébergeur, un fournisseur de modèle, parfois un service de transcription séparé. Ensuite, la CNIL (2025) rappelle que même si le sous-traitant initial doit proposer des sous-traitants ultérieurs offrant des garanties suffisantes, la décision de les engager et la responsabilité de vérifier ces garanties incombent toujours au responsable du traitement, donc à vous.

Que se passe-t-il si vos données sortent de l'Union européenne ?

Un transfert hors UE n'est pas interdit, il doit être encadré. Selon la CNIL, les transferts hors UE peuvent être fondés notamment sur une décision d'adéquation de la Commission européenne (article 45 du RGPD), sur des clauses contractuelles types, ou sur des règles internes d'entreprise. Dans ces cas, il n'y a pas d'autorisation à demander à la CNIL. L'autorisation redevient nécessaire pour des clauses contractuelles spécifiques, c'est-à-dire celles qui s'écartent des modèles européens.

Deux dates sont à connaître. Les modèles de clauses contractuelles types ont été mis à jour par la Commission européenne le 4 juin 2021 (CNIL). Et selon la CNIL, à compter du 27 décembre 2022, les anciennes clauses contractuelles types ne peuvent plus être utilisées. Si un contrat qu'on vous présente renvoie encore aux clauses de 2001 ou de 2004, il est à reprendre.

Signer ces clauses ne clôt pas le sujet. La CNIL indique qu'il incombe à l'exportateur et à l'importateur de données d'évaluer en pratique si la législation du pays tiers permet de respecter le niveau de protection requis par le droit de l'UE, et que si vous concluez que les garanties appropriées ne seront pas assurées, vous êtes tenu de suspendre ou de mettre fin au transfert.

La liste des pays reconnus évolue aussi. La Commission européenne indique avoir reconnu un niveau de protection adéquat pour l'Argentine, le Canada pour les organisations commerciales, le Japon, la Suisse, le Royaume-Uni, la République de Corée, l'Uruguay et plusieurs autres territoires, ainsi que pour les États-Unis s'agissant des organisations commerciales participant au EU-US Data Privacy Framework, dont la décision d'adéquation date du 10 juillet 2023.

Un hébergement européen protège-t-il des autorités étrangères ?

Pas automatiquement, et c'est le point le plus souvent survendu. Selon la CNIL (2024), les données stockées par une entreprise soumise à un droit extra-européen, comme c'est le cas des hébergeurs dont les sociétés mères sont situées aux États-Unis, peuvent être exposées à un risque de devoir être communiquées aux autorités publiques de ce pays. Un centre de données installé à Paris ne met donc pas mécaniquement vos fichiers hors de portée, si l'entreprise qui l'exploite relève d'un autre droit.

La CNIL (2024) apporte aussitôt une nuance qui compte pour une TPE : ce risque est le plus souvent considéré comme limité, en particulier pour des données non sensibles. Les traitements qu'elle cite comme les plus sensibles sont de grandes bases de données de santé, de données d'infractions ou de données relatives à des mineurs. Un planning de rendez-vous d'atelier n'entre pas dans cette catégorie.

Quand le niveau d'exigence est réel, un repère existe. Selon la CNIL (2024), la qualification SecNumCloud de l'ANSSI comprend le critère d'immunité aux lois extra-européennes et permet ainsi une protection des données contre les accès par des autorités étrangères. La CNIL appelait d'ailleurs en 2024 à l'inclusion, à titre optionnel, de critères d'immunité inspirés de SecNumCloud dans le schéma de certification européen EUCS, dont le projet ne les prévoyait plus.

Et pour une IA générative, que recommande la CNIL ?

Pour le déploiement, la CNIL (2024) recommande de choisir un système robuste et un mode de déploiement sécurisé, par exemple en privilégiant le recours à des systèmes locaux, sécurisés et spécialisés. À défaut, elle recommande de déterminer dans quelle mesure le prestataire qui opère le système est susceptible de réutiliser les données fournies, et d'adapter l'usage en conséquence.

La CNIL (2024) recommande aussi d'encadrer les usages en définissant une liste d'utilisations autorisées et interdites, par exemple ne pas fournir de données personnelles au système, et de former les utilisateurs finaux tant sur les usages interdits que sur les risques des usages autorisés. C'est souvent le chantier le moins coûteux à lancer. Nous le détaillons dans notre article sur l'IA générative et les données confidentielles.

Par où commencer sans surpayer la souveraineté ?

Commencez par trier vos données plutôt que par choisir un hébergeur. Un enregistrement d'appel qui contient un nom, un numéro de téléphone et une immatriculation n'appelle pas le même dispositif qu'un dossier de santé.

Demandez ensuite trois éléments avant de signer : la liste nominative des sous-traitants ultérieurs, le lieu d'hébergement de chaque composant, et la clause écrite qui interdit la réutilisation de vos données pour l'entraînement d'un modèle. Si l'un des trois manque, la discussion n'est pas terminée.

Nous ne vous promettons pas que vos données resteront chez vous : cela dépend de l'architecture retenue lors de l'audit. Selon les cas, un agent vocal peut fonctionner avec un stockage dans votre propre système d'information, avec un hébergement européen dédié, ou avec une chaîne qui sort de l'UE sous clauses contractuelles types. Ces trois scénarios n'ont ni le même coût, ni le même niveau de contrainte, et c'est précisément ce que l'audit sert à trancher, avant tout engagement.

Aux Antilles, un facteur s'ajoute : la distance au centre de données influe sur le temps de réponse ressenti. C'est un sujet de performance, pas de conformité, mais il se traite au même moment que le choix d'hébergement, pas après la mise en service.

Et maintenant ?

Reprenez le contrat de votre outil actuel et cherchez-y trois éléments : la liste des sous-traitants ultérieurs, le lieu d'hébergement de chaque brique, et la clause de non-réutilisation de vos données. Si l'un des trois manque, vous avez votre première action de la semaine. Trente minutes suffisent généralement à trier vos données et à dire quelle architecture tient dans votre budget.

Réserver un audit gratuit de 30 minutes