Outils IA et données en Europe : comment vérifier

Trois notions à ne pas confondre

« Hébergé en UE » est une mention fréquente. Elle est utile, mais elle ne répond qu’à une partie de la question.

Notion	Ce qu’elle dit	Ce qu’elle ne dit pas
Hébergement	Où se trouvent les serveurs qui stockent les données	Qui peut y accéder depuis l’étranger
Nationalité de l’éditeur	À quel droit l’entreprise est soumise	Où les données sont stockées
Transferts	Si les données sortent de l’UE, et avec quelles garanties	Si l’outil respecte le reste du RGPD

Un éditeur européen peut faire appel à un sous-traitant hors UE. Un éditeur non européen peut héberger les données en Europe. Il faut donc vérifier les trois points.

Ce que dit le RGPD sur les transferts

Transférer des données personnelles hors de l’Union européenne est possible. Il faut garantir un niveau de protection suffisant et approprié, avec un outil juridique. Les principaux sont les suivants :

une décision d’adéquation : la Commission européenne reconnaît qu’un pays protège correctement les données. Pour les États-Unis, une décision du 10 juillet 2023 joue ce rôle, sous certaines conditions ;
des clauses contractuelles types : des modèles de contrat adoptés par la Commission européenne ;
des règles d’entreprise contraignantes : des règles internes qui encadrent les transferts au sein d’un groupe.

Pensez aussi aux accès depuis l’étranger, par exemple pour le support technique. Demandez s’ils existent et comment ils sont encadrés.

Le cas d’un éditeur soumis à un droit non européen

La CNIL signale un risque pour les données stockées par une entreprise soumise à un droit extra-européen. Ces données « peuvent être exposées à un risque de devoir communiquer des données aux autorités publiques de ce pays ». La CNIL ajoute que ce risque est le plus souvent considéré comme limité pour des données non sensibles confiées à des prestataires de pays reconnus « adéquats ». Pour des données sensibles ou stratégiques, ce point mérite plus d’attention.

Où regarder dans la documentation d’un éditeur

La politique de confidentialité : lieux de traitement, durées de conservation, usage des données pour l’entraînement.
L’accord de traitement (DPA) : il encadre le rôle de sous-traitant et précise les transferts et leurs garanties.
La liste des sous-traitants ultérieurs : nom, rôle et pays de chaque prestataire.
La page sécurité ou conformité : choix de la région d’hébergement, mesures de sécurité, contact.
Les conditions de l’offre : certaines garanties ne valent que pour les offres professionnelles.

Les signaux d’alerte

Aucune mention du lieu d’hébergement.
« Hébergé en Europe » sans liste des sous-traitants.
Pas d’accord de traitement disponible, ou une demande restée sans réponse.
Des transferts hors UE sans indication des garanties.
Des conditions différentes entre offre gratuite et offre payante, sans précision.
Une documentation introuvable, ou contradictoire d’une page à l’autre.

En pratique

Pour chaque outil de l’Index, aidock indique si les données sont hébergées dans l’UE. Il précise aussi l’usage des données pour l’entraînement et l’existence d’un accord de traitement. La date de vérification et les sources sont affichées. Ces informations peuvent changer : relisez la documentation de l’éditeur avant de vous engager. Pour les autres points du RGPD, consultez nos six questions.

Questions fréquentes

Un éditeur américain qui héberge les données en Europe pose-t-il problème ?

Pas forcément. Les données restent en Europe, mais l’éditeur reste soumis au droit de son pays. La CNIL considère ce risque souvent limité pour les données non sensibles ; pour des données sensibles, cherchez des garanties renforcées.

Les clauses contractuelles types suffisent-elles ?

Elles sont un outil reconnu pour encadrer un transfert hors UE. Elles ne dispensent pas du reste du RGPD : minimisation, information des personnes, sécurité et durée de conservation.

Où trouver la liste des sous-traitants d’un outil ?

En général dans l’accord de traitement ou sur une page dédiée, parfois intitulée « sub-processors ». Si vous ne la trouvez pas, demandez-la par écrit à l’éditeur.