Où vont vos données quand vous utilisez l’IA ?
Europe, France ou chez vous : où un agent IA traite vos données, ce que coûte vraiment le traitement en France, et quoi exiger par écrit.
« Nos données partent-elles aux États-Unis ? » C’est souvent la deuxième question d’un dirigeant, après le prix. La réponse dépend de choix précis, qu’il faut faire en connaissance de cause.
Par où passent vos données ?
Quand un agent IA traite une facture, un email ou une demande client, les données passent par :
- le modèle d’IA, qui lit et comprend le texte ;
- l’hébergement de l’agent et de ses traces ;
- les outils de surveillance et de sauvegarde ;
- vos propres outils, où l’agent agit.
Beaucoup de solutions passent par défaut par des services situés hors d’Europe. Ce n’est pas illégal (le RGPD encadre ces transferts), mais c’est un choix qui doit être fait sciemment.
Les trois niveaux possibles
| Niveau | Vos données | Ce que cela suppose |
|---|---|---|
| Européen | ne sortent pas d’Europe | des modèles d’IA européens ou libres, hébergés dans l’Union européenne |
| France | ne sortent pas de France | des modèles et un hébergement en France, toute la chaîne vérifiée, un engagement écrit |
| Chez vous | ne sortent pas de vos locaux | une infrastructure dédiée, à étudier et à chiffrer avant tout devis |
Ce que vous payez vraiment pour rester en France
Pas un changement de modèle : changer de fournisseur d’IA est simple. Ce qui demande du travail, et qui a de la valeur, c’est de vérifier toute la chaîne de bout en bout (traces, sauvegardes, outils de surveillance compris), puis de remettre un engagement écrit sur la localisation des données, revérifié chaque année.
Utiliser un modèle français n’est pas la même chose que garantir que rien ne sort du territoire. C’est cette différence que vous payez.
Qui en a besoin ?
- Les métiers soumis au secret professionnel (avocats, santé, expertise comptable selon les cas) : l’exigence va au-delà du RGPD.
- Les entreprises dont un client l’exige, dans un questionnaire de sécurité ou un appel d’offres.
- Tout dirigeant qui en fait un choix : c’est son droit, et cela doit être chiffré clairement.
Ce qu’il faut exiger par écrit
Une page « où vont vos données », avant de signer, jointe à la proposition ou au contrat :
- où chaque traitement a lieu ;
- quels prestataires interviennent ;
- combien de temps les données sont conservées ;
- ce qui ne sort jamais.
Et si, pour une tâche précise, le bon outil se trouve hors de l’Union européenne : une exception écrite, motivée et approuvée par vous, qui dit pour cette tâche ce qui sort, où, et pourquoi.
Ce que nous faisons
Par défaut, tout ce que nous mettons en service utilise des modèles d’IA européens ou libres, hébergés dans l’Union européenne, sans supplément. Le traitement en France est une option, chiffrée dans votre devis avec sa vérification annuelle : elle s’ajoute à une Automatisation de tâches, un Agent de processus, des Agents métiers ou un Cerveau entreprise. Le traitement chez vous se fait sur étude, avec l’Agent de processus, les Agents métiers et le Cerveau entreprise. Le détail : Souveraineté.
Le volet RGPD est traité dans IA et RGPD : les points à vérifier.