Vos données quittent l'Europe dès que vous appelez une API américaine. Ce n'est pas illégal, mais ce n'est pas neutre. Voici le cadre pour décider en connaissance de cause.
Comprendre la souveraineté commence par cartographier les régimes qui peuvent réclamer un accès à vos données — légalement et hors de votre contrôle.
« Les données sont en Europe » ne veut pas dire que la juridiction est européenne. Si l'opérateur est américain, le CLOUD Act s'applique — qu'importe le datacenter. La résidence physique compte, mais pas seule.
Croisez la nature de la donnée avec la juridiction du fournisseur. Tout n'est pas rouge — un brouillon de blog post n'est pas un dossier RH.
* Modéré pour fournisseur EU sous réserve d'un agrément sectoriel approprié — HDS pour la santé en France, certification ANSSI pour les données défense, etc. La résidence EU ne suffit pas seule pour ces secteurs.
Plus vous montez, plus vous gagnez en contrôle, mais le coût et la complexité opérationnelle augmentent. Choisissez le niveau qui correspond à vos données les plus sensibles.
| Critère | Niveau 1 — SaaS US | Niveau 2 — EU | Niveau 3 — On-premise |
|---|---|---|---|
| Time-to-market | Quelques heures | Quelques jours | Plusieurs mois |
| Compétences requises | Développeur backend | Backend + RSSI | DevOps · MLOps · matériel GPU |
| Coût mensuel typique | 200 € à 5 K€ | 500 € à 10 K€ | 10 K€ à 100 K€+ |
| Confidentialité | Partielle | Forte | Totale |
| Performance modèle | Frontier disponible | Compétitive (gap léger) | Variable selon matériel |
Une architecture peut combiner les trois. Niveau 1 pour le contenu marketing, niveau 2 pour le support client, niveau 3 pour les données RH. Ne forcez pas un niveau unique — segmentez par sensibilité de la donnée.
À faire avec votre RSSI ou DPO. Si vous n'avez ni l'un ni l'autre, faites-le quand même — un cabinet de conseil peut couvrir le passage en 2 à 3 jours.
Marketing, PII clients, RH, IP, données réglementées. Tracez chaque flux du déclencheur à la sortie du modèle.
Pas seulement la résidence des serveurs — la nationalité de l'entité contractante. Une filiale irlandaise d'une maison-mère US reste sous CLOUD Act.
Le DPA établit le rapport responsable / sous-traitant au sens RGPD. L'annexe liste les sous-sous-traitants — tous doivent être conformes.
Les plans grand public utilisent souvent vos données pour l'entraînement par défaut. Les plans team / enterprise non. Vérifiez explicitement par écrit.
Souvent 30 jours par défaut, parfois ramenable à zéro sur demande pour les plans payants. Demandez et documentez le réglage retenu.
Mentionner explicitement le recours à l'IA, le fournisseur, la finalité, le transfert hors UE le cas échéant. Les régulateurs scrutent ce point en 2026.
Pour les usages au-delà de l'intérêt légitime — profilage, scoring, contenu généré attribué à une personne. Ne présumez pas du consentement.
Anonymisation, pseudonymisation, masquage des champs sensibles avant envoi à l'API. Réduit le périmètre de risque sans perdre la valeur du traitement.
Obligatoire au sens RGPD pour traitements à risque élevé. L'AI Act peut imposer une FRIA pour les systèmes haut risque. Tenez les deux à jour.
Si votre fournisseur disparaît, change de juridiction, ou augmente brutalement ses tarifs : combien de temps pour migrer ? Architecturez pour l'option de sortie.
Ce n'est pas du formalisme. En cas de contrôle CNIL ou d'incident, ces dix points sont exactement ce qui sera demandé. Les avoir prêts transforme une situation tendue en formalité.
La juridiction de l'opérateur prime. Données EU chez OpenAI = soumis au CLOUD Act. La phrase « hébergé en Europe » est un début, pas une garantie de souveraineté.
Une architecture pragmatique mixe les trois niveaux. SaaS US pour l'éphémère et le public, fournisseur EU pour la PII clients, on-premise pour les secrets. Pas de réponse unique.
DPA signé, AIPD à jour, politique de confidentialité claire, registre des traitements. Quelques heures de travail aujourd'hui, des semaines économisées demain.
Reproductibilité, indépendance fournisseur, capacité à pivoter. Une bonne architecture souveraine est aussi une bonne architecture tout court — résiliente, observable, documentée.
Nous concevons des produits IA pour des entreprises européennes. Notre default architectural est le niveau 2 — fournisseur EU, juridiction européenne, DPA propre.
Le niveau 1 reste valable pour des prototypes ou des usages publics. Le niveau 3 reste réservé aux secteurs et données qui le justifient. Choisir le bon niveau, c'est notre métier.