RGPD et IA : où vont vraiment les données de votre entreprise ?
L'IA n'échappe pas au RGPD. Où transitent vos données avec un outil IA SaaS, ce qu'impose la CNIL, le risque Cloud Act, et comment garder le contrôle avec une IA souveraine.
L'intelligence artificielle n'échappe pas au RGPD : dès qu'un outil IA traite des données personnelles, la CNIL et le règlement européen sur l'IA s'appliquent simultanément. Avec la plupart des outils IA SaaS, vos données transitent par des serveurs américains, exposés au Cloud Act — même quand l'éditeur affiche des serveurs en Europe. Garder le contrôle est d'abord une question d'architecture.
Ce guide explique où vont réellement vos données, ce qu'impose la CNIL, le piège du Cloud Act, et comment rester souverain.
Où vont réellement vos données avec une IA SaaS
Quand vous envoyez un document à un outil IA généraliste, vos données partent sur les serveurs de l'éditeur pour être traitées. Par défaut, les grands fournisseurs n'utilisent pas ces données pour entraîner leurs modèles — mais elles transitent et sont stockées, souvent aux États-Unis. Pour des données clients, RH ou contractuelles, c'est un vrai sujet de conformité.
Ce qu'impose la CNIL
La CNIL est claire : le RGPD et le règlement IA s'appliquent en même temps. Les obligations clés : finalité déterminée, base légale (souvent l'intérêt légitime, sous 3 conditions), minimisation des données, durée de conservation limitée, respect des droits des personnes, et supervision humaine des décisions. La conformité IA n'est pas une case à cocher — c'est une question de conception.
Le piège du Cloud Act
Le Cloud Act (loi américaine de 2018) permet aux autorités US d'exiger l'accès aux données détenues par une entreprise américaine — même si les serveurs sont physiquement en Europe. C'est pourquoi « hébergé en Europe » par un fournisseur US ne suffit pas. L'arrêt Schrems II (CJUE, 2020) a d'ailleurs invalidé le Privacy Shield sur ce fondement. La vraie souveraineté suppose un fournisseur sans lien capitalistique US (logique du label SecNumCloud de l'ANSSI).
IA SaaS US vs IA souveraine
| Critère | IA SaaS US (boîte noire) | IA intégrée sur infra souveraine |
|---|---|---|
| Hébergement | US (ou UE mais éditeur US) | UE, fournisseur souverain |
| Soumis au Cloud Act ? | Oui | Non (si pas de lien US) |
| Données réutilisées ? | Opaque | Non — vos données restent vôtres |
| Propriété code / données | Éditeur | Vous |
| Qui peut y accéder | Éditeur + autorités US | Vous seul |
Comment garder le contrôle
La réponse structurelle : une IA intégrée sur votre propre infrastructure ou un cloud UE de confiance, avec des modèles européens (type Mistral) ou open-weight quand les données sont sensibles. Chiffrement (AES-256, TLS), minimisation dès la conception, et aucun transit par une boîte noire qui agrège. C'est l'approche de NateSystem : votre code et vos données restent chez vous, hébergés en UE, RGPD-natif. Où vont vos données ? Nulle part.
FAQ
Utiliser ChatGPT au travail est-il conforme RGPD ?
Pour des données non personnelles, oui. Pour des données clients/RH sensibles, c'est risqué : elles transitent par des serveurs US exposés au Cloud Act. Mieux vaut une solution souveraine.
« Hébergé en Europe » suffit-il ?
Non si le fournisseur est une entreprise américaine : le Cloud Act s'applique quand même. Il faut un fournisseur sans lien capitalistique US.
Comment être conforme tout en utilisant l'IA ?
En traitant la conformité comme un sujet d'architecture : modèles UE/open-weight, hébergement souverain, minimisation, supervision humaine. C'est ce que permet une IA intégrée sur-mesure.
En résumé
L'IA est soumise au RGPD, et la plupart des outils SaaS exposent vos données au Cloud Act. La seule réponse structurelle : une IA souveraine, sur votre infrastructure ou un cloud UE de confiance, dont vous gardez la propriété.
Prêt à automatiser vos opérations ?
Réservez un appel de consulting offert de 20 minutes. On identifie ensemble vos 3 processus à plus fort potentiel d'automatisation. Vous repartez avec une roadmap, même si on ne bosse pas ensemble.
Réserver 20 min · offert