Où sont hébergées les données de vos clients quand vous utilisez une IA ?

Un prospect écrit à 22 h depuis une annonce. Une réponse part quelques minutes plus tard, rédigée par un système automatique. Entre les deux, son nom, son numéro et ce qu’il cherche ont circulé entre plusieurs sociétés, dont votre contrat ne cite probablement aucune.

Cet article explique par où passent réellement ces données, ce que le RGPD impose sur leur localisation, ce que change le fait qu’un modèle d’intelligence artificielle soit américain, et comment obtenir la réponse auprès de vos prestataires actuels, sans expert et sans budget.

Qui est responsable si les données d’un prospect partent où elles ne devraient pas ?

La responsabilité pèse sur votre agence, et pas seulement sur votre prestataire.

Le RGPD distingue deux rôles. Celui qui décide pourquoi et comment des données sont traitées est responsable du traitement. Celui qui exécute ce traitement pour son compte est sous-traitant. Une agence qui confie le traitement de ses demandes entrantes reste dans le premier rôle. Elle délègue le travail, pas la responsabilité.

Cette exposition tient à trois articles, qui visent tous le responsable :

L’article 28, paragraphe 1 interdit de confier des données à n’importe qui. Le responsable du traitement ne peut faire appel qu’à des sous-traitants présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Le choix du prestataire est lui-même une obligation, et elle appartient au dirigeant.

L’article 24 exige en plus de pouvoir le prouver. Le responsable doit mettre en œuvre des mesures appropriées pour s’assurer que le traitement est conforme, et pour être en mesure de le démontrer. Être en règle ne suffit pas, il faut pouvoir le montrer.

L’article 82 ouvre une voie de réparation à la personne lésée. Toute personne ayant subi un dommage matériel ou moral du fait d’une violation peut obtenir réparation, du responsable comme du sous-traitant. Un vendeur ou un acquéreur dispose donc d’une voie directe contre l’agence.

Rien de tout cela ne se déclenche seul. Une amende suppose un contrôle, une procédure et un montant proportionné aux circonstances. Une demande de réparation suppose qu’une personne l’engage et établisse son préjudice. Ce sont des expositions, pas des échéances.

Un dernier point de cadrage, pour éviter un malentendu : ces obligations ne datent pas de l’intelligence artificielle. Elles s’appliquent déjà à votre logiciel métier, à votre messagerie et à votre téléphonie. Le régime du démarchage téléphonique, resserré depuis le 11 août 2026, relève de la même logique. L’intelligence artificielle ne crée donc pas cette obligation, elle en étend seulement la portée : il y a désormais plus de sociétés auxquelles demander où sont vos données.

Par où passe réellement une donnée de prospect quand une IA rédige la réponse ?

Une donnée de prospect passe par quatre maillons au minimum. Vous avez choisi les deux premiers, votre logiciel métier et votre prestataire. Les deux autres arrivent avec lui.

Maillon	Ce qu’il fait de la donnée	Ce qu’il en garde
Votre logiciel métier, Netty, Hektor ou Apimo	Enregistre le contact et l’historique	Tout, pendant la durée que vous avez fixée
La base du système de réponse	Conserve le fil de la conversation	Ce que le contrat prévoit
Le fournisseur du modèle qui rédige	Reçoit le texte, renvoie une réponse	Le temps de l’échange, plus une éventuelle trace technique
Le service d’envoi des emails et des SMS	Transporte le message	Un historique d’envois, souvent long

Ce tableau mélange trois régimes que la plupart des discussions confondent. Le stockage durable est celui auquel tout le monde pense : une base qui garde les fiches. Le traitement transitoire est l’opération par laquelle un modèle lit un texte et en produit un autre, sans nécessairement rien conserver. La journalisation est le point aveugle : chaque service intermédiaire enregistre ce qu’il fait, et ces journaux contiennent souvent le contenu transporté.

D’où vient le vrai problème : « Où sont mes données » n’est pas une question, c’en est trois. Le pays où la société est établie, le pays où le calcul est effectué et le pays où les journaux sont conservés peuvent différer. Un prestataire qui répond « en Europe » à la première n’a répondu ni à la deuxième ni à la troisième.

Votre logiciel métier est concerné au même titre que le reste. Il reçoit et il range, ce qui n’est pas la même chose que réagir, mais ce qu’il range se trouve quelque part.

Envoyer un texte à un modèle américain, est-ce un transfert de données hors UE ?

Oui : au sens du RGPD, il y a transfert dès qu’une donnée personnelle est rendue accessible à un organisme établi hors de l’Union. Le mot « transfert » ne suppose ni copie durable, ni déménagement de serveur.

L’article 44 pose le principe : « Un transfert, vers un pays tiers ou à une organisation internationale, de données à caractère personnel qui font ou sont destinées à faire l’objet d’un traitement après ce transfert ne peut avoir lieu que si, sous réserve des autres dispositions du présent règlement, les conditions définies dans le présent chapitre sont respectées par le responsable du traitement et le sous-traitant, y compris pour les transferts ultérieurs […] »

Ces conditions se ramènent à trois voies :

La décision d’adéquation dispense de tout outil supplémentaire. La Commission européenne constate qu’un pays offre une protection substantiellement équivalente, et le transfert se fait alors sans formalité particulière. Pour les États-Unis, cette décision existe depuis le 10 juillet 2023, mais elle ne couvre pas le pays entier : elle ne vaut que pour les organisations certifiées au Data Privacy Framework et inscrites sur la liste tenue par le Département du Commerce américain. La CNIL précise qu’il faut vérifier que l’entité destinataire, ses filiales et les catégories de données concernées sont bien couvertes.

Les clauses contractuelles types encadrent le transfert par le contrat. Prévues par l’article 46 et adoptées par la Commission dans leur version du 4 juin 2021, elles couvrent un transfert vers une entité non certifiée, et elles ne nécessitent aucune autorisation de la CNIL.

Les dérogations de l’article 49 ne valent que pour des cas isolés. Elles visent le consentement explicite de la personne, l’exécution d’un contrat conclu avec elle ou la défense d’un droit en justice. Ce sont des situations particulières, pas un régime d’exploitation courant.

Le cas américain est le plus fréquent, il n’est pas le seul. Le raisonnement vaut pour tout destinataire établi hors de l’Union, et il est plus contraignant encore quand le pays concerné ne bénéficie d’aucune décision d’adéquation : la première voie tombe, et il ne reste que les clauses contractuelles types ou les dérogations. La question à poser à un prestataire ne porte donc pas sur le nom du service qu’il emploie, mais sur le pays de l’entité destinataire et sur ce qui encadre le transfert.

Le règlement ne sanctionne pas tous les manquements au même niveau. L’article 83, paragraphe 5, point c, vise les transferts effectués au titre des articles 44 à 49 et les range dans la tranche haute : 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Les manquements à l’article 28 relèvent du paragraphe 4, plafonné à 10 millions d’euros ou 2 %. Ce sont des plafonds, pas des montants encourus par défaut.

Faut-il renoncer aux modèles américains ?

Non, il n’y a pas lieu d’y renoncer. Quatre configurations sont praticables, elles ne règlent pas les mêmes questions, et aucune ne les règle toutes.

Configuration	Ce qu’elle règle	Ce qu’elle laisse ouvert
Un modèle publié en accès libre, installé sur les serveurs d’un opérateur européen	Le transfert : rien ne sort de l’Union, quelle que soit la nationalité de l’éditeur du modèle	Le coût, le niveau de performance et les conditions de la licence, à examiner cas par cas
Un modèle édité par une société établie dans l’Union	Le droit applicable à cette société, qui relève entièrement de l’Union	Le choix technique est plus étroit, et le lieu où le calcul s’exécute reste à faire confirmer par écrit
Un modèle américain dont le traitement s’exécute dans un centre de données européen	L’endroit où le calcul a lieu et où les données sont conservées	La nationalité de la société qui exploite le service, donc le droit auquel elle reste soumise
Un modèle américain appelé sur son service standard	Rien par lui-même : l’encadrement vient de l’adéquation ou des clauses contractuelles types	La vérification vous incombe, entité par entité

La première configuration est la moins connue, et c’est celle qui change le plus la question. Certains éditeurs publient leur modèle en accès libre : n’importe quel opérateur peut alors l’installer sur ses propres serveurs et le faire fonctionner sans rien renvoyer à son concepteur. Un modèle conçu par une société américaine ou chinoise, installé et exploité par une société européenne, ne fait donc sortir aucune donnée de l’Union, et son éditeur n’y a jamais accès. Ce que le règlement encadre est le lieu du traitement et l’entité qui l’exécute, pas la nationalité du concepteur : ce sont deux questions distinctes, et les confondre ferme des options sans rien protéger de plus. D’où une question à poser à tout prestataire : sait-il exploiter lui-même ce qu’il vous propose, sur une infrastructure qu’il maîtrise, ou ne sait-il qu’appeler le service d’un tiers ?

Une distinction s’impose toutefois, et elle ne tient pas au pays. Employer le service grand public d’un éditeur, quel qu’il soit, n’a rien à voir avec installer un modèle publié en accès libre sur ses propres serveurs. Dans le premier cas les données sortent, le régime des transferts s’applique entièrement, et ce sont les conditions d’utilisation du service qui décident de ce qui est conservé et de ce qui sert à entraîner les versions suivantes : c’est là qu’il faut lire, ligne à ligne, avant de confier quoi que ce soit. Dans le second, rien ne sort, et la question ne se pose pas.

Deux points méritent d’être dits en clair :

Un hébergement européen ne referme pas la question de l’accès. Le droit de l’Union y répond par l’article 48 : « Toute décision d’une juridiction ou d’une autorité administrative d’un pays tiers exigeant d’un responsable du traitement ou d’un sous-traitant qu’il transfère ou divulgue des données à caractère personnel ne peut être reconnue ou rendue exécutoire de quelque manière que ce soit qu’à la condition qu’elle soit fondée sur un accord international, tel qu’un traité d’entraide judiciaire, en vigueur entre le pays tiers demandeur et l’Union ou un État membre, sans préjudice d’autres motifs de transfert en vertu du présent chapitre. » Dans ses lignes directrices 02/2024 consacrées à cet article, en anglais, le Comité européen de la protection des données ajoute que, qu’un tel accord existe ou non, répondre à la demande d’une autorité étrangère constitue un transfert au sens du règlement et doit donc respecter l’article 6 et le chapitre V. C’est une règle de droit européen : elle qualifie le manquement, elle n’empêche pas la demande d’être formulée.

Remplacer les identifiants avant l’envoi réduit ce qui sort, sans le supprimer. Substituer le nom, l’adresse électronique et le numéro de téléphone par des identifiants internes avant d’adresser quoi que ce soit à un modèle est une précaution à exiger. Elle est efficace sur les champs structurés. Elle l’est beaucoup moins sur le texte libre : un prospect qui écrit « je suis Marc, le voisin du 14 » ne remplit aucun champ. Un prestataire qui présente cette technique comme une garantie totale surestime ce qu’elle fait.

Ce que votre prestataire écrit dans ses conditions générales suffit-il ?

Non, sauf à ce qu’elles portent ce que l’article 28, paragraphe 3, exige : un contrat, ou un autre acte juridique, comportant huit mentions précises. Des conditions générales de vente qui ne les reprennent pas ne remplissent pas cette obligation.

Ces huit mentions imposent au sous-traitant de ne traiter les données que sur instruction documentée, de faire respecter la confidentialité par son personnel, de prendre les mesures de sécurité de l’article 32, de respecter les conditions du recours à d’autres sous-traitants, d’aider le responsable à répondre aux demandes des personnes concernées, de l’aider à respecter les articles 32 à 36, de supprimer ou restituer les données au terme de la prestation, et de fournir de quoi démontrer le respect de ces obligations.

Une décision française montre ce que vaut l’absence de ce contrat. Le 15 avril 2022, la CNIL a sanctionné un éditeur de logiciel destiné aux laboratoires d’analyses médicales à hauteur de 1,5 million d’euros. Parmi les manquements retenus, la formation restreinte a relevé que les conditions générales de vente ne comportaient aucune des mentions requises par l’article 28. S’y ajoutaient un traitement excédant les instructions des laboratoires clients et des défauts de sécurité, à l’origine d’une violation portant sur 491 840 dossiers de patients.

La portée de cette décision doit être bornée. C’est le prestataire qui est sanctionné, pas ses clients. Un laboratoire n’est pas une agence, et le volume de données n’a rien de comparable. Ce que la décision établit est plus étroit, mais directement utile : des conditions générales qui ne reprennent pas les mentions de l’article 28 ne valent pas contrat de sous-traitance.

Sur le seul terrain de la localisation, six éléments doivent figurer par écrit dans le contrat que votre prestataire vous fait signer :

• La liste nominative des sous-traitants ultérieurs, avec le pays de chacun.
• L’engagement sur le lieu de conservation des données.
• Le préavis en cas de changement de sous-traitant, et votre faculté d’objecter.
• Le sort des journaux techniques et leur durée de conservation.
• L’engagement de ne pas réutiliser vos données pour entraîner des modèles.
• Ce qui se passe au terme du contrat, suppression ou restitution.

Ce travail de mise en conformité pèse sur le prix d’un dispositif, et c’est l’une des lignes qui expliquent l’écart entre deux devis au périmètre voisin.

Comment vérifier où sont vos données, sans expert et sans budget ?

La vérification tient en cinq demandes écrites, adressées à chacun de vos prestataires actuels, et un geste qui vous revient à vous seul. Aucune ne suppose de compétence technique, aucune ne coûte quoi que ce soit, et l’éditeur de votre logiciel métier est concerné au même titre qu’un fournisseur de système IA.

1. Demandez la liste nominative des sous-traitants ultérieurs, avec le pays de chacun. L’article 28, paragraphe 2, subordonne le recours à un autre sous-traitant à votre autorisation et vous garantit d’être informé de tout changement. La demande est fondée en droit.
2. Pour chaque entité située hors de l’Union, demandez sur quoi repose l’encadrement. Si la réponse est la décision d’adéquation américaine, vérifiez vous-même l’inscription sur la liste publique du Département du Commerce, en contrôlant l’entité, ses filiales et les catégories de données couvertes. Cette liste officielle n’existe qu’en anglais.
3. Demandez où sont conservés les journaux techniques, et pendant combien de temps. C’est la première question que je pose devant une architecture existante, parce que c’est celle dont la réponse est rarement prête.
4. Demandez l’engagement écrit de non-utilisation de vos données pour l’entraînement de modèles.
5. Demandez ce qui se passe à la fin du contrat, suppression ou restitution, et sous quel délai.
6. Consignez les réponses, avec leur date. L’article 24 vous demande de pouvoir démontrer, ce qu’une réponse orale en rendez-vous ne permet pas.

Le tableau à remplir tient sur cinq colonnes et reprend les quatre maillons décrits plus haut :

Maillon	Rôle	Pays	Encadrement du transfert	Réponse obtenue le
Logiciel métier
Base du système de réponse
Fournisseur du modèle
Envoi des emails et des SMS

Ce tableau ne sert pas à justifier un achat. Si les réponses arrivent, datées et cohérentes, il n’y a rien à changer, et garder un prestataire en place coûte moins cher que d’en changer. Le signal qui justifie d’aller voir ailleurs n’est pas la présence d’un pays tiers dans la colonne « pays », c’est un refus de répondre, ou une réponse qui ne se vérifie nulle part.

Que faut-il retenir ?

Les données de vos prospects ne sont pas à un endroit, elles sont sur un trajet, et votre agence en répond sur toute la longueur. Le pays où la société est établie, celui où le calcul est effectué et celui où les journaux sont conservés sont trois réponses distinctes : demandez les trois. Un modèle américain n’est pas disqualifiant, un modèle américain sans encadrement écrit et vérifiable l’est, et les transferts non encadrés relèvent du plafond d’amende le plus élevé du règlement. Le règlement européen sur l’intelligence artificielle ajoute depuis le 2 août 2026 des obligations de transparence à certains systèmes, mais il ne dit rien du lieu où les données sont conservées : c’est une autre question, qui ne remplace pas celle-ci. Les cinq demandes ci-dessus ne coûtent rien et s’adressent à vos prestataires actuels, celui qui héberge votre fichier client compris. Le sixième geste, consigner les réponses avec leur date, ne s’adresse à personne d’autre que vous.