Notion · Sécurité et conformité
Localisation des données
Le pays où vos données sont stockées et traitées. Un fournisseur américain reste soumis au droit américain même avec des serveurs en Europe ; c’est un critère de choix, pas un détail.
Comment ça marche
Quand un outil d’IA traite vos données, elles sont quelque part. Stockées sur des serveurs dans un pays. Traitées par un modèle qui tourne dans un centre de données, parfois un autre pays. Sauvegardées ailleurs encore. Et accessibles à une entreprise, le fournisseur, soumise aux lois de son pays d’origine, quel que soit l’endroit où sont les serveurs.
La localisation des données, c’est l’ensemble de ces réponses. Elle compte pour le droit : le RGPD encadre les transferts hors de l’Union européenne, et le droit américain permet dans certains cas d’exiger des données d’une entreprise américaine même stockées en Europe. Elle compte pour les clients : certains secteurs et certains contrats imposent une localisation. Et elle compte pour la maîtrise : plus les données sont loin, moins on sait qui y touche. Les options vont du fournisseur mondial avec région européenne au modèle installé en interne.
Un exemple concret
- Les données : documentation technique (interne), dossiers réglementaires (confidentiel), données d’essais cliniques (santé, donc sensible), courrier et comptes rendus (interne).
- Fournisseur mondial, région Europe : stockage et traitement en Europe, contrat avec l’entité européenne du fournisseur, mais maison mère américaine. Retenu pour le courrier, les comptes rendus et la documentation technique.
- Fournisseur européen : entité européenne, serveurs en Europe, modèles ouverts. Retenu pour les dossiers réglementaires.
- Interne : un modèle ouvert sur un serveur de l’entreprise, pour tout ce qui touche aux essais cliniques. Rien ne sort.
- Écrit : un tableau d’une page, données par données, outil par outil, dans la charte. Et une réponse prête pour les auditeurs.
Trois niveaux, trois fournisseurs. Pas de dogme : une correspondance entre la sensibilité de chaque donnée et le niveau de maîtrise voulu.
Ce que ça change pour une équipe
- La question se pose à l’achat. Où vont les données ? Devient une case du tableau comparatif, avant le prix.
- Les contrats se lisent pour ça. Entité signataire, localisation, sous-traitants, accès : quatre lignes à trouver.
- L’offre interne a sa place. Pour les données qui ne doivent pas sortir, le modèle local n’est plus une curiosité : c’est une option normale.
- Les clients obtiennent une réponse. « Vos données restent en Europe » ou « ne sortent pas de nos serveurs » : affirmé, documenté, vérifiable.
Les limites et les erreurs fréquentes
- S’arrêter à « hébergé en France ». Sans savoir qui est le fournisseur, de quel droit il relève, et qui accède aux données.
- Oublier les sous-traitants. Le fournisseur utilise d’autres fournisseurs. Leur localisation compte aussi, et figure, en principe, dans le contrat.
- Tout exiger en Europe. Pour des données non sensibles, c’est un surcoût et une contrainte sans bénéfice. La classification décide.
- Négliger les sauvegardes et les journaux. Les données peuvent être en Europe, et leurs sauvegardes ailleurs. La question couvre tout le cycle.
Pour aller plus loin
La localisation couvre le stockage, le traitement et les sauvegardes. Les garanties passent par le choix d’une région, d’un hébergeur européen ou d’un modèle local, et par les clauses contractuelles. Le CLOUD Act américain pèse sur l’analyse.
Où ça se situe chez Opora
Programme 03 · Garder la maîtriseL’IA chez vous, sans que vos données sortent
Décider où vos données peuvent aller, et mettre en place une IA interne pour celles qui ne doivent pas sortir, c’est l’objet du programme Garder la maîtrise.
Questions fréquentes
Des serveurs en Europe, est-ce suffisant ?
C’est mieux que des serveurs ailleurs, mais ce n’est pas suffisant. Un fournisseur de droit américain reste soumis à des lois américaines qui peuvent l’obliger à communiquer des données, où qu’elles soient. La localisation des serveurs et le droit applicable au fournisseur sont deux questions distinctes.
Quelles questions poser à un fournisseur ?
Où sont stockées les données, y compris les sauvegardes. Où sont-elles traitées, c’est-à-dire où tourne le modèle. Quelle entité juridique signe le contrat, et de quel droit elle relève. Qui, chez le fournisseur et chez ses sous-traitants, peut y accéder. Et combien de temps elles sont conservées. Les réponses figurent, ou devraient figurer, dans le contrat.
Faut-il tout garder en France ?
Non, pas pour la plupart des données. Le courrier courant, les documents internes non sensibles peuvent passer par un fournisseur sous contrat sérieux. La localisation stricte, Europe ou interne, se réserve aux données qui le justifient : santé, RH, secrets, données de clients qui l’exigent.