IA interne hébergée dans l'UE ou IA générative externe : ce qui change pour des documents contenant des données personnelles

Que compare-t-on exactement ?

Option A, IA interne ou hébergée dans l'UE : le modèle qui lit le document (par exemple pour repérer les données personnelles) tourne sur vos serveurs ou sur ceux d'un prestataire dans l'Union européenne, sans renvoyer le contenu à un tiers. Le prestataire agit en sous-traitant, avec un contrat et une liste de sous-traitants ultérieurs connue.

Option B, IA générative externe : le texte intégral part vers un service tiers, qu'il s'agisse d'un chatbot grand public, d'une offre entreprise ou d'une API. La suite dépend des conditions du fournisseur : lieu de traitement, durée de conservation, relecture humaine éventuelle, réutilisation pour améliorer les modèles.

Attention aux raccourcis : cloud ne veut pas dire danger. Un SaaS européen, c'est aussi du cloud. Ce qui compte, c'est qui traite les données, où, sous quel contrat et pour quelles finalités.

Transferts internationaux : le chapitre V du RGPD

Le RGPD n'autorise un transfert hors de l'EEE que sur la base d'une décision d'adéquation (art. 45), de garanties appropriées comme les clauses contractuelles types (art. 46) ou, de façon exceptionnelle et restrictive, des dérogations de l'art. 49. Envoyer un document à un service traité ou assisté depuis un autre pays peut constituer un transfert, même si l'utilisateur ne le perçoit pas ainsi.

Pour les États-Unis, la Commission a adopté le 10 juillet 2023 la décision d'exécution (UE) 2023/1795, qui reconnaît adéquat le cadre de protection des données UE-États-Unis (Data Privacy Framework). Il couvre les transferts vers les organisations américaines autocertifiées figurant sur la liste officielle du Département du Commerce. Si l'entité destinataire n'est pas certifiée, il faut un autre outil, en général des clauses contractuelles types assorties d'une analyse d'impact du transfert. Le cadre a été contesté devant les juridictions de l'Union : mieux vaut suivre son évolution.

Un fournisseur qui annonce un traitement dans l'UE marque un point, mais demandez aussi d'où provient l'assistance technique et qui sont ses sous-traitants ultérieurs.

Contrat de sous-traitance, conservation et réutilisation

Lorsqu'un organisme confie à un service externe le traitement de données personnelles pour son compte, ce fournisseur est son sous-traitant et l'article 28 du RGPD impose un contrat : instructions documentées, confidentialité du personnel, sécurité au sens de l'article 32, encadrement des sous-traitants ultérieurs, suppression ou restitution en fin de contrat.

Les versions grand public de nombreux chatbots relèvent de conditions conçues pour les particuliers, et le fournisseur peut se réserver certains usages des contenus saisis. Les offres entreprise et les API proposent souvent un accord de traitement, mais ne le supposez pas : vérifiez les conditions du fournisseur avant tout envoi.

• Les requêtes et fichiers servent-ils à entraîner ou améliorer les modèles ? Peut-on le désactiver, et à quel niveau ?
• Combien de temps sont conservés conversations, fichiers et journaux, y compris pour la détection d'abus ?
• Dans quels pays les données sont-elles traitées, et d'où l'assistance peut-elle y accéder ?
• Existe-t-il un accord de traitement signé et une liste de sous-traitants ultérieurs à jour ?
• Qui dispose d'un compte dans votre organisme, avec quels réglages, et qui les contrôle ?

Confidentialité et secret professionnel

Avocats, médecins, agents publics : la révélation d'une information à caractère secret est sanctionnée par l'article 226-13 du code pénal, en plus des règles de protection des données. Coller les conclusions d'un client dans un chatbot grand public revient à confier l'information à un tiers, même sans fuite ultérieure. Et tout ce qui est sensible n'est pas une donnée personnelle : stratégie contentieuse, offres commerciales ou secret des affaires méritent aussi d'être protégés.

Dans sa fiche du 18 juillet 2024 sur le déploiement de l'IA générative, la CNIL recommande de privilégier des systèmes sécurisés, si possible hébergés en interne, et sinon de vérifier si le fournisseur peut réutiliser les données transmises. Elle conseille aussi de définir les usages autorisés et interdits, par exemple l'interdiction de fournir des données personnelles à l'outil, et de former les utilisateurs.

Le règlement européen sur l'IA, en bref

Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024 et s'applique par étapes : pratiques interdites et obligation de maîtrise de l'IA (art. 4) depuis le 2 février 2025, obligations des modèles d'usage général depuis le 2 août 2025, le reste ensuite. Il ne remplace pas le RGPD. Utiliser un chatbot pour résumer des documents ne fait pas de vous le fournisseur d'un système à haut risque, mais vous devez former les utilisateurs et encadrer les usages.

Tableau comparatif

Quand choisir l'une ou l'autre

• IA interne ou hébergée dans l'UE : documents contenant des données de clients, patients, salariés ou usagers ; dossiers couverts par le secret professionnel ; volumes importants et répétitifs ; besoin de traçabilité et de journal d'audit.
• IA générative externe : textes sans données personnelles ni informations confidentielles, brouillons génériques, modèles, traductions de contenus publics ou documents déjà anonymisés.
• Les deux combinées : anonymiser ou pseudonymiser d'abord avec un outil qui garde les données dans l'UE, puis n'utiliser le chatbot que sur la version nettoyée.

Cette troisième voie est souvent la plus réaliste ; nous la détaillons dans anonymiser des documents avant de les confier à ChatGPT. N'oubliez pas qu'une donnée pseudonymisée reste une donnée personnelle pour qui détient la table de correspondance (considérant 26 du RGPD) : demandez-vous si la pseudonymisation suffit ou s'il faut une anonymisation irréversible.

Anonimatum suit le modèle A : il détecte les données personnelles avec sa propre IA exécutée sur des serveurs situés dans l'Union européenne, sans envoyer le texte à des API externes de modèles de langage, combine IA et motifs, et permet de relire chaque proposition avant application. Consultez le lieu de traitement et ce qui est conservé sur la page sécurité et protection des données, et comparez les approches dans anonymisation manuelle ou automatique.