Le RGPD oblige-t-il à héberger les données en Europe ?

Non. Il autorise les transferts hors de l'Union européenne à condition de respecter le chapitre V : décision d'adéquation, garanties appropriées comme les clauses contractuelles types, ou dérogations limitées.

Les clauses types de sous-traitance suffisent-elles pour un transfert ?

Non. La CNIL précise que les clauses types de l'article 28 ne peuvent pas servir aux transferts hors Union européenne, qui demandent des clauses dédiées.

Hébergement des données d'un assistant IA en Europe

Le RGPD (règlement général sur la protection des données) n'impose pas d'héberger les données en Europe. Il impose que, si des données personnelles quittent l'Union européenne, le niveau de protection « ne soit pas compromis » (article 44). Pour un assistant IA qui lit vos documents, la vraie question est donc : où sont stockés vos fichiers, où sont traitées les questions, et sur quelle base juridique, si cela se passe hors d'Europe ?

Cette page présente ce que dit le texte et les questions à poser à tout fournisseur. L'analyse de votre cas relève de votre délégué à la protection des données ou d'un avocat.

Trois endroits où vos données passent

Un assistant d'équipe ne se résume pas à « un serveur ». Vos données peuvent se trouver à trois endroits différents :

Étape	Ce qui circule	Question à poser
Le stockage de la base	Vos documents, découpés et indexés	Dans quel pays sont les serveurs ? Qui est l'hébergeur ?
Le traitement des questions	La question du salarié et les extraits de documents envoyés au modèle d'IA	Quel prestataire fait tourner le modèle, et où ?
Le support et l'administration	Accès techniques aux comptes et aux journaux	Depuis quels pays les équipes du fournisseur interviennent-elles ?

Un fournisseur peut stocker la base en Europe et faire traiter les questions par un modèle hébergé ailleurs. Demandez la liste complète des sous-traitants ultérieurs : l'article 28 du RGPD interdit au sous-traitant d'en recruter un autre sans autorisation écrite préalable du client.

Ce que dit le chapitre V du RGPD

Les articles 44 à 49 prévoient trois voies pour un transfert hors de l'Union européenne.

1. La décision d'adéquation (article 45). La Commission européenne constate qu'un pays assure un niveau de protection adéquat. Le transfert ne nécessite alors pas d'autorisation spécifique. La CNIL tient une carte des pays concernés. Pour les États-Unis, elle indique que la Commission a adopté une nouvelle décision d'adéquation le 10/07/2023 ; vérifiez auprès du fournisseur si son prestataire américain en relève.

2. Les garanties appropriées (article 46). Sans adéquation, le transfert reste possible avec des garanties, notamment les clauses contractuelles types adoptées par la Commission. La CNIL rappelle qu'elles ont été mises à jour. Les règles d'entreprise contraignantes (BCR, en anglais binding corporate rules) jouent le même rôle au sein d'un groupe.

3. Les dérogations (article 49). Consentement explicite de la personne, exécution d'un contrat avec elle, défense de droits en justice… Elles sont réservées à des situations particulières et ne conviennent pas à un outil utilisé tous les jours par une équipe.

La CNIL a aussi publié un guide sur l'analyse d'impact des transferts, destiné aux organismes qui transfèrent des données hors de l'Espace économique européen.

Un piège fréquent : confondre deux types de clauses

La CNIL distingue :

les clauses contractuelles types de sous-traitance (décision d'exécution 2021/915 du 04/06/2021), qui encadrent la relation entre vous et votre prestataire au titre de l'article 28 ;
les clauses contractuelles types de transfert, qui encadrent l'envoi de données hors de l'Union.

Les premières, précise la CNIL, ne peuvent pas servir aux transferts. Un contrat qui ne contient que les premières ne règle donc pas la question de l'hébergement hors d'Europe.

Ce que recommandent la CNIL et l'ANSSI

Dans ses questions-réponses du 18/07/2024, la CNIL indique :

pour des données personnelles ou sensibles, il est « généralement plus opportun et plus sécurisé » de privilégier un déploiement sur site ;
dans le nuage, un contrat de sous-traitance est nécessaire avec l'hébergeur et, le cas échéant, avec le fournisseur ;
une infrastructure mutualisée reste possible pour les petites structures, si les transferts sont encadrés.

Le guide de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) du 29/04/2024 recommande d'héberger le système d'IA « dans des environnements de confiance cohérents avec les besoins de sécurité » (R11) et de privilégier un hébergement SecNumCloud en cas de déploiement dans un nuage public (R14). Demandez au fournisseur si son offre, ou celle de son hébergeur, répond à cette exigence SecNumCloud.

La méthode en quatre étapes

Classez vos documents par sensibilité : publics (catalogue, conditions générales), internes (procédures), confidentiels (contrats, tarifs), personnels (dossiers clients ou salariés).
Demandez le schéma des flux au fournisseur : stockage, modèle, sauvegardes, support, avec les pays et les noms des sous-traitants.
Rapprochez les deux : un catalogue public ne pose pas la même question qu'un dossier salarié. Pour les documents les plus sensibles, l'exigence d'hébergement monte.
Faites écrire les réponses dans le contrat ou ses annexes, pas seulement dans une plaquette.

Exemple

Un cabinet de gestion veut un assistant qui réponde aux questions de l'équipe sur ses procédures internes. Le fournisseur indique un stockage en France. En posant la question des flux, le cabinet apprend que les questions sont traitées par un modèle d'un autre prestataire. Il demande alors la base de ce second flux (adéquation ou clauses de transfert) et décide de ne pas verser les dossiers clients tant que la réponse n'est pas écrite.

Pour la suite, voyez la page contrat de sous-traitance et la liste des questions à poser au fournisseur.