IA et RGPD : héberger ses traitements en France, ce que ça implique vraiment
Héberger en France règle une chose : le transfert hors Union européenne, et le droit applicable aux données. Il ne règle ni la finalité, ni la base légale, ni la durée de conservation, ni l’information des personnes, ni leurs droits. La conformité d’un assistant IA se construit dans le cadrage, avec les neuf étapes de la CNIL ; l’hébergement n’en est qu’une.
Je ne rends pas d’avis juridique. Cet article liste ce qu’un responsable de traitement doit faire trancher, et dans quel ordre. Pour ce que les fournisseurs de modèles font des données qu’on leur envoie, voir nos données partent-elles chez OpenAI.
Qu’est-ce qu’héberger en France règle, et ne règle pas ?
Ce que ça règle est réel. Des données qui restent sur un serveur en France ne font l’objet d’aucun transfert hors de l’Union : pas de cadre UE-États-Unis à vérifier, pas de clauses contractuelles types à signer, pas de sous-traitant soumis à une loi étrangère qui pourrait exiger l’accès. Le droit applicable est le droit français et européen, l’autorité de contrôle est la CNIL, et une réquisition passe par un juge français. Pour une DSI, c’est une simplification nette du dossier.
Ce que ça ne règle pas, c’est tout le reste du RGPD. La finalité, la base légale, la minimisation, les durées, l’information, les droits, la sécurité : aucun de ces points ne dépend du lieu du serveur. Un assistant hébergé à Roubaix qui garde toutes les questions de tous les salariés pour toujours, sans les en avoir informés, est non conforme. Un assistant hébergé en Allemagne chez un prestataire européen, avec un dossier complet, peut l’être.
Il y a un piège dans « en France ». Un prestataire français peut s’appuyer sur une infrastructure d’un fournisseur américain, ou faire intervenir des sous-traitants ultérieurs hors de l’Union pour le support, la supervision ou la sauvegarde. La question n’est pas où est la société, mais où sont les données à chaque étape, et qui peut y accéder. Elle se pose au prestataire, par écrit, avec la liste de ses sous-traitants ultérieurs.
Que demande le RGPD à celui qui déploie un assistant IA ?
La CNIL a publié une démarche en neuf étapes pour les systèmes d’IA, lue le 8 septembre 2026. Voici ce qu’elle veut dire pour un assistant qui interroge les documents internes d’une entreprise, et qui le fait.
| Étape CNIL | Pour un assistant documentaire | Qui le fait |
|---|---|---|
| Définir une finalité | Ce que l’assistant sert à faire, écrit en une phrase, sans « et tout ce qui pourrait être utile » | Vous |
| Établir une base légale | Le plus souvent l’intérêt légitime de l’employeur ou l’exécution du contrat, à documenter | Vous, avec un conseil si besoin |
| Constituer le corpus | Quels documents entrent dans l’index, lesquels en sont exclus, comment les personnes en sont informées | Vous, avec le prestataire |
| Minimiser | Indexer les documents nécessaires à la finalité, pas tout le partage réseau ; droits de lecture alignés sur ceux de l’utilisateur | Le prestataire, sur vos règles |
| Fixer les durées | Index, journaux de questions, jeu d’évaluation : trois durées, trois purges effectives | Vous décidez, le prestataire met en place |
| Encadrer l’apprentissage continu | Aucun réentraînement sur les questions des salariés sans nouvelle finalité documentée | Le prestataire, par construction |
| Sécuriser le modèle | Contre l’extraction de données par des questions, contre l’injection par des documents | Le prestataire, l’hébergeur |
| Assurer la transparence | Une information claire avant la mise en service, pas une ligne dans une charte | Vous |
| Permettre les droits et la supervision | Accès, effacement, opposition ; un humain qui peut revoir une réponse contestée | Vous, avec le prestataire |
La colonne de droite est celle qui compte. Sur neuf étapes, cinq reposent sur le responsable de traitement et ne peuvent être déléguées. Un prestataire qui promet la conformité « clé en main » promet quelque chose qu’il ne peut pas tenir.
Que demande en plus le règlement européen sur l’IA ?
Pour un assistant documentaire qui répond à des salariés, le règlement (UE) 2024/1689 classe en général le système en risque limité : l’obligation principale est de transparence, les personnes doivent savoir qu’elles interagissent avec un système d’IA, et l’article 4 demande que ceux qui l’exploitent en comprennent les capacités et les limites. Un registre des systèmes d’IA, avec la finalité, le modèle, le fournisseur et le rôle de l’entreprise, est la façon simple de tenir ces deux obligations.
Tout change si l’assistant touche à l’emploi, à l’accès à des services essentiels, au crédit ou à d’autres domaines de l’annexe III : trier des candidatures, évaluer des salariés, décider d’un accès. Le système devient à haut risque, et l’article 26 impose au déployeur une supervision humaine confiée à des personnes compétentes et habilitées, une surveillance du fonctionnement, la conservation des journaux pendant au moins six mois, et l’information des salariés et de leurs représentants avant la mise en service. Sur le calendrier d’application, une réserve : la page consultée affiche décembre 2027 pour l’annexe III et août 2028 pour l’annexe I, des dates qui ont bougé depuis l’adoption du texte et qui sont à vérifier auprès d’une source officielle avant de s’y fier.
La frontière est nette et elle se décide au cadrage : un assistant qui aide à retrouver une procédure n’est pas à haut risque ; le même assistant à qui l’on demande de présélectionner des CV l’est. Ce n’est pas le modèle qui change, c’est l’usage.
Quand l’hébergement en France devient-il obligatoire ?
Presque jamais en droit général : le RGPD n’impose pas un pays, il impose un cadre pour les transferts. L’obligation vient de contraintes particulières. Les données de santé relèvent d’un agrément d’hébergeur spécifique. Le secteur public et les opérateurs d’importance vitale ont leurs propres exigences. Et surtout, les appels d’offres et les clauses clients l’imposent de plus en plus, par précaution.
Le repère français est la qualification SecNumCloud, délivrée par l’ANSSI, dont l’annuaire des prestataires qualifiés est public. Elle sert d’exigence dans les marchés qui veulent une protection contre les législations extra-européennes. Pour une entreprise qui n’y est pas tenue, elle reste un critère de choix raisonnable quand les données sont sensibles ; pour les autres, un hébergeur européen avec un contrat de traitement clair et une liste de sous-traitants connue suffit souvent.
Ce que je fais sur mon propre site, et pourquoi ce n’est pas suffisant pour un client
Tout ce qui suit est dans les mentions légales du site et dans le registre des systèmes d’IA que je tiens pour lui.
Le site est servi depuis un serveur privé virtuel situé en France, chez un hébergeur français. Il ne dépose aucun cookie et n’embarque aucun traceur ni mesure d’audience. Les journaux de connexion du serveur sont supprimés sous quatorze jours ; les messages que je reçois sont conservés trois ans après le dernier échange ; les informations techniques associées, trente jours. Les demandes d’accès ou d’effacement sont traitées sous un mois. Le pipeline qui produit les brouillons d’articles tourne sur un modèle local, sans sous-traitant, et le registre le documente, y compris l’usage ponctuel d’un assistant américain pour rédiger des articles comme celui-ci, avec mes seules données.
C’est cohérent avec ce que je recommande, et ce n’est pas suffisant pour un client. Ce site est une vitrine : il ne traite aucune donnée de tiers hormis l’adresse de ceux qui m’écrivent. Un assistant sur les documents d’une entreprise traite les données de centaines de personnes, salariés et clients, et demande le dossier complet du tableau ci-dessus. Ce dossier est un livrable du cadrage, écrit avec le responsable de traitement, pas une annexe rédigée après la mise en service.
Faut-il une analyse d’impact ?
Une analyse d’impact relative à la protection des données devient nécessaire quand le traitement présente un risque élevé pour les personnes. Pour un assistant IA, les déclencheurs habituels sont : des données sensibles dans le corpus, santé, opinions, condamnations ; une grande échelle, tous les salariés d’un groupe ou tous les clients ; une surveillance systématique, par exemple un journal nominatif des questions exploité par la hiérarchie ; ou une décision automatisée à effet sur les personnes.
L’analyse décrit le traitement, en évalue la nécessité et la proportionnalité, identifie les risques pour les personnes et les mesures prises. Elle se conserve et se présente sur demande. Un assistant documentaire sur des procédures techniques n’en a en général pas besoin ; le même assistant sur les dossiers RH en a besoin. C’est une question à faire trancher au cadrage, avec le délégué à la protection des données quand il existe, et avant d’indexer le premier document.
Par où commencer, concrètement ?
Dans cet ordre, parce que chaque étape conditionne la suivante.
- Classer les documents : publics, internes sans données sensibles, personnels ou sensibles. La classe la plus haute présente dans le corpus fixe le niveau d’exigence.
- Écrire la finalité et la base légale, en une page, relue par quelqu’un qui n’a pas construit le projet.
- Fixer les durées et les purges : index, journaux de questions, jeu d’évaluation, avec le mécanisme qui les applique, pas seulement la règle.
- Informer les personnes avant la mise en service, et consulter les représentants du personnel quand le droit du travail le demande.
- Prévoir les droits : qui répond à une demande d’accès sur les questions posées, comment un document est retiré de l’index.
- Choisir l’hébergement, en dernier, à partir de la classe de données et des contraintes clients, pas de la brochure.
Le cadrage d’un cas d’usage produit ces six réponses avec vous ; c’est ce que la page de l’offre décrit. Si vous avez un projet d’assistant et qu’on vous a vendu « hébergé en France » comme réponse à tout, décrivez votre cas d’usage : la première question portera sur ce que contiennent vos documents.