Un éditeur annonce « nos serveurs sont en France » et tout le monde autour de la table se détend. C'est une vraie réponse, mais à une question qui ne protège de rien. Ce qui décide de l'accès à vos données, ce n'est pas leur adresse postale, c'est la juridiction dont dépend celui qui les détient.
Cet article vous donne de quoi mener cette conversation avec n'importe quel fournisseur IA, sans avocat et sans y passer la semaine.
Adresse physique et juridiction, deux choses différentes
Le Cloud Act américain permet aux autorités des États-Unis d'exiger d'un fournisseur relevant de leur juridiction qu'il communique les données qu'il héberge, y compris lorsque ces données sont stockées à l'étranger. Un datacenter à Roubaix ne change rien à l'affaire si la société qui l'exploite dépend d'une maison mère américaine.
Ce n'est pas une lecture militante. En mai 2026, répondant à une question écrite au Sénat sur la souveraineté des données des citoyens français, le gouvernement a redit sa position : pour les données sensibles, les administrations passent par des offres qualifiées SecNumCloud, précisément parce que cette qualification de l'ANSSI est pensée contre les lois extraterritoriales.
La mécanique est simple. Trois choses distinctes se cachent derrière « nos données restent en Europe » :
- où les octets sont physiquement stockés,
- quelle entité juridique signe votre contrat,
- de quel droit relève la maison mère de cette entité.
Seule la troisième détermine qui pourra, un jour, réclamer un accès. Les deux premières sont utiles, elles ne suffisent pas.
Le contrat ne couvre que ce qui passe par le contrat
Il y a un deuxième angle mort, plus banal et plus fréquent. Vous pouvez négocier le meilleur contrat du marché : il ne couvre rien de ce que vos équipes font en dehors.
D'après une étude Microsoft France menée avec YouGov en janvier 2026, 61 % des utilisateurs d'IA en entreprise passent par leurs comptes personnels au moins une fois par semaine. Ce sont des données d'entreprise déposées sur des comptes que vous ne contrôlez pas, sous des conditions générales que personne n'a lues, dans une juridiction que personne n'a vérifiée.
Autrement dit, la souveraineté se joue sur deux fronts. Le fournisseur que vous choisissez, et le chemin que prennent réellement vos données une fois la porte ouverte. Traiter le premier sans le second ne sert pas à grand-chose.
Le questionnaire à envoyer à votre éditeur
Voici ce que nous envoyons avant de recommander un outil à un client. Six questions, à copier telles quelles dans un mail. L'intérêt n'est pas seulement la réponse : c'est de l'avoir par écrit, et de voir combien de temps l'éditeur met à la donner.
Bonjour,
Avant d'aller plus loin, nous avons besoin de six réponses écrites
sur le traitement de nos données.
1. Quelle entité juridique signe le contrat, et de quel pays
relève sa maison mère ?
2. Où sont hébergées les données, et vous engagez-vous
contractuellement à ce qu'elles n'en sortent pas, y compris
pour le support technique et la maintenance ?
3. Nos données servent-elles à entraîner vos modèles ou ceux
d'un tiers ? Si non, où est-ce écrit dans le contrat ?
4. Quels sous-traitants interviennent (modèle sous-jacent,
hébergeur, outils de supervision), et où sont-ils établis ?
5. Si une autorité étrangère demande l'accès à nos données,
quelle est votre procédure, et nous prévenez-vous ?
6. En fin de contrat, sous quel délai et quel format
récupère-t-on les données, et quand sont-elles supprimées ?
Merci de répondre point par point.
Comment lire les réponses
Les réponses gênantes ne sont presque jamais des refus. Ce sont des formulations qui glissent.
| Ce que vous lisez | Ce que ça veut dire |
|---|---|
| « Vos données sont hébergées en Europe » | Rien sur la juridiction. Reposez la question 1. |
| « Nous sommes conformes au RGPD » | Le minimum légal, pas un engagement sur les transferts. |
| « Nous n'utilisons pas vos données pour l'entraînement » sans référence au contrat | Une politique, révocable. Exigez la clause. |
| « Nous nous appuyons sur des modèles partenaires » | Il y a un sous-traitant non nommé. Question 4, à nouveau. |
| Pas de réponse à la question 5 | Le sujet n'a jamais été traité en interne. |
| « Nos équipes support peuvent accéder aux données si nécessaire » | Un accès hors périmètre annoncé. À cadrer ou à refuser. |
Une réponse claire aux six questions en quelques jours est un très bon signal en soi. Un éditeur sérieux a déjà ces réponses prêtes.
Tout ne mérite pas le même niveau d'exigence
Une PME de 40 personnes ne peut pas exiger du SecNumCloud partout, et n'en a pas besoin. La qualification existe, elle est solide, mais peu d'éditeurs IA la détiennent et le surcoût est réel. Le bon réflexe est de trier vos flux avant de négocier.
Trois niveaux suffisent :
- Données publiques ou anodines. Rédaction de posts, reformulation de contenus déjà publics, brainstorming. L'outil grand public convient.
- Données d'entreprise ordinaires. Une relance client automatisée manipule surtout des noms, des montants et des échéances. Contrat pro, clause de non-entraînement écrite, hébergement européen. C'est le gros du volume.
- Données sensibles ou réglementées. Dossiers de santé, pièces d'un contentieux, données RH, secrets industriels. Là, la juridiction devient un critère éliminatoire, au même titre que le prix.
Faites l'exercice sur vos trois flux les plus utilisés. Dans la plupart des PME que nous accompagnons, le niveau 3 représente une poignée de cas, et c'est exactement là que les décisions doivent être prises sérieusement. Un agent qui répond à vos clients bascule vite du niveau 2 au niveau 3 dès qu'il accède à l'historique complet d'un dossier.
Où ça coince en prod
Le premier obstacle est humain. Dans une PME sans juriste ni DSI, personne n'a le temps de lire un contrat de sous-traitance de trente pages, et c'est normal. D'où l'intérêt de six questions : c'est un format qu'un dirigeant peut envoyer lui-même, un lundi matin, sans préparation.
Le deuxième est plus structurel. Selon l'Observatoire de l'IA responsable publié par Impact AI en 2025, seuls 9 % des salariés français disposent d'une charte ou d'un interlocuteur identifié sur l'IA dans leur entreprise. Tant que ce cadre n'existe pas, chacun improvise de bonne foi, et le meilleur contrat fournisseur reste contourné par le compte personnel de quelqu'un.
Le troisième, c'est le temps. Les réponses arrivent en marketing avant d'arriver en droit. Il faut souvent relancer une fois, en citant les numéros de question. Ça vaut le coup : ce que l'éditeur accepte de mettre par écrit vous sert de preuve, et vous en aurez besoin le jour d'un contrôle.
Par où commencer
Prenez le flux qui vous inquiète le plus, un seul. Envoyez les six questions à l'éditeur concerné cette semaine, et classez la réponse dans un dossier partagé. Vous saurez en quelques jours si vous avez un problème ou pas.
Le reste peut attendre. Ce qui ne peut pas attendre, c'est de découvrir la réponse au moment où quelqu'un vous la demande.
Sources :
- Sénat, réponse du gouvernement à la question écrite n° 08036 sur la souveraineté technologique et l'intégrité des données des citoyens français, mai 2026. https://www.senat.fr/questions/base/2026/qSEQ260308036.html, consulté le 31 août 2026.
- Microsoft France / YouGov, "L'usage de l'IA progresse dans les entreprises françaises mais se heurte à un manque d'accompagnement", février 2026 (enquête menée en janvier 2026 auprès de 657 cadres et dirigeants). https://news.microsoft.com/source/emea/2026/02/etude-microsoft-france-lusage-de-lia-progresse-dans-les-entreprises-francaises-mais-se-heurte-a-un-manque-daccompagnement/, consulté le 31 août 2026.
- Impact AI, "Observatoire de l'IA responsable", 2025, cité par le Journal du Net. https://www.journaldunet.com/cybersecurite/1552259-shadow-ai-le-risque-invisible-qui-guette-les-pme-francaises/, consulté le 31 août 2026.
- CNIL, "Transferts de données hors UE". https://www.cnil.fr/fr/mots-cles/transferts-de-donnees-hors-ue, consulté le 31 août 2026.