IA, RGPD et souveraineté : les questions à poser avant de déployer
Hébergement, extraterritorialité, données personnelles glissées dans les prompts : les questions à poser avant de déployer, pas après.
Écrit par les consultants de Lick & Shannon Partners. Nous ne sommes pas juristes et cette page ne remplace pas un avis juridique — elle donne les questions qui permettent d'écarter la majorité des mauvaises décisions avant d'en arriver là.
Ce que vos équipes envoient sans y penser
Le risque ne vient presque jamais d'un projet cadré. Il vient de l'usage quotidien : un compte rendu d'entretien annuel collé dans un outil grand public pour le résumer, une liste de clients pour la trier, un contrat pour en extraire une clause.
Ces gestes sont faits de bonne foi, par des gens qui gagnent réellement du temps. Ils partagent trois caractéristiques : ils sont invisibles, ils sont fréquents, et ils portent souvent sur les données les plus sensibles de l'entreprise — parce que ce sont les documents les plus longs à traiter à la main.
Toute réflexion sur la souveraineté qui ne commence pas par là traite un problème théorique en laissant le vrai intact.
Les quatre questions à poser à un éditeur
- 1.Où les données sont-elles traitées, et par qui ?Le pays d'hébergement ne suffit pas : demandez qui est l'opérateur, quelle est sa nationalité juridique, et si des sous-traitants interviennent. Un service hébergé en Europe mais opéré par une société soumise à une législation extraterritoriale ne règle pas la question.
- 2.Mes données servent-elles à entraîner le modèle ?La réponse doit être écrite dans le contrat, pas dans une page d'aide. Les offres grand public et les offres entreprise d'un même éditeur diffèrent souvent sur ce point précis.
- 3.Combien de temps les données sont-elles conservées ?Une conservation « pour amélioration du service » de durée indéterminée est incompatible avec la plupart des engagements que vous avez pris envers vos propres clients.
- 4.Que se passe-t-il si j'arrête ?Récupération de l'historique, suppression attestée, délai. C'est la question de la réversibilité, et un éditeur qui l'élude vous dit quelque chose d'important.
Ce que « souverain » veut dire, et ne veut pas dire
Le mot est employé pour désigner des situations très différentes, et l'amalgame est commode pour les vendeurs.
- Hébergé en France — les serveurs sont sur le territoire. C'est le minimum, et ce n'est pas suffisant.
- Opéré par une société de droit européen — le fournisseur n'est pas soumis à une injonction extraterritoriale. C'est le critère qui compte le plus.
- Modèle exécuté sur votre infrastructure — rien ne sort. Le plus protecteur, et le plus coûteux à exploiter.
- Qualifié par une certification d'État — un niveau d'exigence vérifié par un tiers, pertinent surtout pour le secteur public et les données sensibles.
Ce que « souverain » ne veut jamais dire : que le service est plus performant, ou qu'il vous dispense de définir ce que vos équipes ont le droit d'envoyer.
Le cas des données RH et de santé
Deux familles de données appellent une prudence supérieure, parce que le dommage y est difficilement réparable.
Les données RH. Entretiens, évaluations, arrêts de travail, candidatures. S'y ajoute une contrainte propre : le RGPD encadre spécifiquement les décisions automatisées produisant des effets juridiques sur une personne. Un tri de candidatures qui écarte sans intervention humaine entre directement dans ce champ.
Les données de santé. Elles relèvent d'un régime distinct, avec des exigences d'hébergement spécifiques. Aucun outil grand public ne convient, et l'usage informel y est particulièrement fréquent dans les structures médico-sociales.
Sur ces deux familles, la règle qui fonctionne est simple à énoncer et facile à appliquer : rien ne sort sans décision explicite, formalisée, et connue de la personne concernée quand elle doit l'être.
Ces questions écartent les mauvaises options. Elles ne remplacent pas l'analyse de vos traitements, ni l'avis d'un juriste sur vos engagements contractuels existants — et elles ne disent pas ce que vos équipes envoient aujourd'hui, ce qui est le point de départ réel.
Demander un diagnostic IA
Deux semaines pour cartographier vos processus et sortir une liste de cas d'usage priorisés.