Page mise à jour le
La réponse courte
Le RGPD s'applique au traitement de données personnelles, pas à la nationalité du datacenter. Un hébergement dans l'Union simplifie beaucoup de discussions : pas de transfert hors UE au titre du chapitre V, pas de clauses types à documenter pour ce seul fait, une compétence plus claire en cas de contrôle. Il ne dispense ni de base légale, ni de minimisation, ni de contrat de sous-traitance, ni de durée de conservation. Un transfert hors Union n'est pas interdit : il est encadré (décision d'adéquation, clauses types, règles d'entreprise contraignantes, dérogations étroites de l'article 49). « Hébergé en Europe » dans une plaquette ne dit pas où sont les sauvegardes, le support, les sous-traitants d'inférence, ni si un droit tiers peut imposer un accès. C'est un critère d'achat légitime, pas la conformité.
Ce que le chapitre V encadre, et ce qu'il n'encadre pas
Un transfert vers un pays tiers, ou une organisation internationale, suppose une des garanties du chapitre V. La Commission publie des décisions d'adéquation (Royaume-Uni, Japon, et d'autres — la liste bouge, il faut la lire, pas la réciter). À défaut, des clauses contractuelles types, des BCR, des codes de conduite, des certifications, éventuellement des mesures complémentaires après l'arrêt Schrems II (C-311/18). L'hébergement dans l'UE n'est pas un « transfert ». En revanche, un accès depuis un pays tiers (administration, support, inférence) peut en constituer un, même si le disque est à Paris. C'est le raisonnement de la CNIL sur les transferts, et c'est la question à poser au fournisseur : qui peut lire, d'où, sur instruction de qui. Une réponse « les données sont en Irlande » qui s'arrête là n'est pas une réponse.
Hébergement UE et cloud d'un groupe extra-européen
Beaucoup d'offres « région Europe » appartiennent à des groupes dont la maison mère n'est pas européenne. Cela n'interdit pas l'usage. Cela impose de lire le DPA, les sous-traitants, les procédures de demande d'accès, et de décider si, pour vos données, ce risque-là est acceptable. Le Cloud Act américain, souvent brandi comme un interdit automatique, n'est pas une disposition du RGPD : c'est un risque à documenter, pas un slogan. Inversement, un hébergeur européen n'est pas « souverain » du seul fait de son siège : il peut sous-traiter l'inférence, le DNS, le support, les sauvegardes. La question utile n'est pas le drapeau sur la page d'accueil. C'est la chaîne : disques, clés de chiffrement, identités, sous-traitants, droit applicable au contrat.
Ce que ça change pour un outil d'IA
Un assistant qui envoie le contenu des prompts vers un modèle hébergé hors UE réalise, pour ces données, un transfert, dès lors qu'elles sont personnelles — et souvent même quand vous croyez qu'elles ne le sont pas (un nom dans un courrier, un numéro de dossier). L'option « data residency Europe » de certains fournisseurs borne la localisation de certaines données, pas toujours les logs, pas toujours les entraînements, pas toujours le support. C'est à lire dans le contrat, pas dans le comparatif commercial. Un modèle ouvert que vous faites tourner sur une machine dans l'UE élimine ce transfert-là, et introduit d'autres coûts (exploitation, mises à jour, astreinte) traités dans un article de ce site. Ni l'un ni l'autre n'est « la » solution : c'est un critère, à mettre à côté de la finalité, de la base légale, et de l'interdiction d'entraîner.
Ce qu'une PME peut exiger sans jouer au juriste
Le lieu d'hébergement des données en production et des sauvegardes, nommé, pas « région au choix ». La liste des sous-traitants ultérieurs, avec pays. L'engagement de ne pas transférer hors UE sans instruction, ou les clauses types déjà signées si transfert il y a. Qui détient les clés de chiffrement. Ce que devient l'accès support. Ce n'est pas de la souveraineté de brochure, c'est de l'article 28 plus du chapitre V, en questions fermées. Un fournisseur qui ne peut pas répondre n'a pas une offre européenne : il a une offre floue. Pour un site vitrine sans donnée client, le sujet est mince. Pour un CRM, une messagerie, un assistant collé sur des dossiers, il ne l'est pas.
À vérifier chez vous
Ce que vous pouvez contrôler vous-même
Des points vérifiables sans expertise juridique. Si l'un d'eux coince, c'est celui-là qu'il faut apporter à votre conseil.
- Distinguer localisation des disques, lieu du support, lieu de l'inférence, détenteur des clés.
- Si transfert hors UE : nommer le mécanisme (adéquation, clauses types, autre) — pas « on est conforme ».
- Exiger la liste des sous-traitants ultérieurs avec pays.
- Ne pas prendre « région Europe » pour une interdiction d'accès depuis un pays tiers.
- Rappeler qu'un hébergement UE ne remplace ni la base légale ni le DPA.
Sources
Chaque affirmation de cette page renvoie au texte qui fait foi. En cas d'écart entre cette page et la source, c'est la source qui a raison.
- EUR-Lex — règlement (UE) 2016/679 (RGPD) (nouvel onglet)
Articles 5, 6 (base légale), 9, 13-14, 22, 24, 28 (sous-traitant), 32, 35 (AIPD), chapitre V (transferts).
- CNIL — transférer des données hors de l'UE (nouvel onglet)
Chapitre V du RGPD : décision d'adéquation, clauses types, garanties appropriées. La localisation du serveur n'épuise pas la question.
- EUR-Lex — arrêt Schrems II, affaire C-311/18 (nouvel onglet)
Invalidation du Privacy Shield, maintien des clauses types sous conditions de mesures complémentaires.
- Commission européenne — décisions d'adéquation (nouvel onglet)
Liste officielle des pays tiers reconnus comme offrant un niveau de protection adéquat. À relire, elle change.
- ANSSI — guide d'hygiène informatique (nouvel onglet)
Mesures concrètes : sauvegardes testées, chiffrement, journalisation, mises à jour. Référentiel de bonnes pratiques, pas une obligation légale autonome.
Vos questions
Un hébergement en Suisse ou au Royaume-Uni, c'est « l'Europe » ?
Ce n'est pas l'Union européenne. Le Royaume-Uni fait l'objet d'une décision d'adéquation, périodiquement réexaminée ; la Suisse aussi, dans le cadre de son régime propre. Un transfert vers ces pays n'est donc pas interdit par principe, mais ce n'est pas « pas de transfert ». Les présenter comme de l'hébergement intra-UE dans une plaquette est inexact. Pour une PME, la distinction vaut d'être écrite dans le contrat : Union européenne, pays adéquat, ou hors de ces deux cercles. Les trois ne se valent pas documentairement, même si le ping réseau se ressemble.
Dois-je rapatrier tout ce qui est déjà chez un fournisseur américain ?
Pas par réflexe, et pas sans lire. Un transfert encadré peut rester licite. Un usage d'assistant grand public sans DPA, avec entraînement, et des dossiers clients dans les prompts, est un autre dossier : le problème n'est pas d'abord le drapeau, c'est l'absence de contrat et de finalité. Rapatrier a un coût (reprise, double run, éventuellement un modèle moins confortable). On le décide traitement par traitement, en commençant par ceux où des données de clients, de patients ou de candidats sortent. Un site vitrine chez un CDN américain n'est pas le même sujet qu'une base RH.
L'AI Act impose-t-il un hébergement dans l'Union ?
Non. L'AI Act encadre la mise sur le marché et l'utilisation des systèmes d'IA, pas la géographie des disques. Certaines exigences (journaux, notice, contrôle humain) sont plus faciles à tenir si vous maîtrisez l'infrastructure, mais ce n'est pas une obligation de localisation. Le RGPD, lui, encadre les transferts de données personnelles. Confondre les deux textes produit des clauses « AI Act = données en France » qui n'ont pas de fondement dans le règlement 2024/1689. Une clause de localisation reste un choix contractuel légitime. Ce n'est pas une exigence AI Act.
Une idée en tête ?
Réservez un rendez-vous ou écrivez-nous — réponse sous 24 h.