Choisir un fournisseur d'IA qui héberge « en Europe » ne suffit pas à protéger vos données du droit américain. Si l'entreprise qui exploite le service relève de la juridiction des États-Unis, une loi de 2018 (le CLOUD Act) l'oblige à remettre aux autorités américaines les données qu'elle détient, où qu'elles soient stockées. Le lieu du serveur ne change rien à l'affaire. Ce qui compte, c'est la nationalité de l'entreprise qui le contrôle.
C'est l'angle mort de la plupart des promesses de souveraineté qu'on vous vend aujourd'hui.
Le Clarifying Lawful Overseas Use of Data Act permet à la justice américaine d'exiger d'un fournisseur soumis au droit US la communication de données qu'il détient ou contrôle, y compris quand ces données sont physiquement stockées hors des États-Unis. La localisation du datacenter n'entre pas en compte. Ce que regarde la justice américaine, c'est qui détient ou contrôle les données, pas l'endroit où elles sont rangées.
Concrètement : une filiale européenne d'un groupe américain, ou un service opéré par une société américaine depuis un datacenter parisien, reste dans le champ d'application. L'adresse du serveur est un argument de vente rassurant, mais elle ne vous protège de rien sur le plan juridique.
L'argument « vos données restent en Europe » repose sur une confusion entre deux choses différentes :
Le RGPD encadre la première. Le CLOUD Act s'attaque à la seconde. Un hébergement européen opéré par une entité sous droit américain coche la case « résidence » tout en laissant la case « contrôle » entre des mains étrangères. Les deux régimes peuvent alors entrer en collision : on vous demande de respecter le RGPD côté européen pendant qu'une injonction américaine réclame les mêmes données de l'autre côté.
Pour un usage d'IA, c'est loin d'être théorique. Tout ce que vos équipes saisissent dans un assistant cloud (un contrat, un dossier patient, du code propriétaire, des données personnelles de clients) transite par l'infrastructure du fournisseur. Si ce fournisseur relève du droit US, ce flux entre dans le périmètre.
Trois profils ont un intérêt direct à regarder ce point de près :
Si vous vous reconnaissez là-dedans, l'enjeu n'est pas tant de trouver un hébergeur européen que de savoir qui, au bout de la chaîne, peut être contraint de livrer vos données.
Pour sortir du champ du CLOUD Act, il faut sortir de la dépendance à un opérateur soumis au droit américain. Il y a pour cela plusieurs niveaux, et il est honnête de les distinguer.
Un opérateur européen vous fait sortir du CLOUD Act. Un fournisseur dont la société mère relève d'un pays de l'Union (OVHcloud, Scaleway, ou une offre qualifiée SecNumCloud) n'est pas tenu par une injonction américaine : ce n'est pas le bon juge qui la signe. C'est déjà un vrai progrès par rapport à un service américain hébergé à Paris, et pour beaucoup d'organisations ça suffit. Reste que vous dépendez encore d'un prestataire : il détient une partie des clés, il fait tourner le service, et il peut faire faillite, changer de prix ou être visé par d'autres procédures. Le risque américain, lui, a disparu.
L'auto-hébergement supprime le prestataire lui-même. Si l'IA tourne sur votre propre serveur, avec vos clés, vous êtes seul à détenir et contrôler les données. Aucune injonction n'a de prise, d'où qu'elle vienne, faute de destinataire. C'est le seul cas où vous n'avez plus à faire confiance à un fournisseur, pour la bonne raison qu'il n'y en a aucun. Cette approche, et ce qu'elle implique concrètement pour une petite structure, est détaillée dans notre guide de l'IA souveraine pour les PME.
C'est exactement le principe sur lequel est construit Gungnir, notre assistant IA souverain : il s'installe sur votre infrastructure, vos conversations et vos documents n'en sortent jamais, et vous choisissez les modèles que vous y branchez. La souveraineté n'y est pas un argument posé sur une plaquette commerciale : elle découle directement de la façon dont le produit est construit.
Ce site applique d'ailleurs la même règle : aucun cookie, aucun tracker, aucune requête vers un service tiers. Vous pouvez le vérifier par vous-même.
Si la confidentialité de ce que vous confiez à une IA compte vraiment pour vous, arrêtez de demander « où sont stockées mes données ? ». Demandez plutôt « qui d'autre que moi peut être obligé de les livrer ? ». Tant que la réponse n'est pas « personne », vous n'êtes pas à l'abri.
Non. Le CLOUD Act vise les fournisseurs soumis au droit américain, quel que soit le lieu de stockage. Un service opéré par une société américaine depuis un datacenter français reste dans son champ d'application. C'est le contrôle qui compte, pas l'adresse du serveur.
Le RGPD encadre le traitement des données personnelles, mais il n'efface pas l'obligation faite à un fournisseur sous droit US de répondre à une injonction américaine. Les deux régimes peuvent entrer en conflit, et c'est le fournisseur qui se retrouve coincé, pas vous.
En grande partie. Un opérateur dont la société mère est européenne n'est pas tenu par une injonction américaine, ce qui vous fait sortir du CLOUD Act. Il vous reste une dépendance à un tiers (clés, exploitation, pérennité), mais le risque juridique américain, lui, disparaît.
Avec l'auto-hébergement, il n'y a plus de tiers du tout : l'IA tourne sur votre serveur, avec vos clés. Aucune injonction, d'aucun pays, n'a de destinataire. C'est le seul niveau où la souveraineté ne dépend plus de la confiance accordée à un fournisseur. Et si vous n'avez pas d'équipe pour le mettre en place, le déploiement peut être pris en charge de bout en bout.
