Les questions de souveraineté des données IA sont rarement posées au bon moment. On les formule après signature, quand un incident survient ou qu'un audit RGPD est déclenché. C'est trop tard. Les données critiques de votre entreprise, fichiers clients, données de production, historiques de négociation, ont déjà transité par des infrastructures que vous ne contrôlez pas, vers des juridictions que votre contrat n'a pas délimitées. Le sujet relève de la gouvernance d'entreprise, pas de la méfiance.
Pourquoi beaucoup de PME acceptent des conditions IA qui exposent leurs données métier
Beaucoup de PME ne lisent pas en détail les conditions générales de leurs prestataires IA. Elles signent des contrats de service conçus pour des éditeurs SaaS généralistes, dans lesquels la question de la localisation des données est noyée dans des clauses de sous-traitance rédigées en anglais, renvoyant elles-mêmes vers des annexes techniques rarement actualisées.
Il n'y a pas forcément de mauvaise foi. Il y a une asymétrie d'information entre un éditeur qui a des équipes juridiques dédiées et un dirigeant de PME qui achète un outil pour résoudre un problème opérationnel.
Résultat : des outils IA sont souvent déployés sans processus formalisé de gouvernance des données en entrée. Pour une PME, l'exposition est d'autant plus réelle que ses données métier, souvent non structurées et très sectorielles, sont précisément ce qu'un modèle d'IA peut utiliser pour s'améliorer, si les conditions contractuelles l'autorisent.
Le risque se loge moins dans l'outil que dans le contrat qui encadre son usage. Et ce contrat est rarement audité.
Les 6 questions qui révèlent où vont vos données chez votre prestataire IA
Voici les six questions qu'un dirigeant ou un DSI doit poser avant tout déploiement. L'objectif n'est pas de bloquer le projet, mais d'identifier les risques réels et de les corriger avant qu'ils ne deviennent des passifs.
Première question : vos données sont-elles utilisées pour entraîner ou améliorer le modèle ? La réponse doit être contractuellement négative et vérifiable techniquement. L'inverse mérite le même examen : ce que le RGPD impose au web scraping concerne aussi les données avec lesquelles votre prestataire a entraîné son modèle.
Deuxième question : où sont hébergées les données en transit et au repos ? Le pays et le prestataire de cloud sous-jacent doivent être nommés explicitement.
Troisième question : quels sous-traitants ont accès aux données traitées ? La liste doit être exhaustive, accessible et soumise à notification en cas de modification.
Quatrième question : quelle est la durée de rétention des données après résiliation du contrat ? Ce délai, et la procédure de suppression certifiée, doivent être précisés.
Cinquième question : le prestataire, ou son hébergeur, est-il soumis au Cloud Act américain ou à une autre législation étrangère permettant un accès aux données ? Adopté en mars 2018, le CLOUD Act permet aux autorités américaines d'exiger d'un fournisseur soumis au droit américain les données qu'il détient, y compris quand elles sont stockées hors des États-Unis. La réponse conditionne directement votre exposition.
Sixième question : en cas d'incident de sécurité sur les données que vous leur avez confiées, quel est le délai contractuel de notification et qui est responsable de la déclaration à la CNIL ?
Ces six questions relèvent de la gouvernance d'entreprise plus que de la technique : tout dirigeant peut et doit les porter.
Hébergement, sous-traitance, enrichissement : tracer le parcours réel de vos données
Un prestataire IA n'est jamais un acteur unique. Il s'appuie sur un modèle de langage fourni par un tiers (OpenAI, Anthropic, Mistral, Google), hébergé sur une infrastructure cloud (AWS, Azure, OVHcloud, Scaleway), intégré via des pipelines d'automatisation (n8n, Make, Zapier) qui peuvent eux-mêmes transférer des données vers d'autres services. Chaque maillon de cette chaîne constitue un sous-traitant ultérieur au sens du RGPD.
Le traçage de ce parcours s'appelle une cartographie des flux de données. Elle est indispensable dès que des données personnelles ou des données métier sensibles sont impliquées, et c'est la condition préalable à toute évaluation de risque sérieuse.
Un prestataire sérieux doit pouvoir répondre précisément. À titre d'exemple, notre propre outillage tourne sur un cluster Kubernetes chez OVH, décrit en Terraform : chaque service est inscrit dans le code, et un contrôle quotidien signale tout écart entre ce qui tourne réellement et ce qui est décrit, y compris un service installé à la main. C'est ce type de description qui permet de dire où tourne quoi.
L'enrichissement est un angle souvent sous-estimé. Certains prestataires IA utilisent vos données d'usage non pas pour entraîner leur modèle directement, mais pour affiner des index de recherche ou alimenter des bases de connaissances partagées entre clients. Ce n'est pas de l'entraînement au sens strict, mais c'est une forme d'exploitation commerciale de vos données métier que votre contrat devrait interdire explicitement.
Pour aller plus loin sur le choix entre infrastructure souveraine et API américaine, notre article sur l'arbitrage entre IA souveraine et API américaine en PME pose les critères opérationnels concrets.
Les clauses à négocier avant de signer avec un prestataire IA
La conformité RGPD impose un contrat de sous-traitance (DPA, Data Processing Agreement) dès lors que votre prestataire traite des données personnelles pour votre compte. C'est l'article 28 du règlement : ce contrat est obligatoire.
Mais le DPA seul ne couvre pas vos données métier non personnelles : bases tarifaires, règles de chiffrage des devis, données de production industrielle. Pour ces actifs, la protection est purement contractuelle. Elle doit être négociée.
Les clauses à obtenir sont les suivantes :
- Clause d'interdiction d'utilisation des données à des fins autres que l'exécution du service contractualisé.
- Clause de localisation des données avec désignation nominative des datacenters et des sous-traitants autorisés.
- Clause d'audit avec droit de vérification ou d'accès à des certifications tierces (ISO 27001, HDS pour les données de santé, SecNumCloud pour les données les plus sensibles).
- Clause de réversibilité avec format d'export des données et délai garanti de suppression certifiée.
Sur SecNumCloud : il s'agit d'une qualification délivrée par l'ANSSI, dont le référentiel vise notamment à protéger les données face à l'application de lois extraterritoriales. Elle porte sur une offre précise, pas sur un fournisseur dans son ensemble : un hébergeur peut avoir une offre qualifiée et d'autres qui ne le sont pas. Demandez le nom exact de l'offre et vérifiez-la dans le catalogue publié par l'ANSSI.
Ces clauses n'ont rien d'extraordinaire. Un prestataire sérieux les accepte. Un prestataire qui les refuse ou les esquive vous renseigne déjà sur la valeur qu'il accorde à vos données.
Notre checklist de conformité AI Act pour les PME complète ce cadre contractuel, notamment sur les obligations de transparence.
Comment auditer la souveraineté des données en pratique : audit technique et audit contractuel
Un audit de souveraineté des données IA se déroule sur deux plans distincts qu'il faut mener en parallèle.
L'audit contractuel consiste à analyser l'ensemble des documents qui encadrent la relation : contrat principal, DPA, CGU, annexes techniques, politique de confidentialité du prestataire. On y cherche les blancs autant que les clauses explicites. Une CGU qui ne mentionne pas la localisation des données laisse au prestataire une liberté qu'il exercera selon ses propres intérêts.
L'audit technique consiste à vérifier que la réalité des flux de données correspond aux engagements contractuels. Cela passe par l'analyse des journaux d'intégration, la vérification des adresses auxquelles vos outils se connectent, et la lecture des paramètres de rétention dans les interfaces d'administration. Ce que le contrat promet et ce que l'infrastructure fait ne coïncident pas toujours.
Les deux audits sont nécessaires, parce que l'un sans l'autre est insuffisant. Un contrat solide sur une infrastructure mal configurée reste une exposition. Une infrastructure bien configurée sans contrat clair ne donne aucun recours juridique.
La souveraineté des données se traite dans la durée, pas une fois par an. Elle détermine votre capacité à changer de prestataire, à défendre vos données en cas de litige, et à garantir à vos propres clients que leurs informations sont traitées dans un périmètre maîtrisé.
Par où commencer dans une PME
Listez les outils IA déjà utilisés dans l'entreprise, y compris ceux adoptés sans validation, et posez les six questions ci-dessus à chaque fournisseur. Les réponses manquantes indiquent où commencer. Notre guide sur l'IA souveraine et le RGPD pour les PME détaille la méthode, de la cartographie des flux à la rédaction des clauses. Pour faire ce point sur vos propres outils, le diagnostic gratuit est un bon point de départ.
Article rédigé par Loïc Mabilon, cofondateur de Lumivi.
