Souveraineté des données IA : les questions à poser à son prestataire avant de signer

La souveraineté des données IA, les questions à poser à son prestataire sont rarement posées au bon moment. On les formule après signature, quand un incident survient ou qu'un audit RGPD est déclenché. Ce moment est trop tardif. Les données critiques de votre entreprise, fichiers clients, données de production, historiques de négociation, ont déjà transité par des infrastructures que vous ne contrôlez pas, vers des juridictions que votre contrat n'a pas délimitées. Ce n'est pas une question de paranoïa. C'est une question de gouvernance d'entreprise.

Pourquoi 80% des PME acceptent des conditions IA qui exposent leurs données métier critiques

La plupart des PME ne lisent pas les conditions générales de leurs prestataires IA. Elles signent des contrats de service conçus pour des éditeurs SaaS généralistes, dans lesquels la question de la localisation des données est noyée dans des clauses de sous-traitance rédigées en anglais, renvoyant elles-mêmes vers des annexes techniques rarement actualisées.

Ce n'est pas de la mauvaise foi. C'est une asymétrie d'information structurelle entre un éditeur qui a des équipes juridiques dédiées et un dirigeant de PME qui achète un outil pour résoudre un problème opérationnel.

Le résultat est documenté. Selon le rapport McKinsey State of AI 2025, une majorité d'organisations déploient des outils IA sans processus formalisé de gouvernance des données en entrée. Pour les PME françaises, l'exposition est d'autant plus réelle que leurs données métier, souvent non structurées et très sectorielles, constituent précisément ce qu'un modèle d'IA peut utiliser pour s'améliorer, si les conditions contractuelles l'autorisent.

Le problème n'est pas l'outil. Il est dans le contrat qui encadre son usage. Et ce contrat, la majorité des PME ne l'ont jamais audité.

Les 6 questions qui révèlent vraiment où vont vos données chez votre prestataire IA

Voici les six questions qu'un dirigeant ou un DSI doit poser avant tout déploiement. Non pas pour bloquer le projet, mais pour identifier les risques réels et les corriger avant qu'ils ne deviennent des passifs.

Première question : vos données sont-elles utilisées pour entraîner ou améliorer le modèle ? La réponse doit être contractuellement négative et vérifiable techniquement.

Deuxième question : où sont hébergées les données en transit et au repos ? Le pays et le prestataire de cloud sous-jacent doivent être nommés explicitement.

Troisième question : quels sous-traitants ont accès aux données traitées ? La liste doit être exhaustive, accessible et soumise à notification en cas de modification.

Quatrième question : quelle est la durée de rétention des données après résiliation du contrat ? Ce délai, et la procédure de suppression certifiée, doivent être précisés.

Cinquième question : le prestataire est-il soumis au Cloud Act américain ou à une législation étrangère permettant un accès tiers sans notification ? La réponse conditionne directement votre exposition réglementaire.

Sixième question : en cas d'incident de sécurité sur les données que vous leur avez confiées, quel est le délai contractuel de notification et qui est responsable de la déclaration CNIL ?

Ces six questions ne sont pas des exigences techniques de DSI. Ce sont des exigences de gouvernance d'entreprise que tout dirigeant peut et doit porter.

Hébergement, sous-traitance, enrichissement : tracer le parcours réel de vos données

Un prestataire IA n'est jamais un acteur unique. Il s'appuie sur un modèle de langage fourni par un tiers (OpenAI, Anthropic, Mistral, Google), hébergé sur une infrastructure cloud (AWS, Azure, OVHcloud, Scaleway), intégré via des pipelines d'automatisation (n8n, Make, Zapier) qui peuvent eux-mêmes transférer des données vers d'autres services. Chaque maillon de cette chaîne constitue un sous-traitant ultérieur au sens du RGPD.

Le traçage de ce parcours est ce que nous appelons une cartographie de flux de données. Elle n'est pas optionnelle dès lors que des données personnelles ou des données métier sensibles sont impliquées. Elle est la condition préalable à toute évaluation de risque sérieuse.

L'enrichissement est un angle particulièrement sous-estimé. Certains prestataires IA utilisent vos données d'usage non pas pour entraîner leur modèle directement, mais pour affiner des vecteurs de recherche, améliorer des index de récupération, ou alimenter des bases de knowledge partagées entre clients. Ce n'est pas de l'entraînement au sens strict, mais c'est une forme d'exploitation commerciale de vos données métier que votre contrat devrait interdire explicitement.

Pour aller plus loin sur le choix entre infrastructure souveraine et API américaine, notre article sur l'arbitrage entre IA souveraine et API américaine en PME pose les critères opérationnels concrets.

Le droit contractuel que vous devez négocier avant de signer avec un prestataire IA

La conformité RGPD impose un contrat de sous-traitance de données (DPA, Data Processing Agreement) dès lors que votre prestataire traite des données personnelles pour votre compte. C'est l'article 28 du règlement. Ce n'est pas négociable, c'est légalement obligatoire.

Mais le DPA seul ne couvre pas la souveraineté de vos données métier non personnelles, vos bases tarifaires, vos algorithmes de devis, vos données de production industrielle. Pour ces actifs, la protection est purement contractuelle. Elle doit être négociée.

Les clauses que vous devez obtenir sont les suivantes :

• Clause d'interdiction d'utilisation des données à des fins autres que l'exécution du service contractualisé.
• Clause de localisation des données avec désignation nominative des datacenters et des sous-traitants autorisés.
• Clause d'audit avec droit de vérification ou d'accès à des certifications tierces (ISO 27001, HDS selon le secteur, SecNumCloud pour les données les plus sensibles).
• Clause de réversibilité avec format d'export des données et délai garanti de suppression certifiée.

Ces clauses ne sont pas des demandes extraordinaires. Un prestataire sérieux les accepte. Un prestataire qui les refuse ou les esquive vous donne déjà une réponse sur la valeur qu'il accorde à vos données.

La checklist de conformité AI Act pour les PME avant le 2 août 2026 complète utilement ce cadre contractuel, notamment sur les obligations de transparence qui s'imposent aux systèmes IA à risque limité.

Comment auditer la souveraineté des données en pratique : audit technique vs audit contractuel

Un audit de souveraineté des données IA se déroule sur deux plans distincts qu'il faut mener en parallèle, pas séquentiellement.

L'audit contractuel consiste à analyser l'ensemble des documents qui encadrent la relation : contrat principal, DPA, CGU, annexes techniques, politique de confidentialité du prestataire. On y cherche les blancs autant que les clauses explicites. Une CGU qui ne mentionne pas la localisation des données n'est pas neutre : elle laisse au prestataire une liberté qu'il exercera selon ses propres intérêts.

L'audit technique consiste à vérifier que la réalité des flux de données correspond aux engagements contractuels. Cela passe par l'analyse des logs d'intégration, la vérification des endpoints auxquels vos outils se connectent, et la lecture des configurations de rétention dans les interfaces d'administration. Ce que le contrat promet et ce que l'infrastructure fait ne coïncident pas toujours.

Nous conduisons ces deux audits de manière systématique dans nos missions de cadrage IA pour PME, parce que l'un sans l'autre est insuffisant. Un contrat solide sur une infrastructure mal configurée reste une exposition. Une infrastructure bien configurée sans contrat clair est une protection sans recours juridique.

Notre guide complet sur l'IA souveraine et le RGPD pour les PME détaille la méthodologie complète, de la cartographie des flux à la rédaction des clauses contractuelles.

La perspective stratégique à retenir est la suivante : la souveraineté des données n'est pas un sujet de conformité réglementaire à gérer une fois par an. C'est un actif de gouvernance qui détermine votre capacité à changer de prestataire, à défendre vos données en cas de litige, et à garantir à vos propres clients que leurs informations sont traitées dans un périmètre maîtrisé. Les PME qui traitent cette question comme un investissement de gouvernance, et non comme une contrainte administrative, construisent un avantage compétitif réel sur leurs concurrentes qui l'ignorent encore.

Article rédigé par Loïc Mabilon, Co-Fondateur chez Lumivi. Nous accompagnons les PME et ETI d'Auvergne-Rhône-Alpes dans le déploiement opérationnel de l'IA.