IA et RGPD : où sont hébergées vos données quand vous déployez un outil IA ?

Où sont hébergées vos données quand vous utilisez un outil IA ?

Vos données sont stockées sur les serveurs du prestataire qui opère l'outil IA, et leur localisation dépend entièrement de la solution retenue. Un service grand public les envoie souvent hors d'Europe. Un outil déployé sur mesure peut, lui, rester intégralement sur des serveurs situés en France. Ce choix se décide au moment du projet, pas après.

C'est une différence que peu de dirigeants voient au départ, et elle change tout. À Bordeaux comme ailleurs en Gironde, la plupart des entreprises que nous rencontrons utilisent déjà l'IA sans l'avoir décidé formellement : un salarié colle un devis dans un assistant en ligne, un autre demande une reformulation de mail client. Personne n'a signé quoi que ce soit, et pourtant des informations professionnelles sont sorties de l'entreprise.

La question n'est donc pas de savoir s'il faut encadrer le sujet, mais par quel bout le prendre.

Le trajet réel d'une donnée dans un outil IA

Avant de parler de conformité, il faut voir ce qui se passe vraiment quand vous cliquez sur « envoyer ». Une donnée ne va pas dans un nuage abstrait. Elle transite par quatre étapes bien identifiables, et chacune se règle indépendamment des autres.

1. 1

   1. La saisie

   Vos informations quittent votre poste : un nom de client, un montant de devis, un historique d'intervention. C'est le seul moment où vous décidez encore de ce que vous partagez.

2. 2

   2. Le stockage

   Elles atterrissent dans une base de données, sur un serveur physique situé quelque part. C'est ce serveur qui détermine la juridiction applicable et les accès possibles.

3. 3

   3. Le traitement par le modèle

   Le modèle d'IA lit la demande et produit une réponse. Selon le fournisseur, ce calcul se fait dans la même zone géographique ou sur une infrastructure située ailleurs.

4. 4

   4. La conservation

   L'échange est conservé pendant une durée définie, parfois pour de la journalisation technique, parfois pour améliorer le service. C'est l'étape la moins visible et la plus déterminante.

Chacune de ces quatre étapes se contractualise. C'est précisément ce que fait un déploiement sérieux : il fige les réponses au lieu de les laisser dans les conditions générales d'un service en ligne, susceptibles de bouger à la prochaine mise à jour.

Est-ce que mes données servent à entraîner le modèle ?

Cela dépend du service, et l'écart entre les offres est considérable. Les outils grand public sont explicites sur ce point. France Num le formule sans détour dans sa fiche pratique sur les précautions à prendre pour un usage responsable de l'IA : tout ce que vous entrez dans les requêtes pourra être utilisé comme données d'entraînement dans les outils en ligne grand public, et il ne faut donc pas y introduire de données confidentielles, personnelles ou stratégiques.

Les offres professionnelles et les déploiements sur mesure fonctionnent autrement. L'engagement contractuel de non-réutilisation y est la norme, et l'isolation des données de chaque client fait partie de la prestation. La bascule entre les deux mondes tient à un abonnement et à quelques lignes de contrat, rarement à une différence de qualité technique.

Hébergement en France, en Europe ou ailleurs : ce que ça change

Le lieu du serveur détermine deux choses très concrètes : qui peut légalement demander l'accès à vos fichiers, et quel recours vous avez en cas de problème. Une donnée hébergée en France relève du cadre européen, avec la protection du RGPD et un interlocuteur joignable dans votre langue. Une donnée hébergée hors de l'Union suppose des garanties supplémentaires, plus lourdes à mettre en place et plus difficiles à vérifier pour une entreprise sans service juridique. Il existe une nuance que beaucoup de prestataires entretiennent volontairement dans le flou : la localisation physique des serveurs ne dit pas tout. Un fournisseur rattaché juridiquement à un pays hors Union peut se voir demander des accès par les autorités de ce pays, même lorsque les machines tournent dans un centre de données européen. Les deux critères comptent donc : où sont les serveurs, et de quel droit relève l'entreprise qui les exploite.

La colonne de gauche n'est pas à bannir. Elle est parfaitement adaptée à la rédaction d'une annonce ou d'un texte de présentation, tant qu'aucun nom de client ni aucun montant ne s'y glisse. Le problème surgit quand elle sert de solution de fond pour traiter des fichiers réels. Le choix entre une brique du marché et un outil dédié est traité en détail dans notre comparaison entre un agent IA sur mesure et un SaaS générique.

Les cinq questions à poser à un prestataire avant de signer

Vous n'avez pas besoin de maîtriser le vocabulaire du RGPD pour tenir une discussion sérieuse avec un fournisseur. Cinq questions suffisent à écarter les offres bancales, et un prestataire honnête y répond en quelques minutes, sans consulter son service juridique.

La cinquième question est celle qu'on oublie le plus souvent, et c'est celle qui pèse le plus au quotidien. Un outil qui envoie des messages à vos clients sans repasser par vous engage votre réputation à chaque envoi.

Faut-il un contrat particulier avec le prestataire IA ?

Oui, et ce n'est pas une formalité de confort. Dès qu'un fournisseur traite des données personnelles pour votre compte, il devient votre sous-traitant au sens du RGPD, et cette relation se formalise par écrit. Le document précise l'objet du traitement, les catégories de données concernées, la durée de conservation, les mesures de sécurité et le sort des données à la fin du contrat. Chez un éditeur établi, ce document existe déjà et se signe en annexe. Chez un prestataire qui construit sur mesure, il se rédige avec vous, à partir des traitements réels de votre entreprise. Dans les deux cas, l'absence de ce contrat est un signal d'alerte suffisant pour arrêter la discussion. Ce point figure d'ailleurs parmi les critères de sélection que nous détaillons dans notre guide pour choisir une agence IA à Bordeaux.

Ce que le RGPD et l'AI Act demandent vraiment à une TPE

L'empilement réglementaire fait peur de loin, et il se dégonfle largement une fois ramené à la réalité d'une entreprise de dix personnes. Le RGPD demande d'abord de savoir ce que vous traitez. Cela passe par le registre des activités de traitement, un simple tableau qui liste vos fichiers, leur finalité, les outils utilisés et les prestataires impliqués. C'est l'angle mort le plus répandu : France Num rappelle, dans sa fiche sur le registre RGPD des TPE et PME, que seules 41 % des TPE et PME tiennent ce registre, selon le Baromètre France Num 2025, alors que l'obligation vaut pour toutes les entreprises. Autrement dit, la majorité des dirigeants ne savent pas précisément quelles données leur entreprise détient, ni où elles se trouvent.

Le second point tient à votre responsabilité. La même fiche IA de France Num le dit clairement : en utilisant un outil d'IA avec des données personnelles, vous devenez responsable de traitement au sens du RGPD. Ce n'est pas votre prestataire qui portera la responsabilité à votre place, c'est vous. D'où l'intérêt de choisir un partenaire qui documente ce qu'il déploie.

Côté AI Act, le cadre est désormais en place. Le règlement européen sur l'intelligence artificielle, entré en vigueur le 1er août 2024, est pleinement applicable depuis le 2 août 2026. Il classe les systèmes selon quatre niveaux de risque : inacceptable, élevé, limité, minimal. Les usages courants d'une TPE ou d'une PME, comme préparer un devis, relancer une facture ou fixer un rendez-vous, relèvent des risques limités. L'obligation associée est simple : informer les personnes qu'elles interagissent avec une intelligence artificielle. Les régimes contraignants visent les systèmes à haut risque, un périmètre qui ne concerne pas les outils de gestion quotidienne d'une entreprise artisanale ou commerciale.

Comment nous tranchons l'hébergement, projet par projet

Il n'existe pas de réponse unique, et se méfier de celui qui en propose une fait déjà partie du travail. Chez Rescue Pro, l'hébergement d'un outil se décide sur trois critères, dans cet ordre. Le premier est la sensibilité des données : un cabinet de kinésithérapie qui suit des dossiers de patients n'appelle pas le même dispositif qu'un menuisier qui automatise ses relances de devis. Le deuxième est la connectivité du terrain : une équipe qui travaille en zone mal couverte a besoin d'un outil qui fonctionne hors ligne, ce qui pousse mécaniquement vers un stockage local. Le troisième est de savoir qui maintient l'outil dans la durée. Pour ce que nous construisons et maintenons, les données restent hébergées en France, chez un hébergeur français, et vous en restez propriétaire. Le principe qui guide l'ensemble est constant : on prend le niveau de protection que la donnée exige, jamais moins, et on l'écrit noir sur blanc dans le rapport remis en fin d'audit.

Cette logique vaut pour un artisan de Libourne comme pour une PME de vingt salariés à Mérignac. Ce qui change, c'est le nombre de traitements à cartographier, pas la méthode. Nous accompagnons des entreprises de toute la Nouvelle-Aquitaine sur ce point, et l'expérience montre qu'il vaut mieux traiter le sujet au démarrage du projet qu'après coup : reprendre un outil déjà en service pour rapatrier ses données coûte toujours plus cher que d'avoir posé la question au bon moment.

Par où commencer concrètement

Trois gestes suffisent à sortir du flou, et le premier ne coûte rien. Commencez par lister les outils numériques réellement utilisés dans votre entreprise, y compris ceux que vos salariés ont installés d'eux-mêmes. Notez à côté de chacun quelles données y passent : simples textes, coordonnées clients, montants, informations sensibles. Vous obtenez en une heure la moitié de votre registre des traitements, et une vision honnête de votre exposition. Ensuite, écrivez une note d'une page qui dit ce qui peut être collé dans un outil en ligne et ce qui ne le peut pas. Cette note règle à elle seule la majorité des fuites involontaires. Enfin, pour tout ce qui touche vos fichiers clients, exigez de vos prestataires les cinq réponses listées plus haut. Le budget associé à un déploiement propre est détaillé dans notre article sur le coût d'un agent IA sur mesure pour une PME, et notre méthode d'accompagnement est décrite sur la page offre.

Le sujet des données n'est pas un obstacle au déploiement de l'IA dans une petite entreprise. C'est la première étape du déploiement, celle qui permet ensuite d'avancer sans avoir à revenir en arrière.