Où sont vos données quand vous utilisez l'IA ?

Vous laissez un assistant IA lire votre boîte mail, ou vous collez un devis dans ChatGPT pour le faire relire. À cet instant, quelque chose qui vous appartient sort de chez vous. Où sont vos données quand vous utilisez l'IA, et qui peut y accéder ? Presque personne ne pose la question avant. Et presque tous les dirigeants la reçoivent six mois plus tard quand même, d'un client, de leur comptable, ou d'un salarié qui se demande si tout cela est autorisé. Voici la réponse honnête : sans alarmisme, et sans faire croire qu'il vous faut un service informatique.

Ce qui se passe quand l'IA lit un seul e-mail client

Imaginons : un client écrit une question sur une livraison, et votre assistant IA propose la réponse. Cet e-mail passe alors par trois endroits. Il est utile de les distinguer, car ce sont trois choix indépendants qui n'ont rien à voir entre eux.

• L'endroit où vos fichiers et messages se trouvaient déjà, votre messagerie, votre dossier de documents, votre logiciel clients.
• L'endroit où le raisonnement se fait, les ordinateurs de l'entreprise qui fait tourner le modèle d'IA. C'est là que part le texte de l'e-mail et d'où revient la réponse.
• L'endroit où tourne la pièce intermédiaire, le petit bout qui récupère l'e-mail, le transmet et remet la réponse en place. C'est en général la partie que quelqu'un construit pour vous.

Chacun de ces trois endroits peut être aux Pays-Bas, ailleurs en Europe ou aux États-Unis. Et vous pouvez les choisir séparément. C'est exactement là que les discussions dérapent : quelqu'un dit « nos données sont en Europe » en ne parlant que du premier point, alors que le raisonnement se fait tranquillement en Amérique. Ou l'inverse.

« Serveurs européens » et « entreprise européenne », ce n'est pas pareil

C'est la partie que la plupart des dirigeants n'entendent jamais. Le CLOUD Act américain de 2018 oblige les entreprises américaines à remettre des données aux autorités américaines lorsqu'une injonction valable existe, même si ces données se trouvent sur des serveurs en Europe. La loi regarde qui est le fournisseur, pas où se trouve l'armoire. Un centre de données à Amsterdam appartenant à une entreprise américaine, ce n'est donc pas la même chose qu'un centre de données à Amsterdam appartenant à une entreprise néerlandaise.

En face, il existe un accord européen qui autorise justement les échanges de données avec des acteurs américains. Cet accord a été confirmé en première instance par le juge européen en 2025, mais un pourvoi est pendant devant la Cour de justice. Traduit dans votre situation : c'est permis aujourd'hui, et rien ne garantit que les règles seront les mêmes dans deux ans.

Ce que vous pouvez réellement choisir, endroit par endroit

La bonne nouvelle : vous avez plus de choix que vous ne le pensez, et cela ne coûte généralement rien de plus. La mauvaise : il faut choisir avant, car déménager après coûte bel et bien de l'argent.

Pour le raisonnement, le modèle qui écrit le texte, les grands fournisseurs proposent désormais un traitement européen, mais pas dans tous les abonnements. OpenAI le fait depuis février 2025 pour ses versions professionnelles (ChatGPT Enterprise et Edu) et pour les projets sur sa plateforme destinée aux développeurs, où le texte est traité en Europe et rien n'est conservé. Un abonnement Plus ou Business classique n'est pas concerné. Cette différence est énorme et ne figure sur aucune page de tarifs. Il existe aussi des concepteurs de modèles européens, comme le français Mistral, où la question ne se pose tout simplement pas.

Pour la pièce intermédiaire, la partie que nous et nos confrères construisons pour vous, le choix est le plus simple. Elle peut tout à fait tourner sur un serveur dans un centre de données néerlandais. Chez un fournisseur néerlandais comme TransIP, un tel serveur démarre au moment où nous écrivons autour de cinq euros par mois. Ce n'est donc que rarement la raison de ne pas le faire.

• Raisonnement : demandez quel modèle est utilisé, dans quel pays il tourne et si quelque chose est conservé.
• Stockage : demandez où restent les fichiers, les conversations et les journaux, et pendant combien de temps.
• Pièce intermédiaire : demandez dans quel centre de données elle tourne et au nom de qui est le contrat.
• Tout ce que vous convenez ici doit figurer dans le contrat de sous-traitance des données, pas dans un message.

Ce que coûte le fait de bien faire dès le départ

Dans la plupart des automatisations de PME que nous croisons, la réponse est : rien de plus. Le choix se situe dans la mise en place, pas dans le prix. Vous choisissez un traitement européen et un serveur néerlandais au moment de la construction, et c'est réglé. Ce qui coûte, c'est de basculer plus tard : il faut alors reconstruire une partie et déplacer les données existantes.

Et parfois, ce n'est tout simplement pas possible. Pour certaines fonctions, la voix, l'image, un modèle très particulier, il n'existe pas encore de voie européenne. La discussion honnête est alors : n'utilisez pas cette partie pour des données sensibles, ou notez une fois pour toutes pourquoi vous l'acceptez dans ce cas précis. Faire comme si le problème n'existait pas est la seule mauvaise option.

À partir du 15 août 2026, votre client posera la question

Jusqu'ici, c'était surtout votre affaire. Cela change ce mois-ci. La loi néerlandaise sur la cybersécurité, la transposition nationale des règles européennes NIS2, entre en vigueur le 15 août 2026, après le vote du Sénat le 7 juillet. Elle s'applique aux organisations de dix-huit secteurs dépassant environ cinquante salariés ou dix millions d'euros de chiffre d'affaires. Le nombre d'organisations concernées passe d'un millier à environ huit mille.

Vous n'êtes pas concerné vous-même ? Cela vous touche quand même, car ces huit mille organisations sont tenues de maîtriser les risques de leur chaîne d'approvisionnement. Elles le font en interrogeant leurs fournisseurs directs, y compris ceux qui ne relèvent pas de la loi. Concrètement : un questionnaire. Et sur ce genre de liste figure toujours la question : où nos données sont-elles traitées et stockées ? Aucune période de transition n'est prévue pour les obligations principales, ces conversations commencent donc tout de suite.

Répondre « à vrai dire, je ne sais pas » vous coûte des points face à un acheteur lui-même sous surveillance. Répondre « notre logiciel clients tourne aux Pays-Bas, les textes sont traités en Europe et rien n'est conservé » clôt la discussion en trente secondes. Cette différence ne se construit pas en une semaine, elle se construit au moment où vous faites réaliser l'automatisation.

Trois questions à poser à tout prestataire IA

Nul besoin d'être technicien. Ces trois questions permettent en cinq minutes de repérer qui a ses affaires en ordre. Posez-les-nous aussi.

• Où mon texte est-il traité et où reste-t-il ? Une bonne réponse cite un pays et précise si quelque chose est conservé. Une réponse vague ne cite qu'une marque.
• Mes données servent-elles à améliorer le modèle ? La réponse doit être non, et cela doit figurer dans le contrat de sous-traitance, pas seulement dans un e-mail.
• Que se passe-t-il si j'arrête, ou si vous arrêtez ? Vous voulez entendre que vous repartez avec vos données, que le contrat peut être à votre nom et que vous n'êtes pas prisonnier d'un seul acteur.

Si quelqu'un tourne autour du pot, vous avez votre réponse. Non pas parce que quelque chose cloche forcément, mais parce qu'un prestataire qui l'ignore lui-même ne vous aidera pas non plus à répondre au questionnaire de votre client.

Quand cela compte vraiment, et quand cela ne compte pas

Nous ne vendons pas de panique. Pour une grande partie de ce que les PME font avec l'IA, ce n'est pas un sujet lourd. Personne n'écope d'une amende parce qu'un texte publicitaire a été écrit en Amérique. La distinction à faire une bonne fois :

• Ça compte : données de clients et de salariés, dossiers, devis avec prix et plans, tout ce qui relève d'un accord de confidentialité avec un client, et tout ce que vous livrez à une plus grande entreprise.
• Ça compte moins : textes publics, idées marketing, résumés de choses déjà présentes sur votre site, questions générales sans noms ni montants.
• Toujours faux : coller des données sensibles dans un outil gratuit sans le moindre accord, où que cet outil tourne.

Ce dernier point est le plus grand risque en pratique. Pas la carte du monde, mais le salarié qui colle vite fait un dossier client dans un chatbot gratuit parce que c'est pratique. Aucun serveur européen n'y change rien, seule une règle que les gens comprennent y change quelque chose, avec un outil sûr et tout aussi facile.

Ce que vous pouvez faire cette semaine

• Notez quels outils d'IA circulent dans votre entreprise. Posez simplement la question ; vous serez surpris.
• Pour chaque outil, vérifiez dans les réglages si vous pouvez activer un traitement européen et désactiver la conservation des conversations.
• Écrivez une ligne par outil : ce qui peut y entrer, ce qui ne peut pas. C'est tout ce qu'il faut pour en parler à votre équipe.
• Vous faites construire quelque chose ? Mettez les trois questions ci-dessus dans votre demande, avant que quoi que ce soit ne soit construit.

La question du titre cesse alors d'être un problème : c'est simplement une réponse que vous avez sous la main. Pour vous, pour vos clients, et pour le questionnaire qui arrive ce mois-ci.