« Et mes données, elles partent où ? » C'est, de loin, la première question que se posent les dirigeants de PME face à l'intelligence artificielle. Avant le prix. Avant les fonctionnalités. Et c'est une question parfaitement légitime.
Derrière le mot « IA », un dirigeant entend autre chose : ses fichiers clients, ses contrats, sa comptabilité, ses échanges internes. Autrement dit, le cœur de son entreprise — confié à un outil dont il ne sait pas toujours où il envoie l'information, ni ce qu'il en fait.
Cet article répond à cette inquiétude sans détour : où vont réellement vos données lorsque vous utilisez une IA, ce que la loi impose en 2026, ce qu'est concrètement la souveraineté des données, et surtout les sept questions à poser avant de confier la moindre information à un outil d'intelligence artificielle.
Pourquoi « où vont mes données ? » est la bonne question
Cette inquiétude n'est ni de la paranoïa, ni un frein irrationnel à l'innovation. C'est une question de gouvernance.
Une PME qui transmet des données personnelles — celles de ses clients, de ses salariés, de ses fournisseurs — en reste juridiquement responsable, même lorsqu'un prestataire les traite à sa place. En cas de fuite ou d'usage non maîtrisé, c'est l'entreprise qui répond devant ses clients, et devant la loi.
La CNIL est claire sur le sujet : selon elle, « le RGPD permet une IA innovante et respectueuse des données personnelles » et « permet le développement d'IA innovantes et responsables en Europe ». Bien appliqué, le cadre de protection des données n'est pas un frein : il devient un facteur de confiance pour les personnes concernées, et de sécurité juridique pour l'entreprise. La vraie question n'est donc pas « faut-il adopter l'IA ? », mais « comment l'adopter sans perdre le contrôle de ses données ? ».
Où vont réellement vos données quand vous utilisez une IA ?
Tout dépend de l'outil. Et la distinction la plus importante est rarement expliquée clairement.
Les outils grand public ne sont pas conçus pour vos données d'entreprise
La plupart des assistants d'IA grand public sont édités par des entreprises non européennes. Lorsque vous y saisissez une information, elle transite vers des serveurs souvent situés hors de l'Union européenne, et peut, selon les conditions d'utilisation, être conservée puis réutilisée pour améliorer le modèle.
Pour rédiger un poème ou résumer un article public, cela n'a aucune conséquence. Pour traiter un fichier de prospects, une fiche de paie ou un contrat confidentiel, c'est un problème : vous exposez des données sensibles à un environnement que vous ne maîtrisez pas, hors de votre cadre juridique.
Usage gratuit ou professionnel : une différence fondamentale
Une règle simple résume l'enjeu : lorsque le service est gratuit, vos données font souvent partie de la contrepartie. Les offres professionnelles sérieuses, à l'inverse, reposent sur des engagements contractuels précis — localisation des données, absence de réutilisation, traçabilité, droit à la suppression.
La sécurité de vos données ne se déduit donc pas de la qualité de l'outil, mais de la nature de l'engagement pris par celui qui le fournit. C'est précisément ce qu'il faut savoir vérifier.
IA, RGPD et AI Act : le cadre légal en clair
Deux textes encadrent aujourd'hui l'usage de l'IA en Europe. Inutile d'être juriste pour en saisir l'essentiel.
Le RGPD s'applique dès qu'il y a des données personnelles
Dès qu'un système d'IA traite des informations relatives à des personnes identifiables — en entrée comme en sortie —, le Règlement général sur la protection des données s'applique pleinement. Cela suppose une base légale claire pour le traitement, le principe de minimisation (ne collecter que le nécessaire), et la protection des données dès la conception. Pour les usages les plus sensibles — par exemple en ressources humaines, en santé, ou pour l'évaluation de personnes —, une analyse d'impact (AIPD) peut être nécessaire.
Pour accompagner les entreprises, la CNIL a publié une série de fiches pratiques dédiées à l'IA, complétées d'une synthèse de ses recommandations et d'une liste de contrôle. C'est aujourd'hui le référentiel le plus complet pour concilier intelligence artificielle et protection des données en France.
L'AI Act : ce qui s'applique, et ce qui change
Le règlement européen sur l'intelligence artificielle, dit AI Act, classe les systèmes selon quatre niveaux de risque, du risque minimal au risque inacceptable. Son application est progressive. Les pratiques interdites le sont depuis février 2025, en même temps qu'une obligation de transparence et de « littératie IA » (vos équipes doivent comprendre les outils qu'elles utilisent). Dans le texte d'origine, le 2 août 2026 marque l'entrée en application générale du règlement.
Un point bouge encore. Un paquet de simplification européen — le « Digital Omnibus » —, voté par le Parlement européen le 16 juin 2026 (adoption finale et publication attendues à l'été 2026), devrait reporter une partie des obligations applicables aux systèmes dits « à haut risque » : celles de l'Annexe III (recrutement, scoring crédit, biométrie…) glisseraient du 2 août 2026 au 2 décembre 2027. Côté sanctions, le cadre des amendes est en place depuis août 2025, et les pratiques interdites sont déjà sanctionnables depuis février 2025.
Bonne nouvelle pour les PME : la responsabilité se partage
Voici le point le plus rassurant, et le plus utile. Une PME qui utilise un outil d'IA tiers — sans le développer elle-même — est « déployeur » au sens de l'AI Act : l'essentiel de la charge de conformité (documentation technique, évaluation de conformité, marquage CE) repose sur son fournisseur. Le règlement prévoit en outre des facilités pour les petites structures : bacs à sable réglementaires à accès prioritaire, frais d'évaluation réduits, documentation technique allégée.
Vous conservez toutefois des obligations qui vous sont propres et ne se délèguent pas : supervision humaine, information de vos équipes, transparence, et littératie IA — déjà applicable depuis février 2025. La conséquence est directe : votre meilleure protection, ce n'est pas de renoncer à l'IA, c'est de choisir un prestataire qui porte la conformité pour vous, et qui peut le prouver.
Et cette « nouvelle loi » de 2027 ?
On l'entend souvent : « il y aura une nouvelle loi sur l'IA en 2027 ». Précisons, car cela mélange plusieurs choses. Il ne s'agit ni d'un nouveau texte, ni d'une loi française : l'AI Act est un règlement européen directement applicable — il n'y a pas de loi de transposition à attendre, et c'est la CNIL qui en assure le contrôle en France. La seule échéance 2027 réellement nouvelle concerne les systèmes « à haut risque » (recrutement, scoring crédit, biométrie…), pour les entreprises qui les déploient — désormais attendue autour du 2 décembre 2027. Pour une PME qui utilise de l'IA « ordinaire » — un assistant qui classe des documents, met à jour un CRM ou prépare des brouillons —, rien de fondamental ne change en 2027 : les seules obligations déjà en vigueur sont la transparence et la littératie IA.
La souveraineté des données : pourquoi le « où » et le « quoi » comptent
La souveraineté des données désigne une idée simple : vos informations restent soumises au droit européen et ne quittent pas un périmètre que vous maîtrisez. Concrètement, cela repose sur deux choix techniques rarement mis en avant.
Le premier est l'hébergement. Des données stockées et traitées en France, ou dans l'Union européenne, restent protégées par le RGPD. Une précision importante, souvent passée sous silence : la seule localisation des serveurs ne suffit pas à mettre vos données « hors de portée » de législations extra-européennes comme le CLOUD Act américain. Ce dernier suit la juridiction qui s'applique à l'entreprise, pas l'emplacement physique des machines — un hébergeur soumis au droit américain, ou filiale d'un groupe américain, peut être contraint de livrer des données même stockées en Europe. La vraie protection passe donc par le choix d'un hébergeur de droit européen ; en France, le marqueur le plus exigeant est la qualification SecNumCloud de l'ANSSI.
Le second est le modèle d'IA lui-même : privilégier des modèles et des infrastructures d'inférence européens évite que vos requêtes ne transitent systématiquement à l'autre bout du monde. Et lorsqu'un modèle hors d'Europe reste ponctuellement nécessaire, l'enjeu est de l'encadrer — par des clauses contractuelles types et une absence de rétention de vos données.
La souveraineté n'est pas un argument patriotique : c'est une garantie concrète sur la localisation, l'accès et le devenir de vos données.
La checklist : 7 questions à poser avant de confier vos données à une IA
Avant de déployer un outil d'IA, posez ces questions à votre prestataire. Un fournisseur sérieux y répond clairement et par écrit. Une réponse floue est, en soi, une réponse.
- Où sont hébergées mes données — et l'hébergeur relève-t-il du droit européen ? En France ou dans l'UE, c'est un minimum ; mais surtout, l'hébergeur est-il soumis au droit européen, ou à une législation extra-UE ?
- Mes données servent-elles à entraîner le modèle ? La réponse attendue est non, sauf accord explicite de votre part.
- Qui peut accéder à mes données, et dans quelles conditions ? Les accès doivent être limités, journalisés et encadrés.
- Le prestataire est-il conforme au RGPD, et peut-il le prouver ? Un contrat de sous-traitance (DPA) et une documentation de conformité doivent exister.
- Que deviennent mes données après traitement ? Durée de conservation, suppression sur demande : tout doit être précisé.
- Quel modèle d'IA est utilisé, et où s'exécute-t-il ? Le modèle et l'infrastructure conditionnent la circulation réelle de vos informations.
- Que se passe-t-il si je décide de partir ? Vous devez pouvoir récupérer vos données et les faire effacer sans obstacle.
Questions fréquentes
L'IA est-elle vraiment compatible avec le RGPD ?
Oui. Le RGPD n'interdit pas l'intelligence artificielle ; il en encadre l'usage. La CNIL a publié des recommandations précises pour utiliser l'IA dans le respect de la protection des données. La conformité dépend de la manière dont l'outil est conçu et exploité, pas de la technologie en elle-même.
Mes données servent-elles à entraîner l'IA ?
Avec de nombreux outils grand public, c'est possible, selon leurs conditions d'utilisation. Avec une offre professionnelle sérieuse, la réponse doit être non : vos données ne doivent jamais alimenter l'entraînement d'un modèle sans votre accord explicite. C'est un point à vérifier systématiquement dans le contrat.
Une PME est-elle concernée par l'AI Act ?
Oui, mais de façon proportionnée. Une PME qui se contente d'utiliser un outil d'IA tiers porte une charge de conformité bien plus légère que celle qui le développe : l'essentiel des obligations incombe alors au fournisseur. Des mesures d'accompagnement spécifiques sont par ailleurs prévues pour les petites structures.
Qu'est-ce qu'une « IA souveraine » ?
C'est une solution d'IA dont les données sont hébergées dans l'Union européenne, chez un hébergeur relevant du droit européen, et qui s'appuie autant que possible sur des modèles européens. L'objectif : garantir que vos informations restent soumises au droit européen et ne soient pas exposées à des législations extérieures.
Faut-il un délégué à la protection des données (DPO) pour utiliser l'IA ?
Pas nécessairement pour un usage courant. Le DPO devient utile, voire obligatoire, selon la nature et le volume des données traitées. Pour la plupart des PME, l'essentiel est d'abord de choisir des outils conformes et de documenter leurs usages.
La sécurité n'est pas un frein, c'est le point de départ
Adopter l'IA tout en protégeant ses données n'a rien d'un dilemme. C'est une question de méthode : comprendre où vont les informations, exiger des garanties claires, et choisir un partenaire dont la conformité est démontrable plutôt que promise.
Chez Agent Aimé, nous avons fait des choix simples et assumés : un hébergement en France chez OVHcloud — un acteur français, non soumis au droit américain —, une isolation des données par client, des providers d'IA européens en priorité, et une conformité RGPD pensée dès la conception, jamais en option payante. Lorsqu'un modèle hors d'Europe est ponctuellement nécessaire, c'est indiqué clairement et encadré par des clauses contractuelles types. Dans tous les cas, vos données ne servent pas à entraîner un modèle, ne quittent pas votre périmètre, et restent les vôtres.
Faire gagner du temps aux entreprises est notre métier. Mais la vraie condition de départ, c'est la confiance. C'est de là que tout commence.