Blog
•
15 min de lecture
Les exigences de résidence des données pour l’IA découlent des lois qui régissent déjà les données qu’un système d’IA manipule, et non du droit de l’IA lui-même. Le chapitre V du RGPD, DORA, la SS2/21 de la PRA, la PIPL chinoise et les DPDP Rules indiennes posent chacun la même question : où vont les prompts, les résultats, les journaux et les embeddings. L’EU AI Act n’impose aucune exigence de résidence. La difficulté consiste à prouver où une inférence a été exécutée.
Quelle différence entre résidence, souveraineté et localisation des données ?
Un programme de résidence des données qui traite ces trois termes comme des synonymes répond à la mauvaise question.
La résidence des données désigne le lieu où les données sont physiquement stockées et traitées. Il s’agit généralement d’un choix de l’organisation, fixé par contrat et par configuration, qui peut exister sans qu’aucune loi ne l’exige. L’entrée du glossaire Enzai consacrée à la résidence des données en donne la définition propre à l’IA.
La souveraineté des données désigne l’État dont les lois, les tribunaux et les pouvoirs d’accès contraignants s’étendent aux données. Elle dépend de la portée juridique du fournisseur autant que de l’emplacement du matériel. Un fournisseur dont le siège est aux États-Unis et qui exploite une région dans l’UE satisfait à l’exigence de résidence tout en restant soumis aux procédures judiciaires américaines : c’est toute la question de la souveraineté des données.
La localisation des données est une obligation légale imposant qu’une catégorie définie de données reste sur le territoire d’un pays, leur exportation n’étant autorisée que selon une procédure prescrite, voire pas du tout. C’est la seule des trois notions qui constitue une exigence en soi. L’article 40 de la PIPL chinoise est une règle de localisation ; le RGPD n’en est pas une, car il encadre les transferts, et un transfert conforme est licite. L’entrée du glossaire Enzai consacrée à la localisation emploie le terme dans son sens produit : l’adaptation des systèmes d’IA aux marchés locaux.
Pourquoi l’IA rend-elle la résidence des données plus difficile à prouver ?
Traditionnellement, la résidence se réglait au niveau de la base de données. L’IA déplace les données au niveau de l’inférence, où les flux sont moins visibles et suivent souvent, par défaut, le routage mondial du fournisseur.
Flux de données IA | Question de résidence soulevée | Contrôle qui y répond |
|---|---|---|
Prompt envoyé à un modèle hébergé | Quelle région a traité la requête, et si un basculement l’a acheminée ailleurs | Point de terminaison fixé sur une région ou une zone de données ; journalisation de la région par requête |
Réponse renvoyée et journalisée | Où et pendant combien de temps le fournisseur conserve les journaux de prompts et de résultats | Durées de conservation contractuelles ; configuration sans conservation lorsqu’elle est proposée |
Surveillance des abus et télémétrie | Si l’examen de sécurité du fournisseur copie des contenus hors de la région | Déclaration écrite du lieu de surveillance ; exclusion lorsque le fournisseur le permet |
Entraînement ou ajustement précis sur les données soumises | Si des données réglementées deviennent des poids de modèle dans une autre juridiction | Engagement contractuel de non-entraînement ; refus explicite consigné comme preuve |
Basculement multirégion et profils d’inférence mondiaux | Si le routage par défaut ignore la région prévue par l’architecture | Sélection explicite de profils géographiques ; listes de refus pour les points de terminaison mondiaux |
Embeddings et bases vectorielles | Si une copie dérivée de données personnelles ou confidentielles se trouve dans une autre région que la source | Traiter les vecteurs comme des données réglementées ; fixer la base vectorielle sur une région ; l’enregistrer dans l’inventaire |
Récupération entre régions | Si une étape de récupération extrait des documents d’une base située hors de la région de la requête | Index de récupération limités à une région ; journalisation des accès |
Fonctionnalités d’IA intégrées aux SaaS existants | Si une nouvelle fonctionnalité d’IA du fournisseur a ajouté un sous-traitant ultérieur ou une région sans préavis | Notification des changements de sous-traitants ultérieurs ; revue dans l’inventaire des fonctionnalités d’IA des fournisseurs |
Deux de ces flux sont régulièrement négligés. Les embeddings permettent de reconstituer un texte proche du texte source : une base vectorielle dans une seconde région constitue donc une seconde copie de données réglementées. Par ailleurs, le routage par défaut de plusieurs grandes plateformes est mondial, si bien qu’un système conçu pour une région peut s’exécuter dans une autre dès la première pénurie de capacité. Le guide Enzai consacré à l’évaluation des risques des fournisseurs d’IA tierce traite des questions côté fournisseur.
Qu’exigent le RGPD et le RGPD britannique pour les traitements d’IA hors de la région ?
Le RGPD n’exige pas que les données personnelles restent dans l’EEE. Son chapitre V (articles 44 à 49) restreint les transferts vers des pays tiers, sauf si l’une de trois voies s’applique : une décision d’adéquation au titre de l’article 45, des garanties appropriées au titre de l’article 46, comme les clauses contractuelles types ou les règles d’entreprise contraignantes, ou une dérogation au titre de l’article 49, que le CEPD considère comme un dernier recours. Un prompt contenant des données personnelles envoyé à un modèle hébergé aux États-Unis constitue un transfert.
Pour les modèles hébergés aux États-Unis, la voie de l’adéquation est l’EU-US Data Privacy Framework (DPF), adopté le 10 juillet 2023. Le Tribunal de l’Union européenne l’a confirmé le 3 septembre 2025 dans l’affaire Latombe/Commission (T-553/23). Philippe Latombe a formé un pourvoi devant la Cour de justice le 31 octobre 2025 (affaire C-703/25 P) et, au 14 septembre 2026, ce pourvoi est pendant : les transferts fondés sur le DPF doivent donc être documentés avec des CCT en solution de repli.
Les flux du Royaume-Uni vers l’EEE reposent sur les décisions d’adéquation renouvelées de la Commission concernant le Royaume-Uni, adoptées le 19 décembre 2025 et valables jusqu’au 27 décembre 2031. Pour les transferts hors du Royaume-Uni, les lignes directrices de l’ICO exigent un règlement d’adéquation, une garantie appropriée (l’IDTA ou l’Addendum) assortie d’une évaluation des risques liés au transfert, ou une exception. La liste d’adéquation de la Commission inclut le Brésil depuis le 26 janvier 2026.
L’EU AI Act impose-t-il des exigences de résidence des données ?
Non. Le règlement (UE) 2024/1689 ne contient aucune disposition exigeant que les données soient stockées ou traitées dans l’Union, et l’omnibus numérique sur l’IA (règlement (UE) 2026/1744) n’en a pas ajouté.
Deux articles concernent néanmoins la résidence pour les systèmes d’IA à haut risque. L’article 10 (Données et gouvernance des données) exige que les jeux de données d’entraînement, de validation et de test fassent l’objet de pratiques de gouvernance des données : c’est là que la politique de résidence est consignée. L’article 12 (Enregistrement) exige que les systèmes à haut risque « permettent, techniquement, l’enregistrement automatique des événements (journaux) tout au long de la durée de vie du système », et l’article 26, paragraphe 6, impose aux déployeurs de conserver ces journaux pendant au moins six mois. Les journaux contenant des données personnelles relèvent du chapitre V du RGPD : l’endroit où un fournisseur conserve les journaux exigés par l’AI Act est donc une question de transfert. Ces obligations s’appliquent à compter du 2 décembre 2027 pour les systèmes relevant de l’annexe III et du 2 août 2028 pour ceux relevant de l’annexe I ; le guide Enzai sur la conformité à l’EU AI Act présente le tableau des échéances.
Le Data Act (règlement (UE) 2023/2854), applicable depuis le 12 septembre 2025, est un levier connexe : son chapitre VI donne aux clients le droit de changer de service de traitement de données, les frais de changement étant supprimés à compter du 12 janvier 2027, et son article 32 oblige les fournisseurs à s’opposer à l’accès des autorités de pays tiers aux données à caractère non personnel détenues dans l’Union.
Qu’attendent les régulateurs financiers quant au lieu de traitement ?
Les régulateurs financiers n’imposent pas non plus la résidence. Ils exigent en revanche que l’établissement connaisse, consigne et encadre contractuellement l’emplacement de chaque service TIC important, ce qui, pour un système d’IA, recouvre le point de terminaison, les journaux et tout pipeline d’ajustement précis.
Au titre de DORA (règlement (UE) 2022/2554), l’article 28, paragraphe 3, exige un registre d’informations sur tous les accords contractuels avec des prestataires tiers de services TIC, et le modèle figurant dans le règlement d’exécution (UE) 2024/2956 de la Commission comporte des champs pour le pays de fourniture du service et l’emplacement des données au repos, comme le confirment les questions-réponses de l’EIOPA sur le modèle. L’article 30, paragraphe 2, point b), exige que les contrats TIC précisent « les lieux, à savoir les régions ou les pays, où les fonctions et les services TIC faisant l’objet du contrat ou de la sous-traitance doivent être fournis et où les données doivent être traitées, y compris le lieu de stockage », avec notification préalable de tout changement. Un fournisseur qui se réserve le droit d’acheminer l’inférence à l’échelle mondiale ne peut pas signer cette clause sans réserve. Les orientations de l’ABE relatives aux accords d’externalisation (EBA/GL/2019/02) exigent de même que le registre indique « la localisation (c’est-à-dire le pays ou la région) des données » (paragraphe 54).
Au Royaume-Uni, la PRA SS2/21 s’applique aux banques, aux building societies, aux entreprises d’investissement désignées par la PRA et aux assureurs soumis à Solvabilité II, dans sa version en vigueur depuis le 31 décembre 2024. Le paragraphe 6.4 exige que les accords d’externalisation importants indiquent les régions ou pays où le service est fourni et où les données sont conservées, traitées ou transférées, avec notification des changements, et le paragraphe 7.7 précise que la PRA n’est pas favorable à une localisation restrictive des données. La page Enzai consacrée à la gestion des risques liés à l’IA des tiers explique comment ces exigences s’appliquent aux fournisseurs d’IA.
Que disent les règles du secteur public sur le transfert de données vers des services d’IA à l’étranger ?
Au Royaume-Uni, la position est permissive au niveau OFFICIAL et conditionnelle pour les données de santé. Le Government Cyber Security Policy Handbook indique que les données OFFICIAL, y compris celles portant le marquage SENSITIVE, « peuvent être stockées et traitées dans des centres de données ou des régions cloud à l’étranger lorsque des pratiques satisfaisantes en matière juridique, de protection des données et de sécurité sont en place ». Les lignes directrices sur la délocalisation des données de NHS England du 28 mai 2025 imposent par défaut un hébergement au Royaume-Uni, l’hébergement dans l’EEE, dans un pays adéquat ou aux États-Unis n’étant admis que si le risque est faible et que le SIRO l’approuve. Le principe de sécurité du cloud n° 2 du NCSC fournit les questions de diligence sur les pays de stockage et la juridiction compétente.
Quels régimes hors UE sont déterminants pour la résidence des données de l’IA ?
Régime | Statut en septembre 2026 | Exigences pour le traitement par IA | Obligation de localisation |
|---|---|---|---|
Chapitre V du RGPD (UE) | En vigueur ; DPF confirmé en première instance, pourvoi C-703/25 P pendant | Voie de transfert licite pour les prompts, journaux et embeddings contenant des données personnelles | Non |
RGPD britannique | En vigueur ; adéquation UE renouvelée jusqu’au 27 décembre 2031 | IDTA ou Addendum, avec évaluation des risques liés au transfert, pour les transferts restreints | Non |
EU AI Act | Obligations relatives au haut risque à partir du 2 décembre 2027 et du 2 août 2028 | Documentation de la gouvernance des données (art. 10), journalisation (art. 12), conservation des journaux pendant six mois (art. 26, par. 6) | Non |
DORA et orientations de l’ABE sur l’externalisation (services financiers, UE) | DORA applicable depuis le 17 janvier 2025 | Inscrire au registre l’emplacement des données au repos et le pays de fourniture ; clause contractuelle sur les lieux de traitement | Non |
PRA SS2/21 (services financiers, Royaume-Uni) | Version actuelle en vigueur depuis le 31 décembre 2024 | Clause contractuelle sur la localisation des données ; évaluation de la localisation fondée sur les risques | Non, expressément indiqué |
En vigueur | Évaluation de sécurité au-delà de 1 million de personnes ou de 10 000 données sensibles par an ; contrat type ou certification entre 100 000 et 1 million ; exemptions en dessous | Oui, pour les CIIO et les responsables de traitement au-delà des seuils de la CAC (art. 40) | |
DPDP Act 2023 (Inde) et DPDP Rules 2025 | Règles notifiées le 13 novembre 2025 ; règles essentielles applicables à partir du 13 mai 2027 | Règle 15 : transferts autorisés sous réserve des conditions fixées par le gouvernement central ; règle 13(4) : les Significant Data Fiduciaries doivent conserver en Inde les données personnelles désignées par le gouvernement et les données de trafic associées | Oui, pour les SDF, limitée à des catégories de données encore à préciser |
PDPL (Arabie saoudite), règlement sur les transferts modifié le 1er septembre 2024 | En vigueur ; source primaire non consultée, voir les notes | Adéquation, CCT, règles communes contraignantes ou certification pour les transferts au titre de l’article 29 | Pas d’obligation générale ; des autorisations sectorielles peuvent s’appliquer |
En vigueur ; exception pour les pays désignés ajoutée le 11 décembre 2024 | Mesures raisonnables avant toute communication à l’étranger ; responsabilité à l’égard du destinataire au titre de la section 16C | Non | |
LGPD (Brésil), article 33 et résolution ANPD 19/2024 | En vigueur ; délai d’adoption des CCT expiré le 23 août 2025 ; UE reconnue adéquate le 27 janvier 2026 | Adéquation, clauses types de l’ANPD, normes d’entreprise globales ou consentement | Non |
Trois lignes modifient les choix d’architecture. Les seuils chinois comptabilisent les personnes de manière cumulée sur l’année : un assistant de service client qui envoie des transcriptions à un modèle hébergé à l’étranger peut ainsi franchir rapidement le seuil de 100 000. La règle 13(4) indienne inclut les « données de trafic relatives à leur flux », et pas seulement le contenu ; les catégories de données visées n’avaient été notifiées dans aucune des sources consultées pour cet article. Grâce à l’adéquation mutuelle entre le Brésil et l’UE, un point de terminaison situé dans une région de l’UE est une destination licite pour les données personnelles brésiliennes, sans clauses contractuelles.
Quels contrôles maintiennent les flux de données d’un système d’IA dans la région ?
Quatre contrôles font l’essentiel du travail, et la documentation des fournisseurs montre pourquoi le mot « régional » mérite une lecture attentive.
L’inférence fixée sur une région est disponible, mais pas toujours par défaut. La documentation de Microsoft sur les types de déploiement indique que les données au repos restent dans la zone géographique Azure désignée pour tous les types de déploiement, mais que les types Global peuvent traiter les prompts « dans n’importe quelle région Azure », les types Data Zone uniquement dans la zone États-Unis, UE ou APAC, et les types Standard dans la zone géographique indiquée par le client. La documentation d’AWS sur l’inférence interrégionale explique qu’un profil d’inférence géographique limite le routage aux États-Unis, à l’UE ou à l’APAC, tandis qu’un profil mondial permet à Bedrock de choisir n’importe quelle région commerciale. La page d’OpenAI sur le contrôle des données répertorie dix régions de stockage, mais ne prend en charge le traitement régional qu’aux États-Unis, en Europe et aux Émirats arabes unis. La documentation de la Claude Platform d’Anthropic propose un paramètre inference_geo avec les valeurs us et global, global étant la valeur par défaut, ainsi qu’une zone géographique d’espace de travail limitée aux États-Unis pour les données au repos. Chaque page est précise, mais chacune fait aussi de l’option mondiale la voie de la facilité.
Les engagements contractuels sur la journalisation, la conservation et l’entraînement comblent les lacunes que la configuration ne peut pas combler. OpenAI, par exemple, indique que le contenu transmis via l’API n’est pas utilisé pour l’entraînement sauf accord explicite du client, et que les journaux de surveillance des abus sont conservés jusqu’à 30 jours, sauf si la conservation zéro des données est activée. Ces conditions doivent figurer dans la fiche d’inventaire.
Pour les systèmes les plus à risque, l’apport de son propre modèle et le déploiement privé règlent la question, car l’entreprise journalise alors elle-même le chemin d’inférence. La plateforme Enzai part du principe que les clients apportent leur propre modèle et leurs propres garde-fous, sans imposer de fournisseur de LLM particulier : la décision de résidence reste donc entre les mains du client.
Les preuves sont le contrôle que les régulateurs demanderont. Un superviseur qui examine le registre DORA ou un auditeur qui teste une analyse d’impact des transferts a besoin, pour chaque système, de la région fixée, du journal montrant que les requêtes y sont restées, de la clause de conservation et du mécanisme de transfert. C’est précisément ce que contient l’inventaire IA : une entrée par système, avec les références du fournisseur et du modèle, les cadres de conformité associés et les preuves jointes, de sorte que la résidence devient un attribut interrogeable.
Ce que cela implique en pratique
Classez chaque flux de données IA, et non chaque système d’IA. Pour chaque entrée de l’inventaire IA, consignez où les prompts sont traités, où les résultats et les journaux sont stockés, s’il existe des embeddings et où, et si des données servent à l’entraînement. Un point de terminaison régional avec un repli mondial représente deux flux.
Corrigez le paramètre par défaut. Lorsque la plateforme propose une zone de données, un profil géographique ou un paramètre de région, définissez-le dans le code, bloquez l’option mondiale par une règle et conservez l’export de configuration comme preuve.
Rattachez chaque flux à son régime : voie de transfert RGPD, registre et clause contractuelle DORA, formulation du paragraphe 6.4 de la SS2/21, décompte au regard des seuils PIPL. Le module de cadres de conformité d’Enzai intègre le RGPD aux côtés de l’EU AI Act, ce qui permet de réutiliser les preuves lorsque les obligations se recoupent.
Joignez les conditions contractuelles à la fiche du système : durée de conservation, exclusion de l’entraînement, lieu de surveillance, notification des changements de sous-traitant ultérieur et de localisation, chacune avec sa date de vérification.
Testez à nouveau à chaque changement. Une nouvelle version de modèle, une nouvelle région chez un fournisseur, un arrêt de la Cour de justice dans l’affaire C-703/25 P ou une notification du MeitY au titre de la règle 13(4) doit déclencher la revue de tous les flux concernés.
Pour découvrir comment les attributs de résidence et les preuves de transfert se rattachent à la fiche d’un système, contactez l’équipe Enzai.
Certifié ISO 27001 depuis 2023, audité chaque année par NQA
Traitement des données aligné sur le RGPD
Données clients hébergées sur AWS dans plusieurs régions
Utilisez votre propre modèle d’IA via une connexion privée
Identifiez l’IA utilisée par vos équipes, examinez-la avant sa mise en service, évaluez-la au regard des règles applicables et contrôlez ce que les agents peuvent faire. Conçu pour les organisations réglementées.