Jusqu'à récemment, notre propre site indiquait que nous n'utilisons pas de centres de calcul américains. C'était faux.

Pas parce que nous mentions, mais parce que nous avions écrit cette phrase en pensant à un seul produit et que nous l'avons ensuite laissée sur tout le site. Entre-temps, la connexion chez nous passe par Google et Microsoft, un de nos outils tourne sur Gemini, et notre propre site mesure son audience avec Google Analytics. Tout cela est américain.

Cette phrase a disparu. À la place, il y a maintenant quelque chose d'exact.

Pourquoi cela tourne si souvent mal

« Nous hébergeons dans l'UE » est le plus souvent vrai et le plus souvent incomplet. Il y a en effet quatre couches différentes dans un outil d'IA, et elles peuvent toutes les quatre se trouver ailleurs.

Le serveur sur lequel l'application tourne. C'est ce que les gens entendent par hébergement. Souvent, effectivement, Francfort ou Amsterdam.

La base de données. Le plus souvent chez le même prestataire, mais pas toujours. Vérifiez-le séparément.

Le modèle d'IA. C'est là que cela devient intéressant. Un point d'accès européen d'un fournisseur américain n'est pas la même chose qu'un fournisseur européen. Et certains modèles ne sont pas du tout disponibles en Europe.

Tout ce qu'il y a autour. La connexion, l'envoi de mails, les statistiques, les rapports d'erreur. C'est la couche que tout le monde oublie, et c'est précisément celle où se trouvent la plupart des services américains.

Qui affirme qu'il n'y a aucun service américain là-dedans n'a en général pas regardé d'assez près.

Quatre questions à poser à votre fournisseur

1. Donnez-moi la liste des sous-traitants. Pas « nous hébergeons dans l'UE », mais un tableau : quel service, pour quoi faire, établi où, quelles données y passent. Si le fournisseur ne peut pas la fournir en un jour, c'est qu'elle n'existe pas.

2. Quel modèle précisément, chez quel fournisseur, sur quel point d'accès. « Nous utilisons l'IA » n'est pas une réponse. « Mistral, France », si. « Anthropic via le point d'accès européen », aussi.

3. Entraînez-vous des modèles sur mes données ? Chez la plupart des API professionnelles, non, mais cela figure dans les conditions et pas dans les argumentaires commerciaux. Faites-vous montrer le passage.

4. Combien de temps garde-t-on quoi, et que se passe-t-il si j'arrête ? Par catégorie. Données d'agenda, comptes rendus d'entretien, fichiers de journalisation, factures. Chez nous, c'est respectivement quatre-vingt-dix jours, tant que votre compte est actif, quatre-vingt-dix jours et sept ans, parce que l'administration fiscale l'exige pour ce dernier point.

À quoi ressemble une réponse honnête

Pas : « tout reste en Europe. »

Plutôt : « votre contenu est à Francfort et l'IA vient de France. La connexion passe par Google ou Microsoft, parce que c'est ce que vous voulez vous-même. Notre site mesure avec Google Analytics, et seulement après que vous avez cliqué sur accepter. Ce sont des services américains, voici quelles données passent par là. »

Cette deuxième réponse est plus longue et moins lisse. C'est aussi la seule qui tienne debout lors d'un audit.

Pourquoi nous écrivons ceci

Parce que nous nous étions trompés nous-mêmes. Et parce que le RGPD n'exige pas la perfection mais bien la transparence : vous avez le droit d'utiliser des services américains, à condition d'être clair là-dessus.

Notre propre liste se trouve sur Où sont vos données. Neuf lignes, avec par service ce qu'il fait et où il se trouve. Si vous demandez une telle liste à votre fournisseur actuel et que vous ne l'obtenez pas, vous en savez assez.