Résidence IA : où vivent vos données clients

La résidence des données IA, c'est la question de savoir dans quels pays vos messages clients sont stockés et traités, et quels gouvernements peuvent y accéder. Cette année, elle a cessé d'être une question de paperasse. Dans une enquête de février 2026 menée auprès de 203 décideurs informatiques en entreprise, 58 % ont déclaré que des préoccupations de résidence des données avaient déjà retardé ou revu à la baisse une initiative d'IA, et Gartner prévoit que les dépenses en infrastructures de cloud souverain atteindront 80 milliards de dollars en 2026, en hausse de 35,6 % sur un an. Un seul message client traité par un agent IA passe par quatre organisations distinctes avant que la réponse ne revienne, comme le montre la carte plus bas. La plupart des acheteurs n'ont jamais demandé lesquelles.

Que signifie vraiment la résidence des données IA ?

Trois mots sont employés indifféremment alors qu'ils désignent des choses différentes. Les distinguer, c'est déjà l'essentiel du travail.

Terme	La question à laquelle il répond	Exemple concret
Résidence	Où les données sont-elles physiquement stockées ?	Les transcriptions de vos clients reposent sur des disques dans un centre de données à Francfort.
Souveraineté	Quelles lois peuvent l'atteindre ?	Ces disques de Francfort sont exploités par une entreprise dont le siège est aux États-Unis : une procédure judiciaire américaine peut donc malgré tout s'appliquer.
Localisation	Une loi impose-t-elle qu'elles restent dans le pays ?	Plusieurs juridictions exigent que certaines catégories de données personnelles ou de santé restent sur le territoire national.

Résidence et souveraineté se séparent, et c'est dans cet écart que tout se joue. Un centre de données situé dans l'UE ne met pas à lui seul les données hors de portée d'un gouvernement non européen. À l'inverse, un mécanisme de transfert bien rédigé peut rendre licite un flux transfrontalier sans déplacer un seul octet.

Toile de fond : il s'agit désormais d'une réglementation quasi universelle, pas d'une lubie européenne. À la mise à jour de janvier 2025 de l'annuaire de l'IAPP, des lois sur la protection des données et la vie privée étaient en vigueur dans 144 pays. Si vous vendez au-delà de vos frontières, vous êtes déjà soumis à plusieurs d'entre elles.

Pourquoi cela est-il devenu urgent en 2026 ?

Parce que le principal pont juridique entre l'UE et les États-Unis s'est visiblement fissuré.

Le 29 juin 2026, la Cour suprême des États-Unis a rendu son arrêt Trump v. Slaughter, renversant Humphrey's Executor et jugeant que les commissaires de la FTC sont révocables à discrétion par le président. Cela compte pour les transferts de données, car la décision d'adéquation de 2023 de la Commission européenne, base juridique du Data Privacy Framework UE-États-Unis, s'appuyait explicitement sur le fait que la FTC était une autorité de contrôle indépendante dont les commissaires ne pouvaient être révoqués que pour « inefficacité, manquement à ses devoirs ou faute dans l'exercice de ses fonctions ».

Le Comité européen de la protection des données l'a remarqué. Le 31 juillet 2026, la présidente du CEPD, Anu Talus, a écrit au commissaire Michael McGrath pour demander à la Commission d'« évaluer de près » l'effet de cet arrêt sur la capacité de la FTC à faire respecter les engagements du DPF. Max Schrems, qui a fait tomber les deux versions précédentes du cadre, a déclaré à l'IAPP que « c'en est fini de cet accord » et confirmé que noyb prépare un nouveau recours devant la Cour de justice.

Voici la partie que les gros titres laissent de côté. Rien n'est illégal aujourd'hui.

Quand	Ce qui s'est passé ou est attendu
3 sept. 2025	Le Tribunal de l'UE a rejeté le recours Latombe et confirmé le DPF (affaire T-553/23).
29 juin 2026	Trump v. Slaughter supprime les protections qui n'autorisaient la révocation des membres de la FTC que pour motif valable.
31 juillet 2026	Le CEPD demande officiellement à la Commission de réexaminer le DPF.
Aujourd'hui	La décision d'adéquation reste en vigueur. Elle n'a été ni suspendue ni retirée.
Début à mi-2027	La Cour de justice devrait statuer sur le pourvoi Latombe.

La lecture de Skadden est la plus pratique : il existe « au minimum une possibilité raisonnable » que la Cour annule la décision lorsqu'elle en sera saisie, et les entreprises devraient revoir leurs solutions de repli maintenant plutôt qu'après. Les clauses contractuelles types et les règles d'entreprise contraignantes restent valables dans les deux cas, et c'est pourquoi la plupart des fournisseurs prudents utilisent les deux.

Rien de tout cela n'arrive en vase clos. Dans une autre enquête Gartner menée entre mai et juillet 2025, 61 % des DSI et responsables informatiques d'Europe de l'Ouest ont déclaré accroître leur recours à des fournisseurs cloud locaux ou régionaux pour des raisons géopolitiques. Les acheteurs ont bougé avant les tribunaux.

Où va réellement un message client ?

Quand un client envoie un message WhatsApp et qu'un agent IA répond au DM, le texte passe en général par quatre organisations différentes :

La plateforme du canal. Meta, Telegram ou l'hébergeur de votre propre site reçoit et relaie le message selon ses propres conditions.
La plateforme d'IA. Votre fournisseur stocke la conversation, la fiche du contact et les médias.
Le fournisseur du modèle. Le texte (et parfois une image ou une note vocale) est envoyé à un grand modèle de langage pour produire la réponse.
Les sous-traitants ultérieurs. Transcription, stockage d'objets, envoi d'e-mails, analytique, surveillance des erreurs. C'est la couche que personne ne lit.

Votre exposition est fixée par le maillon le plus faible, pas par le plus solide. Le DPA d'un fournisseur vaut exactement ce que valent ses propres accords avec ses sous-traitants, et c'est pourquoi la liste des sous-traitants est le premier document à réclamer.

Ce n'est pas un problème réservé aux grands groupes. Notre propre étude Response Velocity a porté sur 32 581 conversations issues d'entreprises de neuf pays : les États-Unis, la Türkiye, les Émirats arabes unis, l'Arabie saoudite, l'Égypte, l'Espagne, le Canada, la Grèce et le Pérou. Une clinique de dix personnes qui répond à des DM peut toucher plusieurs régimes juridiques en une seule semaine sans que personne ne l'ait décidé.

Que faut-il demander à un fournisseur d'IA sur la résidence des données ?

Huit questions. Posez-les par écrit, avant de signer, et considérez une réponse vague comme une réponse.

La question à poser	Pourquoi elle compte	Mauvais signe
Dans quels pays les données de conversation sont-elles stockées au repos ?	Établit la résidence réelle, pas la géographie marketing.	« Réparties dans le monde entier », sans aucune liste.
Quels fournisseurs de modèles voient le texte des clients, et sous quel accord ?	L'appel au modèle est l'étape que les acheteurs oublient.	Ils sont incapables de nommer les fournisseurs.
Nos données servent-elles à entraîner des modèles ?	La réponse aux conséquences les plus lourdes de toute cette liste.	« Nous pouvons utiliser des données agrégées pour améliorer nos services. »
Pouvons-nous voir la liste complète des sous-traitants, et sommes-nous prévenus des changements ?	Votre exposition passe par elle.	Pas de liste, ou pas d'avis de modification.
Sur quel mécanisme de transfert vous appuyez-vous, et quelle est la solution de repli ?	Depuis Slaughter, s'en tenir au seul DPF est fragile.	Le DPF sans clauses contractuelles types derrière.
Comment les données sont-elles chiffrées au repos, et qui détient les clés ?	Cela protège souvent bien plus concrètement que la résidence.	Le chiffrement évoqué sans algorithme ni modèle de gestion des clés.
Quelle est la durée de conservation, et pouvons-nous supprimer sur demande ?	Des données que vous ne détenez plus ne peuvent ni fuiter ni être réquisitionnées.	Une conservation illimitée « pour la qualité ».
Pouvons-nous apporter notre propre clé d'API de modèle ?	Fait basculer l'appel au modèle dans votre propre contrat.	Non pris en charge, aucune feuille de route.

Si vous êtes dans la santé, la finance ou un autre secteur réglementé, complétez tout cela par les exigences de contrôle précises de notre guide sur l'IA conforme pour les entreprises réglementées. Les obligations de transparence qui s'appliquent quand un bot répond à un client sont encore un autre sujet, traité dans ce que l'AI Act européen signifie pour les chatbots d'IA.

Rapprocher les données réduit-il vraiment le risque ?

Honnêtement, moins que ne le laissent croire les conférences, et sur ce point le débat n'est pas tranché.

Dans l'enquête Cloudian, 91 % des répondants ont dit qu'ils choisiraient une infrastructure sur site, privée ou hybride pour une IA touchant aux données sensibles de l'entreprise. C'est une préférence, pas la preuve d'un meilleur résultat. La résidence est un contrôle de localisation. Elle ne fait pas grand-chose contre les défaillances qui produisent réellement les incidents : un droit d'accès trop large, un employé qui colle une fiche client dans un chatbot grand public, une politique de conservation que personne n'a appliquée, un sous-traitant oublié.

Deux contrôles achètent en général plus de protection réelle par unité d'effort qu'une épingle sur une carte.

Un engagement contraignant de non-entraînement, plus une conservation courte. Des données jamais conservées ne peuvent être ni réquisitionnées, ni exfiltrées, ni mémorisées.
Un chiffrement au repos avec un modèle de clés clair, et un contrôle d'accès revu par un humain. C'est ennuyeux, et ça survit à un changement de juridiction.

Tout rapatrier en interne déplace aussi le risque au lieu de le supprimer. Vous héritez alors des correctifs, de la rotation des clés et de la disponibilité. Pour une entreprise de 40 personnes, l'échange est en général mauvais. La faille de gouvernance qui mord vraiment la plupart des entreprises, c'est celle que nous avons traitée dans shadow AI, et aucun centre de données ne la corrige.

La résidence compte toujours. C'est simplement la troisième question, pas la première.

Comment Entagl gère la question

Clairement, et avec les limites annoncées :

Chiffrement. Les messages, les médias et les données personnelles sont chiffrés au repos en AES-256-GCM, et en transit via TLS.
Des accords signés tout au long de la chaîne. Des BAA avec AWS, OpenAI (avec la rétention zéro des données activée) et Google Cloud pour Vertex AI. Des DPA en place pour le RGPD.
Un routage des modèles selon le niveau de conformité. Les espaces de travail avec la HIPAA activée envoient leur trafic modèle vers Vertex AI sous couvert du BAA, et chaque accès aux PHI est inscrit dans un journal d'audit. Une surface de récupération, le stockage File Search de Google, fonctionne uniquement sur l'API Gemini Developer et reste aujourd'hui en dehors de ce BAA. Nous vous expliquerons cette exception plutôt que de vous laisser la découvrir plus tard.
Export et suppression. L'export est en libre-service pour le propriétaire d'un espace de travail et arrive sous forme d'archive téléchargeable. La suppression passe par une demande vérifiée, en plus de la suppression des contacts et du compte depuis l'application.
Apportez votre propre clé (BYOK). Vous pouvez fournir votre propre clé d'API OpenAI ou Gemini, ce qui fait passer l'appel au modèle sur votre propre contrat avec ce fournisseur. Cela rejoint l'argument en faveur d'une approche indépendante du modèle plutôt que verrouillée sur un seul laboratoire.

Maintenant la réponse sur la résidence elle-même, énoncée plutôt qu'enfouie. Les données de conversation (bases de données, stockage des messages, stockage des médias) tournent sur AWS aux États-Unis, dans us-east-1. Les appels vocaux en temps réel sont la seule exception : ils peuvent être routés vers une région média européenne à Milan (eu-south-1), avec l'appel au modèle sur Vertex AI dans europe-west8. Si vos achats exigent un stockage exclusivement européen ou national pour les données de conversation, dites-le pendant l'appel. Nous préférons cadrer cela honnêtement plutôt que de vous laisser le supposer.

Venez avec vos questions sur les sous-traitants et la liste de votre équipe juridique. Réservez une démo de 30 minutes et nous parcourrons le chemin réel de vos données pour vos canaux, de bout en bout, avant que vous ne vous engagiez à quoi que ce soit.

FAQ

La résidence des données, est-ce la même chose que la conformité au RGPD ?

Non. Le RGPD n'exige pas que les données personnelles restent dans l'UE. Il exige une base légale pour le traitement et un mécanisme valable pour tout transfert hors de l'EEE : une décision d'adéquation, des clauses contractuelles types ou des règles d'entreprise contraignantes. Vous pouvez être parfaitement conforme en traitant des données aux États-Unis, et non conforme en gardant tout à Francfort.

Le Data Privacy Framework UE-États-Unis fonctionne-t-il encore en 2026 ?

Oui, à ce jour. La décision d'adéquation de 2023 de la Commission européenne n'a été ni suspendue ni retirée, et le Tribunal de l'UE l'a confirmée en septembre 2025. Ce qui a changé, c'est le profil de risque : après Trump v. Slaughter, le CEPD a demandé à la Commission de la réexaminer, noyb prépare un nouveau recours, et la Cour de justice devrait statuer sur le pourvoi Latombe en 2027. La plupart des cabinets d'avocats qui conseillent sur le sujet recommandent désormais de maintenir des clauses contractuelles types en filet de sécurité.

Ai-je besoin d'un centre de données dans l'UE pour servir des clients européens ?

En général, non. Ce qu'il vous faut, c'est un mécanisme de transfert licite, une analyse d'impact des transferts et un fournisseur capable de vous dire où vont les données. Le stockage national devient réellement obligatoire dans des cas plus étroits, le plus souvent pour des catégories précises de données de santé, financières ou du secteur public soumises à une règle nationale de localisation. Vérifiez la règle applicable à votre secteur avant d'acheter de l'infrastructure pour la régler.

Qu'est-ce que le BYOK, et cela change-t-il la destination de mes données ?

Bring Your Own Key (apportez votre propre clé) signifie que la plateforme d'IA appelle le modèle avec votre clé d'API plutôt qu'avec la sienne. La requête part toujours vers ce fournisseur de modèle, donc la géographie peut ne pas changer. Ce qui change, c'est la relation contractuelle : les conditions, les réglages de conservation et les engagements de traitement des données sont ceux que vous avez négociés directement avec le fournisseur, et la consommation apparaît sur votre compte.

Si je n'ai droit qu'à une seule question, laquelle poser en premier ?

« Nos données clients servent-elles à entraîner des modèles, et pouvez-vous l'écrire dans le contrat ? » C'est la réponse dont la durée de vie est la plus longue. Un lieu de stockage peut être migré plus tard. L'entraînement, lui, n'est pas réversible.

Sources : Cloudian / Centiment, Enterprise AI Infrastructure Survey 2026 (n=203, février 2026) ; Gartner via Fierce Network, février 2026 ; IAPP Global Privacy Law and DPA Directory ; Skadden, juillet 2026 ; IAPP, 3 août 2026. Position juridique arrêtée en septembre 2026 ; ne constitue pas un conseil juridique.