Il y a encore peu, choisir un outil informatique — un logiciel, un hébergeur, un modèle d'intelligence artificielle — tenait en trois questions : est-ce que ça marche, est-ce fiable, combien ça coûte. Une quatrième s'est imposée, et elle ne se règle pas dans une salle serveur : où vont vos données, et sous quelle loi ? Le choix d'un fournisseur est devenu, en partie, une décision géopolitique.
Le déclencheur le plus courant est banal : on cherche une IA ou un cloud « moins cher », on trouve une offre séduisante… et on découvre qu'elle traite les données dans une juridiction que l'on n'avait pas anticipée. La bonne décision n'est alors plus technique. Elle est réglementaire, contractuelle — et, oui, géopolitique.
« Hors UE » ne veut plus rien dire — le vrai critère
La tentation est de raisonner par la carte : « ce fournisseur est européen, donc c'est bon ; celui-là ne l'est pas, donc c'est risqué ». C'est trop grossier. Les plus grands fournisseurs d'IA et de cloud sont américains — donc « hors UE » eux aussi. Si la géographie était le seul critère, il faudrait s'en priver.
Le vrai critère n'est pas où se trouve le fournisseur, mais la défendabilité juridique du transfert de vos données. Un transfert hors UE peut être parfaitement conforme au RGPD… ou impossible à justifier. Tout dépend du cadre légal et des garanties obtenues.
Le triangle : États-Unis, Chine, souveraineté locale
Trois grands cas de figure, très inégaux devant la conformité :
| Destination | Cadre de transfert | Garanties usuelles | Verdict |
|---|---|---|---|
| États-Unis | Data Privacy Framework (adéquation) + clauses contractuelles types | DPA, zéro-rétention, non-entraînement sur vos données | Défendable |
| Chine | Aucune adéquation ; loi PIPL + lois de sécurité nationale | Rares, rarement pensées pour l'Europe | Très difficile |
| Local / UE | Aucun transfert hors UE | La donnée reste sur votre réseau ou en Europe | Le plus simple à tenir |
États-Unis
Depuis 2023, le Data Privacy Framework UE–États-Unis offre une décision d'adéquation : les entreprises américaines qui y sont certifiées peuvent recevoir des données personnelles européennes. À défaut, les clauses contractuelles types restent mobilisables. Les grands acteurs proposent en général un contrat de sous-traitance (DPA), un engagement de non-entraînement sur vos données et des options de zéro-rétention. C'est un transfert que l'on peut documenter et défendre.
Chine
Aucune décision d'adéquation. La loi PIPL encadre bien les données personnelles, mais elle coexiste avec des lois de sécurité nationale qui peuvent contraindre l'accès aux données par les autorités. Les garanties contractuelles attendues en Europe y sont rares. Résultat : un transfert très difficile à rendre conforme, quel que soit l'attrait technique ou tarifaire de l'offre.
Souveraineté locale
La donnée qui ne quitte pas votre réseau — ou reste dans l'UE — est la posture la plus simple à tenir, et souvent la plus prudente pour les secteurs sensibles : santé, juridique, défense, secret des affaires. Les modèles d'IA que l'on héberge soi-même ont fait d'énormes progrès : pour beaucoup d'usages courants, l'écart de qualité avec le cloud s'est nettement resserré.
Le piège du « moins cher »
La géopolitique n'est pas le seul angle mort. Le prix affiché ne dit pas tout non plus. Un modèle facturé moins cher au jeton peut se révéler plus cher à l'usage : certains modèles « raisonnent » longuement avant de répondre et consomment, pour une tâche simple, dix à vingt fois plus de jetons qu'un modèle direct. Le tarif unitaire baisse, la facture grimpe.
S'y ajoute un coût invisible : celui de la mise en conformité. Un fournisseur séduisant sur le papier peut imposer analyses d'impact, clauses sur mesure et suivi juridique — du temps et de l'argent qui effacent l'économie initiale. « Moins cher » se juge sur le coût total : technique et réglementaire.
La grille de décision
Avant d'adopter un fournisseur d'IA ou de cloud pour des données qui comptent, cinq questions valent mieux qu'un comparatif de fonctionnalités :
- Le transfert est-il encadré ? Décision d'adéquation, clauses contractuelles types : existe-t-il un mécanisme légal, ou rien du tout ?
- Quelles garanties contractuelles ? Contrat de sous-traitance (DPA), non-entraînement sur vos données, zéro-rétention, certifications reconnues (ISO 27001, SOC 2).
- Où sont traitées les données — pas seulement stockées ? Un stockage en Europe ne dit rien du lieu où le calcul, donc la lecture, a réellement lieu.
- Quel est le coût réel ? Jetons de raisonnement, montée en charge, dépendance au fournisseur, coût de sortie si vous changez d'avis.
- Une alternative souveraine est-elle possible ? Modèle auto-hébergé, acteur européen, mode local pour les données les plus sensibles.
Ce que ça change pour vous
La bonne nouvelle : cet arbitrage n'oblige pas à renoncer à l'innovation. Il oblige à la documenter. La plupart des organisations peuvent panacher — un fournisseur encadré pour la majorité des usages, une solution locale pour les données sensibles — à condition d'avoir posé les bonnes questions avant, pas après un contrôle.
Chez NetworkIT, nous aidons dirigeants et responsables informatiques à faire ce choix les yeux ouverts : peser la technique, le juridique et le coût réel, puis retenir l'option qui tient — devant vos clients comme devant la CNIL. Parfois c'est le cloud encadré ; souvent, pour ce qui est sensible, c'est le local.
Un doute sur la conformité de vos outils IA ou cloud ? Parlons-en — un point de trente minutes suffit souvent à cartographier vos transferts de données et à sécuriser vos choix.