Confier des documents à une IA sans savoir où ils vont : la crainte est légitime. Elle se règle par des choix vérifiables, pas par des promesses. Au programme : trois options pour traiter vos données en toute confidentialité, sept réflexes communs et ce que dit le droit.

La vraie question : où vont vos données, et qui peut y accéder ?

Le lieu du traitement compte autant que celui du stockage. Premier piège : l’outil grand public, utilisé hors contrat. L’ANSSI, l’agence française de cybersécurité, demande de ne jamais y saisir de données sensibles (son guide sur l’IA).

Trois options, leurs forces et leurs limites

Chacune se juge sur cinq critères : lieu du traitement, entraînement, conservation, droit applicable, effort interne. Offres décrites d’après leur documentation, en septembre 2026.

1. Un grand cloud américain, avec une région européenne

Exemple : Vertex AI de Google Cloud, rebaptisé Gemini Enterprise Agent Platform en 2026. Un service américain, qui peut traiter les données en Europe.

• Pour : rien à installer, un large choix de modèles. Google s’engage à ne pas entraîner ses modèles sur vos données sans votre autorisation. Selon lui, un point d’accès situé dans l’UE (Royaume-Uni exclu), appelé explicitement, y garde le traitement, mais seulement pour les modèles et fonctions qu’il liste comme couverts.
• Points d’attention : second piège, le point d’accès « global » (l’adresse qui reçoit les requêtes) peut traiter une requête partout dans le monde, sans garantie de résidence. La « zéro conservation » demande des démarches : des requêtes jugées suspectes peuvent être journalisées jusqu’à 90 jours, sauf exemption, et certaines fonctions ont leurs propres durées. Et le droit américain suit le fournisseur : dans une procédure américaine, le CLOUD Act vise les données qu’il détient ou contrôle, aux États-Unis ou en dehors.

2. Un fournisseur européen

• Pour : un fournisseur soumis au droit européen. Selon Scaleway, ses modèles partagés sont hébergés à Paris et, par défaut, les requêtes ne sont pas conservées, sauf erreur ou abus. Selon OVHcloud, les données d’AI Endpoints ne sont « jamais utilisées pour entraîner » de modèles, et ceux-ci peuvent être « déployés sur votre propre infrastructure » : une porte de sortie.
• Points d’attention : européen ne veut pas dire que rien ne sort d’Europe. Selon la fonction, Mistral AI peut transférer temporairement des données hors de l’UE vers des sous-traitants listés, et les échanges de son assistant grand public servent par défaut à l’entraînement, sauf refus. La page d’AI Endpoints ne dit pas où les requêtes sont traitées : demandez-le par écrit.

3. L’IA sur vos propres serveurs

Des modèles dits « à poids ouverts » s’installent chez vous. Lisez leur licence : la politique d’usage de Llama 4 exclut de ses modèles multimodaux les entreprises établies à titre principal dans l’UE.

• Pour : les données n’ont pas à quitter vos locaux, si ni le serveur ni ses outils n’appellent l’extérieur, et aucun fournisseur ne peut les réutiliser. Pour des données sensibles, la CNIL, autorité française, juge l’installation sur site généralement plus sûre, mais coûteuse.
• Points d’attention : il faut du matériel, environ 2 Go de mémoire graphique par milliard de paramètres en 16 bits, davantage pour de longs documents. Et un serveur local n’est pas sûr par nature : l’ANSSI recommande notamment cloisonnement, formats de modèles sûrs, accès d’administration maîtrisés, filtrage des entrées et sorties. Ajoutez mises à jour, surveillance et quelqu’un pour l’exploiter.

Sept réflexes de confidentialité, quelle que soit l’option

• N’envoyer que le nécessaire. Pseudonymiser n’est pas anonymiser : les données restent personnelles.
• Exiger par écrit que vos données n’entraînent aucun modèle, puis vérifier le réglage de chaque outil.
• Signer un contrat de sous-traitance : instructions documentées, sécurité, sous-traitants ultérieurs autorisés, suppression ou restitution des données en fin de contrat, audits (règlement général sur la protection des données ou RGPD, article 28). Et prévoir la sortie : récupérer vos données, changer de modèle.
• Appliquer les droits d’accès à l’IA. Un assistant branché sur vos documents ne doit montrer à chacun que ce qu’il a le droit d’ouvrir. Et n’entraînez pas un modèle sur des documents réservés : selon l’ANSSI, on ne peut plus ensuite en restreindre l’accès. Sur notre plateforme d’archivage, un profil de consultation ne peut pas déclencher les propositions de l’IA.
• Garder une trace des échanges, et la protéger. L’ANSSI recommande de consigner requêtes et réponses, qui peuvent contenir des données sensibles.
• Fixer des durées de conservation selon la finalité, traces comprises. Sur l’une de nos plateformes, les fichiers d’une demande abandonnée, jamais soumise, sont supprimés une semaine après l’expiration de la session.
• Garder un humain qui valide, et un mode de secours sans IA. Sur nos plateformes, une personne habilitée tranche l’issue d’un dossier comme l’étagère d’un original (notre article dédié) ; sur l’une d’elles, un réglage réversible désactive l’IA.

Ce que disent le droit européen et le droit ivoirien

Des repères, pas un avis juridique : à valider avec votre délégué à la protection des données (DPO) ou votre juriste.

Union européenne et Luxembourg

• Le RGPD impose minimisation, conservation limitée et confidentialité (article 5).
• Le règlement sur l’IA s’applique pour l’essentiel depuis le 2 août 2026, et depuis le 2 février 2025 pour la maîtrise de l’IA par le personnel ; les règles sur le haut risque sont reportées au 2 décembre 2027 ou au 2 août 2028 selon les cas. Au Luxembourg, un projet de loi confierait un rôle central à la CNPD, l’autorité luxembourgeoise.

Côte d’Ivoire

• La loi n° 2013-450 pose des principes proches, exige des sous-traitants des « garanties suffisantes » et tient pour « pays tiers » tout État hors de la CEDEAO (Afrique de l’Ouest), Europe comprise.
• Un transfert vers un pays tiers suppose une protection au moins équivalente et l’autorisation préalable de l’ARTCI, l’autorité ivoirienne compétente. Pour un organisme soumis à cette loi, confier des données personnelles à une IA hébergée en Europe ou aux États-Unis suppose donc en principe cette autorisation, contrairement à un hébergement dans la CEDEAO. À valider avec votre juriste ou l’ARTCI.

Par où commencer

• Recenser les outils d’IA déjà utilisés (compte grand public ou professionnel, réglage d’entraînement), proposer une solution encadrée, fixer une règle d’usage et former.
• Classer vos données (publiques, internes, sensibles) et repérer les données personnelles : elles appellent contrat, analyse d’impact éventuelle (article 35 du RGPD) et, en Côte d’Ivoire, autorisation de transfert.
• Associer une option à chaque niveau, en exigeant d’autant plus de garanties vérifiées que la donnée est sensible.
• Tester avant d’adopter, hors du service réel, sur des documents dont la bonne réponse est connue. D’abord des documents fictifs ou publics ; les vrais, seulement en local ou une fois contrat et réglages vérifiés.

Un projet d’IA sur des données sensibles ? Contactez-nous pour en parler.