IA souveraine et résidence des données en Union européenne

Trois facteurs convergent. L'invalidation du Privacy Shield par la CJUE en 2020 (arrêt Schrems II) a rappelé que les transferts de données vers les États-Unis ne sont pas neutres juridiquement [1]. Le Cloud Act américain de 2018 oblige les fournisseurs sous juridiction américaine à divulguer des données stockées hors des États-Unis sur demande des autorités américaines.

Le Règlement européen sur l'IA introduit en 2024 des obligations de gouvernance des données et de transparence sur la chaîne d'approvisionnement IA [2]. La conjonction de ces trois éléments oblige les directions juridiques à revoir les contrats existants et les nouveaux choix de fournisseurs.

Quatre niveaux à vérifier. Premièrement, le stockage : les données traitées et générées résident-elles physiquement en Union européenne ? Deuxièmement, le traitement : les serveurs qui exécutent le modèle sont-ils en UE ? Troisièmement, la maintenance : les administrateurs qui ont un accès technique sont-ils soumis au droit européen ? Quatrièmement, les sauvegardes et journaux : sont-ils également hébergés en UE [3] ?

Une réponse positive aux quatre niveaux constitue une résidence effective. Une réponse partielle (par exemple stockage en UE mais administration depuis les États-Unis) crée une exposition au Cloud Act qui doit être documentée et acceptée explicitement par la fonction conformité.

Trois familles. Les hyperscalers américains avec offres dites souveraines (Microsoft Azure EU Data Boundary, AWS European Sovereign Cloud, Google Cloud Sovereign Controls) qui réduisent l'exposition mais ne l'éliminent pas tant que la maison mère reste sous juridiction américaine. Les fournisseurs européens d'infrastructure (OVHcloud, Scaleway, T-Systems, IONOS) qui offrent des garanties juridictionnelles claires.

Les acteurs spécialisés IA souveraine (Mistral en France, Aleph Alpha en Allemagne) qui combinent modèle, hébergement et juridiction européens. Le bon choix dépend du niveau de sensibilité des données et du périmètre de risque acceptable. Pour les secteurs régulés (banque, santé, défense), la deuxième et troisième famille deviennent souvent obligatoires.

Le modèle est une chose, son hébergement en est une autre. Un modèle américain peut être déployé sur une infrastructure européenne, et inversement. La question pertinente est : qui exploite le service au quotidien et où ?

Les déploiements Impetora distinguent systématiquement la couche modèle (interchangeable) et la couche infrastructure (à juridiction maîtrisée). Cette séparation permet de changer de modèle sans changer d'hébergeur, ou inversement, et constitue la meilleure protection contre un changement unilatéral des conditions par le fournisseur. La résidence des données et des journaux d'exécution reste en UE quel que soit le modèle retenu [4].

Six clauses non négociables pour un système exposé à des données personnelles ou à un secret métier. Localisation des données et engagement de non-transfert. Engagement de notification immédiate en cas de demande extra-territoriale. Droit d'audit ou rapport SOC 2 Type II ou ISAE 3402 récent. Clause de portabilité avec délai et format d'export documentés. Plan de continuité en cas d'arrêt du service. Sous-traitants déclarés nommément et soumis aux mêmes obligations [3].

Sans ces six clauses, l'analyse d'impact sur la protection des données ne peut conclure favorablement, et la fonction conformité doit refuser le déploiement. Les directives de la CNIL sur les transferts internationaux fournissent un cadre opérationnel pour cette vérification [5].