Conformité IA en Europe : où envoyer vos données sans risque

Toutes les plateformes d'IA générative ne se valent pas au regard du droit européen. Certaines hébergent vos données dans l'Union et les excluent de l'entraînement par défaut ; d'autres les envoient aux États-Unis, où le CLOUD Act peut les atteindre même quand elles sont stockées sur un serveur européen. Depuis le 2 août 2025, l'AI Act impose des obligations aux fournisseurs de modèles, et le RGPD encadre toujours chaque transfert. Voici où vos données transitent réellement, et comment garder la main dessus.

La question à se poser avant tout prompt. Où part cette donnée, qui peut la lire, et sert-elle à entraîner un modèle ? Trois réponses claires suffisent à trancher si une plateforme est acceptable pour un dossier sensible.

---

L'AI Act et le RGPD, ce que les règles imposent vraiment

L'AI Act, c'est le Règlement (UE) 2024/1689, entré en vigueur le 1er août 2024. Son application est progressive : les pratiques interdites sont bannies depuis le 2 février 2025, les obligations pour les modèles d'IA à usage général (les fournisseurs comme OpenAI, Google, Anthropic ou Mistral) s'appliquent depuis le 2 août 2025, et les pouvoirs de sanction de la Commission, amendes comprises, entrent en jeu le 2 août 2026. Les modèles mis sur le marché avant août 2025 ont jusqu'au 2 août 2027 pour se mettre en règle.

L'AI Act ne remplace pas le RGPD, il s'y ajoute. Le RGPD reste la règle de fond dès qu'une donnée personnelle est en jeu : tout transfert hors de l'Union européenne exige une base légale et des garanties, comme une décision d'adéquation ou des clauses contractuelles types. Concrètement, envoyer un document nominatif dans un outil qui le traite aux États-Unis sans encadrement, c'est déjà un risque de non-conformité.

Pour une lecture de première main, le texte officiel de l'AI Act détaille chaque obligation et chaque échéance.

API ou local, deux manières d'exposer vos données (ou pas)

Il existe deux grandes façons d'utiliser un modèle, et elles n'ont pas du tout le même profil de risque.

La première, l'API (ou l'usage web classique), envoie votre requête et vos fichiers aux serveurs du fournisseur, souvent hébergés aux États-Unis, où le traitement a lieu. C'est pratique, puissant, sans matériel à gérer. Mais la donnée quitte votre infrastructure, ne serait-ce qu'un instant.

La seconde, le local, fait tourner le modèle sur votre propre machine. C'est là qu'intervient ComfyUI, c'est-à-dire un environnement de création visuelle en nœuds que l'on installe chez soi, sur lequel on relie les étapes d'un traitement d'image ou de vidéo. Des modèles ouverts comme Flux (Black Forest Labs), Stable Diffusion ou les modèles open-weight de Mistral s'y exécutent sans jamais rien transmettre à l'extérieur.

Le seul cas où la donnée ne bouge pas. Un modèle qui tourne en local ne transmet rien : aucune requête ne sort, aucun log n'est conservé ailleurs que chez vous. C'est la seule garantie absolue de confidentialité.

Ce choix structure tout le reste. Pour un brouillon anodin, l'API suffit largement. Pour un contrat, un dossier médical ou un document classifié, le local reste la voie la plus sûre.

---

Ce que disent réellement les conditions générales

Nous avons épluché les politiques de traitement des plateformes les plus utilisées. Le tableau ci-dessous résume l'essentiel : où la donnée est hébergée, si elle sert à entraîner les modèles, et de quelle juridiction dépend le fournisseur.

Plateforme	Hébergement possible en UE	Entraînement sur vos données	Juridiction
ChatGPT / API (OpenAI)	Oui, résidence UE et rétention zéro sur l'API	Non sur l'API et les offres Enterprise	États-Unis
Claude (Anthropic)	Rétention zéro possible, logs API 7 j	Non par défaut sur les offres commerciales	États-Unis
Gemini / Google AI Studio	Oui, régions Google Cloud européennes	Selon l'offre et les paramètres	États-Unis
Mistral (Le Chat, API)	Oui, hébergement UE par défaut	Non sur les plans payants	Union européenne (France)
Midjourney, Suno, Udio	Non, hébergement États-Unis	Souvent oui sur les offres grand public	États-Unis
Modèles locaux (Flux, SD, Mistral open-weight sur ComfyUI)	Sur votre machine	Jamais	La vôtre

Quelques précisions valent d'être posées noir sur blanc. OpenAI propose depuis 2025 une résidence des données en Europe pour ses offres Enterprise et son API, avec une option de rétention zéro et, depuis janvier 2026, une inférence exécutée en région européenne. Anthropic n'utilise pas les données des offres commerciales pour entraîner Claude et propose une rétention zéro sur l'API. Mistral héberge les données dans l'Union européenne par défaut et exclut de l'entraînement les plans payants.

L'angle mort : le CLOUD Act et la juridiction américaine

Voici le point que beaucoup d'organisations manquent. Choisir une résidence des données en Europe chez un fournisseur américain protège du transfert technique, mais pas de la juridiction. OpenAI, Anthropic et Google restent des sociétés de droit américain, donc soumises au CLOUD Act : une autorité des États-Unis peut, sous conditions, exiger l'accès à des données détenues par ces entreprises, où qu'elles soient stockées.

Seuls deux profils échappent à cette portée : les fournisseurs dont le siège est dans l'Union, comme Mistral, et l'auto-hébergement pur, où plus aucun tiers n'entre en jeu. Pour une donnée réellement sensible, c'est cette distinction, et non la seule localisation du serveur, qui doit guider le choix.

---

Le cas d'une institution européenne

Nous avons travaillé pour une institution européenne, dans un cadre où la confidentialité des données citoyennes n'était pas négociable. La question posée était simple : quelles plateformes, quels modèles, sans jamais exposer un document sensible ?

La réponse tient en trois couches. Pour tout ce qui touche à l'image et à la vidéo confidentielles, une chaîne locale sous ComfyUI avec Flux ou Stable Diffusion : rien ne sort de l'infrastructure. Pour le texte de travail courant, un fournisseur européen comme Mistral, hébergé dans l'Union et hors du CLOUD Act, ou un acteur américain configuré en résidence UE avec rétention zéro et un accord de traitement des données signé. Et une règle non négociable : aucun document confidentiel dans un outil grand public gratuit, où la donnée peut nourrir l'entraînement. Pour aller plus loin sur l'usage sûr de Claude, notre masterclass Claude détaille ces réglages.

Ce que nous en retenons chez AB-Arts

La sécurité des données n'est pas une case à cocher en fin de projet, c'est le point de départ. Avant de choisir un modèle, nous cartographions les flux : quelle donnée, vers où, sous quelle juridiction. C'est souvent ce diagnostic qui révèle qu'un outil pratique était en réalité un risque juridique.

Si vous manipulez des données sensibles et que vous voulez y voir clair, notre audit de conformité IA part exactement de là, et notre accompagnement sur l'intégration de workflows IA permet de monter une chaîne locale quand la confidentialité l'impose. La bonne plateforme existe presque toujours ; encore faut-il la choisir en connaissance de cause. Parlons de votre cas.