Chaque semaine, des dirigeants de TPE et de PME nous posent la même question, souvent en fin de rendez-vous, presque gênés : "Mais nos données, elles partent où exactement ?" C'est la bonne question. C'est même celle que trop de prestataires esquivent avec des formules du type "on respecte le RGPD" ou "nos serveurs sont en Europe" sans jamais aller plus loin. Cet article répond concrètement : le trajet réel d'un message, ce qu'il faut exiger par écrit, et ce qui ne doit jamais transiter par un agent IA, quelles que soient les garanties annoncées. On laisse de côté l'AI Act et ses obligations réglementaires spécifiques (on les traite dans un article dédié) : on se concentre ici sur la sécurité et la confidentialité des données, deux sujets distincts.
Le trajet réel d'un message : de votre client au modèle, et retour
Quand un de vos clients tape un message dans un chatbot ou qu'un agent IA traite une demande entrante, voilà ce qui se passe techniquement, en langage humain.
Étape 1 : la collecte et la mise en forme
Le message brut (texte, parfois un fichier joint) est capté par une couche applicative : votre site web, votre CRM, un outil de messagerie. Ce premier maillon appartient souvent à votre prestataire ou à vous directement. C'est ici que vous avez le plus de contrôle.
Étape 2 : l'envoi au modèle de langage
Ce message est ensuite transmis, sous forme de requête, à un modèle de langage (GPT-4o d'OpenAI, Claude d'Anthropic, Mistral, Gemini de Google, etc.). Cette requête transite sur Internet, chiffrée en HTTPS, vers les serveurs du fournisseur du modèle. C'est à ce moment précis que vos données quittent votre périmètre. Le modèle les lit, génère une réponse, et cette réponse remonte vers votre application.
Étape 3 : la rétention ou non par le fournisseur
C'est là que les pratiques divergent radicalement selon les fournisseurs et les contrats. Certains conservent les requêtes pour améliorer leurs modèles par défaut ; d'autres ne les stockent pas du tout si vous avez signé un accord spécifique (un DPA, Data Processing Agreement). Sans ce document signé, vous ne savez pas ce qu'il advient de vos données après la réponse.
Étape 4 : les sous-traitants en cascade
Le fournisseur du modèle lui-même s'appuie sur des infrastructures cloud (AWS, Azure, Google Cloud) hébergées dans des régions qu'il définit. Un fournisseur européen peut très bien sous-traiter son calcul à des serveurs situés hors UE. La chaîne de sous-traitance peut comporter trois ou quatre maillons avant que la donnée soit réellement traitée.
API versus entraînement : la distinction que presque personne ne fait
C'est probablement l'incompréhension la plus fréquente, et elle change tout à votre niveau de risque.
Utiliser un modèle via API : vos données "passent" mais ne restent pas (en principe)
Quand vous branchez un agent IA via une API (comme l'API d'OpenAI ou de Mistral), vos données sont traitées en transit pour produire une réponse. Avec un DPA en bonne et due forme, le fournisseur s'engage à ne pas utiliser vos requêtes pour réentraîner son modèle. Vos données passent, la réponse revient, et rien n'est (contractuellement) conservé au-delà d'une fenêtre courte définie dans le contrat (souvent 30 jours pour les logs, parfois zéro).
C'est le fonctionnement de la grande majorité des agents IA déployés pour les TPE/PME aujourd'hui. C'est gérable, à condition que le DPA soit signé et que l'hébergement soit européen (ou couvert par des clauses contractuelles types approuvées par la CNIL).
Entraîner un modèle sur vos données : une toute autre histoire
Certains prestataires proposent de "personnaliser" ou "entraîner" un modèle sur vos documents internes, vos historiques clients, vos emails. Là, vos données ne font plus que passer : elles sont ingérées et intégrées durablement dans les paramètres du modèle. Cela pose des questions radicalement différentes : qui possède ce modèle fine-tuné ? Où est-il stocké ? Que se passe-t-il si vous changez de prestataire ? Vos données peuvent-elles être "désapprisses" si un client en fait la demande (droit à l'effacement, article 17 du RGPD) ?
Ce n'est pas qu'on déconseille cette approche : elle peut être très pertinente pour un document de base de connaissances interne, par exemple. Mais les garde-fous juridiques et techniques sont nettement plus exigeants, et peu de prestataires vous expliquent spontanément cette différence.
| Critère | Appel API (usage courant) | Fine-tuning / entraînement sur vos données |
|---|---|---|
| Durée de rétention | Transit court (0 à 30 jours selon DPA) | Intégration durable dans le modèle |
| Risque RGPD | Modéré si DPA signé et hébergement EU | Élevé sans architecture dédiée et contrat solide |
| Droit à l'effacement | Plus simple à honorer | Techniquement très complexe |
| Propriété du modèle | Vous utilisez un modèle tiers, vous ne le possédez pas | À clarifier absolument dans le contrat |
| Portabilité si changement de prestataire | Aisée : vous rebranchez votre application sur un autre modèle | Difficile voire impossible sans remise du modèle |
Hébergement, région européenne et sous-traitants : ce qu'il faut exiger par écrit
"Nos serveurs sont en Europe" est une phrase qui ne veut presque rien dire sans précisions. Voici ce qu'elle doit recouvrir concrètement.
La région de traitement, pas seulement de stockage
Une donnée peut être stockée en Irlande mais traitée (inférée) sur des GPU situés aux États-Unis. Ce sont deux choses distinctes. Ce qui compte pour le RGPD, c'est la région de traitement, pas seulement celle de stockage. Exigez que le contrat précise les deux.
Les clauses contractuelles types (CCT)
Si des données personnelles transitent vers un pays hors UE/EEE (États-Unis notamment), le RGPD exige que ce transfert soit encadré. Le mécanisme le plus courant aujourd'hui sont les CCT approuvées par la Commission européenne. Un prestataire sérieux doit pouvoir vous montrer qu'il les a signées avec ses propres sous-traitants. Si la réponse est "on a une politique de confidentialité", c'est insuffisant.
Les sous-traitants ultérieurs
Votre prestataire doit vous fournir la liste de ses sous-traitants qui touchent vos données (au sens de l'article 28 du RGPD). Un prestataire français qui utilise Mistral hébergé sur OVHcloud (infrastructure 100 % française) n'a pas le même profil de risque qu'un prestataire qui passe par OpenAI sur Azure US East. Les deux peuvent être conformes, mais les mécanismes contractuels sont différents.
OVHcloud et Scaleway, pour citer deux acteurs français concrets, proposent des hébergements certifiés HDS (données de santé) et offrent des contrats de sous-traitance RGPD standardisés. Ce sont des options à mentionner dans vos discussions avec votre prestataire.
Le registre des traitements : votre obligation, pas celle du prestataire
Attention à un point souvent oublié : en tant que responsable de traitement, c'est vous qui devez documenter l'utilisation d'un agent IA dans votre registre des activités de traitement (article 30 du RGPD). Votre prestataire vous fournit les informations techniques ; vous les intégrez dans votre documentation. Si vous n'avez pas de registre, c'est le premier chantier à ouvrir, avant même de parler d'IA.
Vous hésitez encore sur le choix de votre prestataire ? Avant de signer quoi que ce soit, lisez notre article sur les 9 questions à poser avant de signer avec une agence IA : elles couvrent exactement ce type de points contractuels.
Les quatre questions à poser à tout prestataire (avec les réponses acceptables)
Voici un filtre pratique que vous pouvez utiliser dès votre premier échange avec n'importe quel prestataire qui vous propose un agent IA. Si les réponses restent vagues sur l'un de ces points, c'est un signal d'alerte.
1. "Avez-vous signé un DPA avec votre fournisseur de modèle ?"
Réponse acceptable : "Oui, voici le lien vers le DPA d'OpenAI/Mistral/Anthropic que nous avons accepté, et nous vous proposons également un DPA en tant que sous-traitant vis-à-vis de vous." Toute réponse qui parle de "conformité RGPD" sans mentionner de document signé est insuffisante.
2. "Dans quelle région géographique mes données sont-elles traitées ?"
Réponse acceptable : Une région précise ("UE uniquement", "France", "Irlande") avec mention du ou des datacenters concernés, et confirmation que le traitement (inférence GPU) se fait dans cette même région. "En Europe" sans précision est trop vague.
3. "Mes données servent-elles à réentraîner le modèle ?"
Réponse acceptable : "Non, le DPA que vous acceptez exclut explicitement l'utilisation de vos données pour l'entraînement du modèle de base." Si la réponse est "pas par défaut mais vous pouvez activer l'option", assurez-vous que cette option est désactivée et documentée.
4. "Que se passe-t-il si vous cessez votre activité ou changez de fournisseur ?"
Réponse acceptable : "Vous recevez le code source de l'intégration, la documentation, et vos données vous appartiennent intégralement. Vous pouvez rebrancher l'agent sur un autre modèle sans dépendre de nous." Si la réponse implique un abonnement à une plateforme propriétaire sans sortie possible, vous créez une dépendance forte à la survie d'un fournisseur tiers. Pour aller plus loin sur ce sujet, notre article sur les red flags des vendeurs de vent en IA détaille exactement ce type de piège.
Vous voulez faire vérifier un devis ou une proposition technique reçue ? Réservez un échange de 15 min avec Sparkana : on regarde ça ensemble, sans engagement.
Ce qui ne doit jamais transiter par un agent IA grand public
Certaines catégories de données ne doivent pas passer par un agent IA branché sur un modèle tiers, même avec un DPA, même avec un hébergement européen. Ce n'est pas une position extrémiste : c'est ce que recommandent la CNIL et le RGPD (article 9 pour les données sensibles).
Les données de santé
Toute donnée qui révèle l'état de santé d'une personne physique est une donnée de catégorie spéciale au sens du RGPD. Son traitement est interdit par défaut, sauf exceptions strictes et, en France, certification HDS obligatoire pour l'hébergement. Un agent IA généraliste branché sur GPT-4o ou Claude n'est pas HDS. Point.
Les coordonnées bancaires et données de paiement
Les numéros de carte, IBAN complets, CVV et autres éléments de paiement relèvent de la norme PCI-DSS, distincte du RGPD. Un agent IA n'a aucune raison légitime de traiter ces données : les flux de paiement passent par des passerelles dédiées (Stripe, Qonto, etc.) qui sont certifiées pour ça. Si votre agent IA reçoit ou "lit" des numéros de carte dans des messages, c'est une faille de conception, pas un choix d'architecture.
Les pièces d'identité et données biométriques
Copie de carte d'identité, passeport, données biométriques : catégorie spéciale RGPD (article 9), traitement interdit sauf consentement explicite et base légale solide. Un agent de chat ou un workflow automatisé ne constitue pas une base légale suffisante pour collecter et traiter ces données via un modèle tiers.
Les données couvertes par le secret professionnel
Pour les avocats, experts-comptables, médecins, notaires : les données échangées avec vos clients sont couvertes par des obligations déontologiques qui vont au-delà du RGPD. Faire passer des informations confidentielles par un modèle de langage tiers peut constituer une violation de ce secret, indépendamment de toute conformité RGPD. Ce point mérite un avis juridique spécifique à votre profession avant tout déploiement.
Ce qui peut transiter sans problème majeur (avec DPA)
En pratique, la grande majorité des cas d'usage TPE/PME implique des données bien moins sensibles : questions de prospects, demandes de devis, suivi de commande, FAQ produit, qualification de leads. Ces flux, traités via API avec DPA signé et hébergement européen, présentent un niveau de risque tout à fait gérable pour la plupart des structures.
FAQ : vos questions sur les données et les agents IA
Mon agent IA est-il obligatoirement concerné par le RGPD ?
Oui, dès lors qu'il traite des données de personnes physiques (noms, emails, messages, comportements). Même un chatbot de FAQ qui log des conversations est concerné. La question n'est pas "est-ce que le RGPD s'applique ?" mais "est-ce que mon traitement est correctement documenté et encadré ?"
Quelle est la différence entre un DPA et une politique de confidentialité ?
La politique de confidentialité est un document public qui informe vos utilisateurs finaux. Le DPA (Data Processing Agreement, ou accord de sous-traitance) est un contrat B2B signé entre vous (responsable de traitement) et votre prestataire (sous-traitant). Le RGPD impose ce contrat écrit à l'article 28. Sans DPA, votre prestataire peut techniquement faire ce qu'il veut de vos données.
Mistral AI est français : est-ce que ça suffit à être conforme ?
La nationalité du fournisseur est un bon signe, pas une garantie. Ce qui compte, c'est : où est hébergée l'inférence (le traitement réel des données), quels sous-traitants sont impliqués, et quel contrat encadre le tout. Mistral AI propose une offre "La Plateforme" avec hébergement en France et DPA disponible, ce qui est une base sérieuse. Mais vous devez vérifier ces points dans le contrat concret que vous signez, pas juste au niveau de la marque.
Un agent IA hébergé sur mes propres serveurs résout-il tous les problèmes ?
Il résout la question du transfert vers un tiers (vos données ne quittent pas votre infrastructure). Ça ne résout pas tout : vous restez responsable de la sécurité de vos serveurs, des accès, de la traçabilité. Et les modèles capables de tourner sur une infrastructure TPE/PME standard (Ollama avec Mistral 7B, par exemple) sont moins performants que les grands modèles cloud. C'est un compromis à évaluer selon vos données et vos usages.
Que se passe-t-il si mon prestataire IA fait faillite ?
Si votre agent IA repose sur une plateforme SaaS propriétaire sans remise de code source, vous perdez l'outil du jour au lendemain. Si vous avez le code source de l'intégration et que votre agent passe par une API standard (OpenAI, Mistral, Anthropic), vous pouvez rebrancher sur un autre fournisseur en quelques jours. C'est une des raisons pour lesquelles chez Sparkana, la remise du code source est systématique.
Dois-je informer mes clients que j'utilise un agent IA ?
Oui, dans la plupart des cas. Le RGPD impose une transparence sur les traitements automatisés (article 13 et 14). Si votre agent prend des décisions qui affectent vos clients ou traite des données personnelles, vos mentions légales et votre politique de confidentialité doivent le mentionner. Si l'agent interagit directement avec des personnes, la bonne pratique (et dans certains cas l'obligation) est de l'indiquer clairement dans l'interface.
Le coût d'une architecture IA conforme est-il rédhibitoire pour une TPE ?
Non, à condition de ne pas sur-dimensionner. Un agent IA branché via API Mistral avec DPA, hébergé sur OVHcloud, avec un contrat de sous-traitance en bonne et due forme, peut être déployé dans un budget tout à fait accessible. Le surcoût de conformité par rapport à une solution sans DPA est surtout contractuel et documentaire : quelques heures de travail, pas un budget de DSI. Pour voir à quoi ressemblent les fourchettes de prix, notre article sur le coût d'un agent IA pour une PME en 2026 donne des ordres de grandeur concrets.
Par où commencer : trois actions concrètes
Si vous avez déjà un agent IA en production, commencez par vérifier que vous avez un DPA signé avec votre prestataire et avec le fournisseur du modèle utilisé. Si ce document n'existe pas, c'est la première urgence.
Si vous évaluez une solution, posez les quatre questions listées plus haut dès le premier entretien. Les réponses vous diront beaucoup sur le sérieux du prestataire, avant même de regarder la démo produit.
Si vous partez de zéro, documentez d'abord vos données : lesquelles transitent déjà dans vos outils numériques, lesquelles sont sensibles, lesquelles pourraient alimenter un agent IA de façon utile et sécurisée. Ce travail de cartographie prend quelques heures et vous évite des semaines de corrections après déploiement.
Notre approche chez Sparkana
Chez Sparkana, chaque déploiement d'agent IA inclut systématiquement : la sélection du fournisseur de modèle en fonction de vos contraintes de données, la vérification et la mise en place du DPA avec ce fournisseur, et la remise complète du code source à la livraison. Vous n'êtes pas lié à notre survie en tant qu'agence ni à un abonnement plateforme propriétaire. Pour un setup simple (automatisation de 1 à 2 tâches avec agent IA), nos tarifs vont de 800 à 2 500 € HT, livré en 3 à 7 jours. Pour une stack multi-outils complète avec intégrations CRM, site et workflows, comptez de 3 000 à 8 000 € HT, livrée en 2 à 4 semaines. Nous intervenons pour des structures de toutes tailles, de l'artisan solopreneur à la PME de plusieurs dizaines de personnes, en Occitanie et partout en France.
Un premier échange de 15 minutes suffit souvent à identifier ce qui peut se faire, ce qui est risqué, et ce qui n'a pas de sens pour votre activité. Pas de discours commercial : on regarde votre cas concret et on vous dit ce qu'on pense vraiment.