Ce que dit le RGPD sur l'endroit où tourne un chatbot
Le RGPD ne contient aucune obligation d'héberger des serveurs dans l'Union. Il encadre autre chose : les transferts de données à caractère personnel vers des pays tiers, c'est-à-dire des pays où il ne s'applique pas. Selon l'article 44, un tel transfert n'est possible que si le responsable du traitement et le sous-traitant respectent les conditions du chapitre V, y compris pour les transferts ultérieurs. Pour un chatbot IA, chaque étape où une question, un historique de conversation ou un extrait de vos sources atteint un pays tiers compte donc. Chacune doit reposer sur l'une de ces trois bases :
| Base | Ce qu'elle signifie | Ce que vous devez faire |
|---|---|---|
| Décision d'adéquation (art. 45) | La Commission a constaté que le pays tiers assure un niveau de protection adéquat. Aucune autorisation spécifique n'est nécessaire. | Vérifier que le destinataire est couvert et, selon le Comité européen de la protection des données (CEPD), que la décision est toujours valable. |
| Garanties appropriées (art. 46), par exemple les clauses contractuelles types (CCT) | Des clauses sur le modèle de la Commission (décision d'exécution (UE) 2021/914), avec des droits opposables et des voies de droit effectives pour les personnes concernées | Évaluer et documenter la législation du pays tiers (analyse d'impact des transferts de données, AITD) et ajouter des mesures supplémentaires si nécessaire. |
| Dérogations (art. 49) | Par exemple le consentement explicite de la personne, après avoir été informée des risques | Selon la CNIL, mobilisables seulement dans des situations particulières ; selon le CEPD, elles ne peuvent pas devenir « la règle ». Un chat qui transfère chaque jour les questions de nombreux visiteurs peut difficilement s'y appuyer. |
Depuis l'arrêt Schrems II (CJUE, C-311/18, 16 juillet 2020), un contrat type signé ne suffit pas dans tous les cas. Les CCT peuvent nécessiter des mesures supplémentaires selon la situation du pays tiers (point 133) ; à défaut, le transfert doit être suspendu ou arrêté (point 135). Le CEPD décrit la démarche en six étapes dans ses recommandations 01/2020 (version 2.0 du 18 juin 2021), de « connaître les transferts » à la « réévaluation à intervalles appropriés ». La clause 14 des CCT impose de documenter cette évaluation et de la mettre à la disposition de l'autorité de contrôle si elle le demande. Pour les États-Unis, l'exercice est plus simple : selon la Commission, les garanties américaines en matière de sécurité nationale s'appliquent à tous les transferts vers des entreprises américaines, quel que soit l'outil, et la CNIL indique que l'exportateur peut s'appuyer sur l'analyse du droit américain faite par la Commission, en vérifiant si l'importateur est soumis à des lois propres à des secteurs que la décision ne couvre pas.
Quel que soit le lieu d'hébergement, l'article 28 s'applique à tout fournisseur qui traite les conversations pour votre compte. Il doit présenter des garanties suffisantes et signer avec vous un contrat de sous-traitance (souvent appelé DPA) dont l'article 28, paragraphe 3, fixe le contenu minimal. Il ne peut recruter un autre sous-traitant qu'avec votre autorisation écrite préalable ; si cette autorisation est générale, il vous informe de tout changement pour que vous puissiez émettre des objections (paragraphe 2).
Note. Au 25 octobre 2026, la décision d'adéquation sur le cadre de protection des données UE-États-Unis (décision d'exécution (UE) 2023/1795 du 10 juillet 2023) est en vigueur. Elle ne couvre que les organisations américaines inscrites sur la « liste du cadre de protection des données » tenue par le ministère du commerce des États-Unis (article premier). Le Tribunal de l'Union européenne a rejeté le recours de Philippe Latombe le 3 septembre 2025 (T-553/23), en appréciant la situation à la date d'adoption de la décision. M. Latombe a formé un pourvoi le 31 octobre 2025 ; la Cour de justice présente l'affaire C-703/25 P comme « en cours », sans arrêt à ce jour. Dans son rapport du 9 octobre 2024 sur le premier examen périodique, la Commission a prévu le suivant après trois ans.
Pourquoi les acheteurs demandent quand même un hébergement dans l'UE
En droit, c'est exact : le RGPD n'impose pas d'hébergement dans l'UE, et des fournisseurs américains le disent clairement. SiteGPT ouvre sa page consacrée au RGPD par la phrase « GDPR does not require EU hosting. » (sitegpt.ai, lu le 25 octobre 2026) et y reconnaît ne proposer aucune résidence des données dans l'UE, en ajoutant que les concurrents qui misent sur l'hébergement européen ont cet avantage. Chatbase conseille, sur sa propre page RGPD, de regarder où les données sont stockées, quels autres services les reçoivent et d'où le personnel peut y accéder (chatbase.co, lu le 25 octobre 2026). Les deux ont raison.
Pourquoi beaucoup d'acheteurs y tiennent malgré tout :
- Moins de choses à documenter. Chaque étape dans un pays tiers doit figurer, avec le pays et la base du transfert, dans votre politique de confidentialité (article 13, paragraphe 1, point f) et dans votre registre des activités de traitement (article 30, paragraphe 1, point e). La CNIL le rappelle aussi pour les transferts fondés sur le DPF : il faut mettre à jour les registres et informer les personnes concernées. Avec des CCT s'ajoute une AITD documentée. Chaque étape qui reste dans l'UE, c'est une ligne de moins.
- Moins d'exposition si un mécanisme tombe. La CJUE a invalidé la sphère de sécurité (Safe Harbor) en 2015, puis le bouclier de protection des données (Privacy Shield) en 2020. Que des CCT ne suffisent pas toujours ensuite, l'autorité irlandaise de protection des données (DPC) l'a montré : le 12 mai 2023, elle a constaté que les CCT et les mesures supplémentaires de Meta Ireland ne répondaient pas aux risques identifiés par la CJUE, lui a infligé une amende de 1,2 milliard d'euros et lui a ordonné de suspendre ses futurs transferts vers les États-Unis. Pour les transferts fondés sur des CCT, la CNIL ajoute que l'exportateur doit tenir compte de toute évolution à venir de la législation américaine.
- Les engagements envers vos propres clients. Si vos clients fixent par contrat où leurs données sont traitées, vous ne pouvez le promettre pour votre chatbot que si vous connaissez chaque étape.
À l'inverse, l'hébergement dans l'UE ne remplace rien. L'Autorité de protection des données (APD) belge le rappelle même pour un pays reconnu adéquat : les principes généraux du RGPD s'appliquent toujours, dont l'information des personnes concernées. Un chatbot hébergé à Francfort a besoin, comme un chatbot hébergé aux États-Unis, d'un contrat de sous-traitance, d'une politique de confidentialité et d'une base légale.
Ce que peut recouvrir « hébergé dans l'UE », couche par couche
Un chatbot est une chaîne de services. Le fournisseur qui écrit « hébergé dans l'UE » parle souvent de la seule première ligne de ce tableau. Passez-les toutes en revue :
| Couche | Ce qui y arrive | Ce qu'il faut demander | Ce qui peut mal tourner |
|---|---|---|---|
| Application | chaque requête du widget et du tableau de bord | Qui exploite les serveurs, dans quelle région ? | La région est fixée, mais les journaux ou les rapports d'erreur partent vers un service à l'étranger. |
| Base de données | conversations, sources, réglages | Région de la base et de ses copies | Une réplique de secours se trouve hors de l'UE. |
| Fichiers | PDF importés, fichiers envoyés par les visiteurs | Lieu de stockage et juridiction | Un stockage « mondial », sans région fixe. |
| Modèle d'IA (inférence) | à chaque réponse, vos instructions, les passages trouvés et la conversation | Quel modèle, chez quel opérateur, dans quelle région ? Une passerelle peut-elle rediriger vers d'autres fournisseurs ? | L'application tourne à Francfort, le modèle est appelé par une API aux États-Unis. |
| Vecteurs de recherche (embeddings) | chaque passage de vos sources et chaque question, en texte | Qui calcule les vecteurs, et où ? | Un service d'embeddings aux États-Unis, absent de toute mention d'hébergement. |
| Base vectorielle | les vecteurs stockés | Service à part ou intégré à la base ? Quelle région ? | Un service vectoriel externe sans région dans l'UE. |
| alertes et rapports, souvent avec ce qu'un visiteur a laissé | Quel service d'envoi, et où traite-t-il les messages ? | Un service d'e-mail américain pour les alertes de prospects. | |
| Statistiques et support | données d'usage, tickets, accès à distance | Quels outils, et d'où le support accède-t-il aux données ? | Selon le CEPD, un accès à distance depuis un pays tiers est en soi un transfert. |
| Sauvegardes | copies, y compris de données supprimées | Où sont-elles, et pour combien de temps ? | Des données supprimées survivent dans des sauvegardes situées dans une autre région. |
| Sous-traitants ultérieurs | tout ce que le fournisseur transmet | Liste complète avec finalité, lieu et base | La liste donne des noms, pas des lieux. |
La checklist : 14 questions à poser à un fournisseur de chatbot
Posez ces questions par écrit, avant de signer. Une bonne réponse nomme le service, le lieu et la base, et figure dans le contrat ou dans une documentation publique que vous pouvez citer.
| N° | Question | Une bonne réponse | Signal d'alerte |
|---|---|---|---|
| 1 | Où tourne chaque couche du tableau ci-dessus ? | Le service et la région de chaque couche, par écrit | « Nos serveurs sont en Europe », et rien d'autre |
| 2 | Qu'est-ce qui quitte l'UE, même avec un hébergement européen, et sur quelle base ? | Des étapes nommées, avec pays et base : le DPF si le destinataire figure, actif, sur la liste et que sa certification couvre ces données ; sinon des CCT avec leur module (2 : vous vers un fournisseur hors de l'UE ; 3 : un fournisseur européen vers son sous-traitant hors de l'UE) et une AITD documentée | « Rien », alors que le modèle ou les embeddings passent par une API américaine |
| 3 | Qui sont les sous-traitants ultérieurs, pour quoi faire, et où ? | Une liste avec nom, finalité, lieu et base ; une information avant tout changement, pour pouvoir émettre des objections (art. 28, par. 2) | La liste n'arrive qu'après la signature, ou ne donne aucun lieu |
| 4 | Pouvez-vous lire le contrat de sous-traitance avant d'acheter ? | Oui, avec les points de l'article 28, paragraphe 3 : instructions documentées, y compris sur les transferts, confidentialité, sécurité, assistance, suppression, audits | « Nos CGV le prévoient », ou un DPA réservé aux grands comptes |
| 5 | Où tourne le modèle d'IA qui rédige les réponses ? | Le modèle, l'opérateur et la région ; si une passerelle peut transmettre les requêtes à d'autres fournisseurs, et vers où | « Hébergé en Europe », alors que le modèle d'un fournisseur américain est appelé par son API, sans base indiquée |
| 6 | Vos contenus ou vos conversations servent-ils à entraîner des modèles, chez le fournisseur ou chez celui du modèle ? | Non, pour les deux, par écrit. Un sous-traitant qui, en violation du RGPD, détermine lui-même les finalités et les moyens est considéré comme responsable de ce traitement (art. 28, par. 10). | « Pour améliorer nos services », sans limite, ou une option de refus à chercher soi-même |
| 7 | Combien de temps le fournisseur du modèle conserve-t-il les requêtes et les réponses ? | Une durée précise, ou aucune conservation (« zero data retention »), engagée par contrat | « Selon nos conditions standard », sans durée |
| 8 | Pouvez-vous choisir la région, et qu'est-ce que cela change ? | Les régions proposées et ce qui tourne dans chacune, modèle et embeddings compris | Le choix ne porte que sur le stockage, le traitement reste ailleurs |
| 9 | Comment se passent les suppressions, sur demande et en fin de contrat ? | La suppression conversation par conversation ; la suppression ou la restitution en fin de contrat, à votre choix (art. 28, par. 3, point g) ; la durée pendant laquelle les sauvegardes gardent les données supprimées | Pas de suppression d'une conversation isolée, ou « nous conservons les données pour améliorer le service » |
| 10 | En combien de temps êtes-vous averti d'une violation de données ? | Une notification « dans les meilleurs délais » (art. 33, par. 2), avec contact et procédure dans le contrat, pour tenir vos 72 heures vis-à-vis de l'autorité | « Conformément à la loi », sans procédure |
| 11 | Quelles preuves et quels droits d'audit avez-vous ? | Des informations et des audits, y compris des inspections (art. 28, par. 3, point h) ; des rapports d'audit sur demande | Audits exclus |
| 12 | Quelles certifications, et que couvrent-elles ? | Nom, périmètre et date, et ce qu'elles ne couvrent pas. Même une certification au titre de l'article 42 ne diminue pas la responsabilité (par. 4). | Une certification en guise de réponse sur le lieu de traitement, ou « certifié RGPD » sans dire selon quel mécanisme |
| 13 | D'où le support accède-t-il aux données ? | Les pays d'où travaille le support et la manière dont les accès sont journalisés | « Une équipe mondiale », sans lieux : selon le CEPD, l'accès à distance depuis un pays tiers est un transfert |
| 14 | Comment le chatbot affiche-t-il la mention IA prévue à l'article 50 du règlement sur l'IA ? | Une mention dans le chat lui-même, dans la langue du widget, qu'aucun réglage ne retire | Une mention désactivable, ou à ajouter vous-même |
L'article 50, paragraphe 1, du règlement sur l'IA impose aux fournisseurs, au sens du règlement, de concevoir les systèmes d'IA destinés à interagir directement avec des personnes de façon qu'elles soient informées qu'elles interagissent avec un système d'IA, sauf si cela est évident. Des exemples de formulation pour votre assistant IA : mention de transparence d'un chatbot IA ; l'essentiel de l'article 50 : AI Act et chatbot.
Les erreurs fréquentes quand on évalue un fournisseur
- Ne regarder que l'emplacement des serveurs. L'application tourne à Francfort, mais le modèle ou les embeddings passent par une API aux États-Unis. La première étape du CEPD consiste justement à connaître tous les transferts, y compris les transferts ultérieurs vers des sous-traitants.
- Croire que le DPF couvre toute entreprise américaine. Il ne couvre que les organisations inscrites, et actives, sur la liste du ministère du commerce des États-Unis. L'autocertification doit être renouvelée chaque année et couvrir les données en question ; les entreprises radiées restent visibles comme « participants inactifs », et vous ne pouvez pas vous fonder sur le DPF pour elles (CEPD, FAQ pour les entreprises européennes). La CNIL demande aussi de vérifier la fiche de l'entité, filiales comprises.
- Prendre la certification DPF pour un contrat de sous-traitance. Avec un sous-traitant américain, le contrat de l'article 28 reste obligatoire, qu'il soit certifié ou non (CEPD, même FAQ).
- Accepter d'anciennes clauses types. Les clauses de 2001 et de 2010 ont été abrogées avec effet au 27 septembre 2021 ; les contrats fondés sur elles n'étaient réputés offrir des garanties appropriées que jusqu'au 27 décembre 2022 (article 4 de la décision d'exécution (UE) 2021/914).
- Fonder les transferts sur le consentement des visiteurs. L'article 49 prévoit des dérogations pour des situations particulières, pas pour le fonctionnement quotidien d'un chat.
- Confondre AITD et AIPD. La CNIL le souligne : l'analyse d'impact des transferts évalue la législation du pays tiers pour un transfert fondé sur un outil de l'article 46, tandis que l'analyse d'impact relative à la protection des données poursuit d'autres objectifs.
- Oublier l'accès à distance. Un support qui accède aux données depuis un pays tiers réalise un transfert selon le CEPD, même si tous les serveurs sont dans l'UE.
- Oublier sa propre politique de confidentialité. Elle doit nommer les destinataires et chaque transfert vers un pays tiers, avec sa base (article 13, paragraphe 1, points e et f).
Comment ChatterLab répond à la checklist
ChatterLab est exploité par SRI Group BV, à Anvers (Belgique). Pour les conversations de vos visiteurs, vous êtes le responsable du traitement et ChatterLab est votre sous-traitant. Avec une agence, le client est le responsable du traitement, l'agence son sous-traitant, et ChatterLab le sous-traitant de l'agence. Les réponses ci-dessous viennent de notre documentation Données et confidentialité et Sécurité (en anglais), et, pour Cortecs, de sa propre documentation.
| Quoi | Qui | Où |
|---|---|---|
| L'application | Vercel | Francfort, Allemagne |
| Agents, sources et conversations | Neon (Postgres) | Union européenne |
| Fichiers importés, fichiers des visiteurs et logos | Cloudflare R2 | Juridiction de l'UE |
| Rédaction des réponses et vérification qu'elles sont étayées | Cortecs, une passerelle de modèles européenne | En Europe par défaut, selon Cortecs (voir ci-dessous) |
| Conversion du texte en vecteurs de recherche | OpenAI | États-Unis |
| E-mails que nous envoyons : rapports, alertes de prospects et de tickets | Resend | États-Unis, envoyés depuis des serveurs en Irlande |
| Connexion au tableau de bord | Clerk | Vous concerne, vous et votre équipe, pas vos visiteurs |
| Paiements | Stripe | Vous concerne, pas vos visiteurs. Les données de carte ne nous parviennent jamais. |
Le widget sur votre site et le tableau de bord n'utilisent pas Google Analytics. Pour les autres questions :
| Question | Réponse de ChatterLab |
|---|---|
| Ce qui quitte l'UE (2) | Deux étapes se déroulent aux États-Unis. Pour chercher par le sens, chaque passage de vos sources et chaque question sont convertis en une suite de nombres chez OpenAI, dans le cadre de ses conditions de traitement des données ; OpenAI ne s'en sert pas pour entraîner ses modèles. Les e-mails que nous envoyons passent par Resend, qui les traite aux États-Unis dans le cadre du Data Privacy Framework UE-États-Unis et de clauses contractuelles types. Pour OpenAI, la documentation ne précise pas l'outil de transfert et ne décrit pas d'AITD : posez la question dans le contrat de sous-traitance. Pour le modèle d'IA, voir (5). |
| Sous-traitants ultérieurs (3) | Le tableau ci-dessus. La documentation publique ne décrit pas comment les changements sont annoncés ; c'est un point du contrat de sous-traitance. |
| Contrat de sous-traitance (4) | Sur demande à management@sri-group.eu. Il n'y a pas de contrat à signer dans le produit. |
| Modèle d'IA (5) | Cortecs, une passerelle de modèles européenne. Pour chaque réponse, elle reçoit vos instructions, la page où se trouve le visiteur, les passages trouvés, la conversation récente et un fichier que le visiteur a joint à sa question. Selon Cortecs, toutes les requêtes restent par défaut en Europe. Son réglage Sovereign Cloud, qui n'admet que des fournisseurs établis et régulés dans l'UE, est activé par notre code pour la lecture des documents scannés envoyés par les visiteurs, pas pour les réponses. Sans ce réglage, précise Cortecs, des données peuvent être traitées par des entités d'entreprises hors UE. |
| Entraînement (6) | Nous n'entraînons aucun modèle sur vos contenus ni sur vos conversations, et OpenAI n'utilise pas les données des vecteurs de recherche pour entraîner ses modèles. Cortecs indique dans sa documentation que, par défaut, les données ne servent pas à entraîner des modèles d'IA. |
| Conservation chez le fournisseur du modèle (7) | Non précisée dans notre documentation publique, ni pour Cortecs ni pour OpenAI. |
| Région (8) | Stockage dans l'UE (eu-central-1) quelle que soit l'offre, avec les deux étapes ci-dessus. Enterprise peut fonctionner dans une région UE dédiée avec SLA ; l'offre Enterprise est convenue individuellement avec nous. |
| Suppression (9) | Les conversations ne sont pas supprimées automatiquement. Vous les supprimez dans Activité ou par l'API ; coordonnées, tickets et fichiers des visiteurs se suppriment chacun à part. Supprimer un agent supprime ses conversations et tous les fichiers importés. Ce qui est supprimé reste encore un temps dans les sauvegardes de notre hébergeur de base de données. La documentation ne décrit pas de procédure propre à la fin du contrat. |
| Violations et audits (10, 11) | Non décrits dans la documentation publique. L'article 28, paragraphe 3, les exige dans tout contrat de sous-traitance (points f et h) : demandez le nôtre. |
| Certifications (12) | ChatterLab n'a pas de SOC 2 et ne revendique aucune autre certification. Aucune autorité n'a approuvé ni certifié ChatterLab. |
| Accès du support (13) | Non décrit non plus dans la documentation publique. |
| Mention IA (14) | Chaque conversation commence par « Vous discutez avec un assistant IA », dans la langue du widget. Aucune offre ni aucun réglage ne la retire, et les réponses sont marquées dans le code de la page, de façon lisible par machine, comme générées par une IA. |
Ce que nous ne prétendons pas : qu'aucune donnée ne quitte l'UE. Ce serait faux, c'est pourquoi nous nommons les deux étapes. ChatterLab vous aide à respecter le RGPD ; les obligations du responsable du traitement restent les vôtres, de la base légale à votre politique de confidentialité en passant par les réponses aux demandes de vos visiteurs.
Pourquoi des étapes nommées valent mieux pour vous qu'un « tout dans l'UE » : votre politique de confidentialité doit mentionner chaque transfert vers un pays tiers et sa base (article 13, paragraphe 1, point f). Avec une promesse globale du fournisseur, votre propre texte deviendrait faux dès qu'une étape tourne en réalité aux États-Unis. Avec des étapes nommées, vous pouvez écrire précisément quelles données partent aux États-Unis, chez qui et sur quelle base. Vous trouverez des formulations dans notre modèle de politique de confidentialité pour chatbot. La page chatbot IA conforme au RGPD donne une vue d'ensemble, et chatbot IA entraîné sur vos données montre comment l'assistant répond à partir de vos propres contenus.
Consigner votre analyse sur une page
Le RGPD exige que vous puissiez démontrer le respect de ses principes (article 5, paragraphe 2). Consignez donc, pour chaque fournisseur de chatbot, sur une seule page : les couches, leur lieu, la base de chaque transfert et la date de votre vérification. Le modèle ci-dessous est un exemple : adaptez-le à votre situation et, quand l'enjeu le justifie, faites-le relire par votre DPO ou votre conseil.
Évaluation d'un fournisseur de chatbot Date : ____________
Fournisseur : ______________________ Rôle : sous-traitant (art. 28 RGPD)
Contrat de sous-traitance demandé le : ________ signé le : ________ version : ________
Couche Service Lieu/région Pays tiers ? Base
Application ____________ ____________ oui / non ____________
Base de données ____________ ____________ oui / non ____________
Fichiers ____________ ____________ oui / non ____________
Modèle d'IA ____________ ____________ oui / non ____________
Vecteurs ____________ ____________ oui / non ____________
Base vectorielle ____________ ____________ oui / non ____________
E-mail ____________ ____________ oui / non ____________
Statistiques/support ___________ ____________ oui / non ____________
Sauvegardes ____________ ____________ oui / non ____________
Pour chaque étape dans un pays tiers :
DPF : destinataire actif sur la liste, données couvertes, vérifié le ________
CCT : module ____, AITD documentée le ________
Entraînement sur nos données : non / oui preuve : ______________
Conservation chez le fournisseur du modèle : ______________
Suppression en fin de contrat : ______________ (art. 28, par. 3, point g)
Notification des violations : ______________ (art. 33, par. 2)
Droits d'audit : ______________ (art. 28, par. 3, point h)
Politique de confidentialité mise à jour : ________ (art. 13, par. 1, points e et f)
Registre mis à jour : ________ (art. 30, par. 1, point e)
Prochaine vérification : ________ (au plus tard à l'arrivée d'un nouveau
sous-traitant ou après une décision de
la CJUE sur le DPF)
Vérifié par : ______________
Un exemple de point ouvert : pour ChatterLab, inscrivez à la ligne Vecteurs « OpenAI, États-Unis, oui ». Comme base, notez ce que dit notre documentation (les conditions de traitement des données d'OpenAI) et, à côté, que vous avez posé la question de l'outil de transfert dans le contrat de sous-traitance. Une question ouverte et datée prouve davantage qu'une case vide.
Questions fréquentes sur l'hébergement UE et le RGPD
Un hébergement dans l'UE suffit-il pour qu'un chatbot soit conforme au RGPD ?
Non. Le lieu d'hébergement ne règle que la question des transferts hors de l'UE, et seulement pour les couches qui tournent vraiment dans l'UE. Il vous faut aussi une base légale, un contrat de sous-traitance conforme à l'article 28, une politique de confidentialité qui mentionne le chat et ses destinataires, et un moyen de répondre aux demandes des visiteurs. L'APD le rappelle même pour un pays reconnu adéquat : les principes généraux du RGPD s'appliquent toujours.
Est-il légal d'utiliser un chatbot hébergé aux États-Unis ?
Oui, si chaque transfert repose sur une base du chapitre V. Si le fournisseur américain figure, actif, sur la liste du cadre de protection des données UE-États-Unis et que sa certification couvre ces données, la décision d'adéquation du 10 juillet 2023 suffit. Sinon, il faut un autre outil, par exemple des clauses contractuelles types accompagnées d'une AITD documentée. Dans les deux cas, un contrat de sous-traitance et une mention dans votre politique de confidentialité restent nécessaires.
Qu'est-ce que le Data Privacy Framework, et peut-on s'y fier ?
Le cadre de protection des données UE-États-Unis est la décision d'adéquation (UE) 2023/1795, limitée aux organisations américaines inscrites sur la liste du ministère du commerce. Elle est en vigueur : le Tribunal de l'Union a rejeté un recours contre elle le 3 septembre 2025, et un pourvoi est pendant devant la Cour de justice au 25 octobre 2026 (C-703/25 P). Vous pouvez vous y fonder tant qu'elle s'applique, mais notez quels transferts en dépendent.
L'endroit où tourne le modèle d'IA a-t-il de l'importance ?
Oui. Dans un chatbot IA qui répond à partir de vos sources, le modèle reçoit à chaque question l'historique de la conversation et les extraits pertinents, et les visiteurs saisissent aussi des données personnelles dans une fenêtre de chat. Si le modèle tourne chez un fournisseur hors de l'UE, c'est un transfert qui exige sa propre base, même si l'application est hébergée à Francfort. Demandez le modèle, l'opérateur et la région, et si une passerelle peut rediriger ailleurs.
Qu'est-ce qu'un sous-traitant ultérieur ?
C'est un prestataire auquel votre fournisseur fait appel pour traiter les données pour votre compte : hébergement, base de données, modèle d'IA ou envoi d'e-mails. Le RGPD parle d'« autre sous-traitant » et exige votre autorisation écrite préalable (article 28, paragraphe 2). Avec une autorisation générale, le fournisseur doit vous informer de tout changement pour que vous puissiez vous y opposer. Si ce sous-traitant manque à ses obligations, votre fournisseur en reste pleinement responsable devant vous (paragraphe 4).
Peut-on demander le contrat de sous-traitance avant d'acheter ?
Oui, et c'est recommandé. Le contrat doit contenir ce qu'exige l'article 28, paragraphe 3, du RGPD : instructions documentées, y compris sur les transferts, sécurité, aide en cas de violation de données, suppression ou restitution en fin de contrat, audits. Un fournisseur qui ne le montre qu'après la signature vous fait signer sans vérification possible. Chez ChatterLab, vous l'obtenez sur demande à management@sri-group.eu.
Sources
- Règlement (UE) 2016/679 (règlement général sur la protection des données), Journal officiel de l'Union européenne (EUR-Lex), lu le 25 octobre 2026.
- Décision d'exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 constatant le niveau de protection adéquat assuré par le cadre de protection des données UE-États-Unis, EUR-Lex, lu le 25 octobre 2026.
- Arrêt du Tribunal du 3 septembre 2025, Latombe/Commission, T-553/23, EUR-Lex, lu le 25 octobre 2026.
- Pourvoi formé le 31 octobre 2025 par Philippe Latombe, affaire C-703/25 P, Journal officiel C/2025/6610 (EUR-Lex), lu le 25 octobre 2026.
- Liste des résultats, affaire C-703/25 P, Latombe/Commission, Cour de justice de l'Union européenne (InfoCuria), lu le 25 octobre 2026.
- Arrêt de la Cour du 16 juillet 2020, Facebook Ireland et Schrems, C-311/18, EUR-Lex, lu le 25 octobre 2026.
- Décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers, EUR-Lex, lu le 25 octobre 2026.
- Rapport de la Commission sur le premier examen périodique du fonctionnement de la décision d'adéquation relative au cadre de protection des données UE-États-Unis, COM(2024) 451, EUR-Lex, lu le 25 octobre 2026.
- EU-US data transfers, Commission européenne, lu le 25 octobre 2026.
- Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, Comité européen de la protection des données, lu le 25 octobre 2026.
- EU-US Data Privacy Framework FAQ for European businesses, Comité européen de la protection des données, lu le 25 octobre 2026.
- Adéquation des États-Unis : les premières questions-réponses, CNIL, lu le 25 octobre 2026.
- Analyse d'impact des transferts des données (AITD) : la CNIL publie la version finale de son guide, CNIL, lu le 25 octobre 2026.
- Transférer des données hors de l'UE, CNIL, lu le 25 octobre 2026.
- Transferts en dehors de l'UE - avec protection adéquate, Autorité de protection des données, lu le 25 octobre 2026.
- Data Protection Commission announces conclusion of inquiry into Meta Ireland, Data Protection Commission (Irlande), lu le 25 octobre 2026.
- Règlement (UE) 2024/1689 (règlement sur l'intelligence artificielle), EUR-Lex, lu le 25 octobre 2026.
- GDPR Compliant Chatbot: Lawful Basis, DPA, SCCs, SiteGPT, lu le 25 octobre 2026.
- Chatbot GDPR Compliance: What to Check Before Launch, Chatbase, lu le 25 octobre 2026.
- Data Governance & Controls, Cortecs, lu le 25 octobre 2026.
- Sovereign Cloud, Cortecs, lu le 25 octobre 2026.
Comment cet article a été fait : rédigé avec l'aide de l'IA, puis vérifié par rapport au fonctionnement réel de ChatterLab et aux sources citées dans l'article. Une erreur ? Écrivez à management@sri-group.eu.