« Notre IA est conforme au RGPD » : pourquoi cette phrase ne veut rien dire

01Ce que le fournisseur vous donne vraiment

Quand OpenAI ou xAI écrivent « conforme au RGPD », ils désignent un objet précis : un contrat de sous-traitance, prévu par l’article 28 du RGPD. C’est le document que tout prestataire traitant des données pour votre compte doit vous fournir : finalités, durées, sécurité, sous-traitants employés à leur tour, sort des données en fin de contrat.

Ce contrat est indispensable. Il n’est simplement pas distinctif : l’obligation s’applique à tous les sous-traitants, américains comme européens. Un hébergeur français vous en fournit un aussi. Mettre en avant son contrat de sous-traitance, c’est afficher qu’on respecte le minimum légal.

Le vocabulaire employé est d’ailleurs plus prudent qu’il n’y paraît. Les fournisseurs écrivent que leur contrat soutient votre conformité. Le mot est choisi : ils vous remettent une pièce du dossier, l’assemblage reste votre travail. Le RGPD ne certifie pas des entreprises, il encadre des traitements — et la responsabilité juridique repose sur le responsable de traitement, c’est-à-dire vous. Un sous-traitant ne peut pas l’endosser à votre place, même s’il le voulait.

02Ce que la phrase ne dit pas : vos données sortent d’Europe

Voilà la vraie ligne de partage, et elle n’apparaît jamais en gras sur les pages commerciales. Si vos données quittent l’Union européenne, il vous faut une base juridique supplémentaire, au titre du chapitre V du RGPD : une décision d’adéquation, ou des clauses contractuelles types accompagnées d’une analyse d’impact du transfert — un exercice que la CNIL documente sur plusieurs dizaines de pages.

C’est un second étage, entièrement à votre charge, et il ne concerne qu’une partie des fournisseurs. Le contrat de xAI prévoit ainsi des clauses contractuelles types pour un traitement aux États-Unis : c’est régulier, c’est documenté, et c’est une obligation de plus dans votre dossier.

Reste l’argument qui trompe le plus de monde : « mais ils proposent l’hébergement en Europe ». C’est vrai, et il faut lire la mention exacte. OpenAI décrit une résidence des données en Europe qui porte sur les données stockées au repos. Le stockage n’est pas le traitement — et surtout, la localisation d’un disque ne change rien à la nationalité de l’entreprise qui le gère. Un fournisseur américain reste soumis au droit américain, qui permet à certaines agences d’accéder aux données détenues par des entreprises américaines, y compris stockées ailleurs. C’est exactement ce point que la Cour de justice a sanctionné deux fois.

Car ce sujet n’a rien de théorique : deux mécanismes censés sécuriser les transferts entre l’Europe et les États-Unis ont déjà été invalidés — le Safe Harbor en 2015, le Privacy Shield en 2020. À chaque fois, des milliers d’entreprises se sont retrouvées en défaut du jour au lendemain sans avoir rien changé à leurs pratiques. Le cadre actuel, adopté en 2023, est le troisième.

03Depuis le 29 juin 2026, ce second étage tremble

Disons-le d’emblée pour éviter toute panique : le cadre est toujours en vigueur. Une entreprise qui s’appuie dessus aujourd’hui est en règle, rien n’a été annulé. Mais deux procédures pèsent désormais sur lui, et la seconde a surpris tout le monde.

D’abord un recours européen classique. Le député français Philippe Latombe a demandé l’annulation de la décision d’adéquation ; le Tribunal de l’Union européenne l’a débouté le 3 septembre 2025. Il a fait appel devant la Cour de justice le 31 octobre 2025 — l’affaire est pendante.

Ensuite, une décision américaine que personne n’avait mise dans l’équation. Le 29 juin 2026, dans l’arrêt Trump v. Slaughter, la Cour suprême des États-Unis a jugé, à six voix contre trois, que les protections légales empêchant le président de révoquer les commissaires de la FTC étaient inconstitutionnelles — mettant fin à quatre-vingt-dix ans de jurisprudence sur l’indépendance des autorités administratives américaines.

Pourquoi une affaire de droit constitutionnel américain concerne une PME française ? Parce que la reconnaissance européenne repose sur l’existence, outre-Atlantique, d’autorités indépendantes du pouvoir exécutif : la FTC pour la surveillance, et un organe de recours auquel un citoyen européen peut s’adresser. L’association noyb — celle de Max Schrems, à l’origine des deux invalidations précédentes — relève que la décision européenne de 2023 invoque l’indépendance de la FTC 259 fois. Elle a demandé à la Commission de retirer cette décision et annoncé un nouveau recours devant la Cour de justice.

La position des praticiens converge néanmoins : on peut continuer à s’appuyer sur ce cadre, mais en le documentant et en préparant un plan de repli. Plus personne ne le présente comme un choix sans risque.

04La différence, en une image : un étage ou deux

Voilà tout l’écart entre « conforme au RGPD » au sens du fournisseur américain, et une chaîne dont les données ne sortent pas d’Europe. Ce n’est pas une question de sérieux : c’est le nombre d’obligations que vous portez.

Avec un fournisseur établi et opéré en Europe, il n’y a pas de transfert : le chapitre V ne s’applique tout simplement pas. Ce n’est pas « être plus conforme », c’est une obligation entière qui disparaît du dossier — pas de clauses à négocier, pas d’analyse d’impact à produire, pas de dépendance à un accord politique qui peut tomber. Vous restez soumis à l’article 28, mais celui-là, vous y étiez de toute façon.

Et pour être clair, parce que le débat bascule vite dans la caricature : utiliser ChatGPT, Gemini ou Grok pour traiter des données personnelles est parfaitement légal, à condition de monter le dossier complet. Ce n’est pas un choix entre légal et illégal. C’est un choix entre un dossier à deux étages et un dossier à un seul — sachant que le second étage repose sur un socle qui s’est déjà effondré deux fois. Pour une PME sans juriste interne, la différence n’est pas un détail.

05Notre position, et la question à poser

Chez Facile-IA, les modèles qui font tourner les agents de nos clients sont opérés en Europe. Pas par posture : parce que le dossier est plus simple, parce qu’une invalidation du cadre de transfert ne nous obligerait à rien refaire, et parce que les modèles européens font aujourd’hui très bien le travail — on l’a mesuré sur notre banc d’agents, juge en aveugle, modèles américains compris. Ce n’est pas la seule approche défendable ; c’est la plus tenable pour une PME sans service juridique.

Dernier point, et c’est celui que presque personne ne voit venir : si vous traitez les données de vos propres clients, vous êtes vous-même sous-traitant vis-à-vis d’eux. L’essentiel de votre mise en conformité — contrat avec vos clients, registre des traitements, liste de vos sous-traitants, durées de conservation, procédure de suppression — ne dépend d’aucun fournisseur. Elle relève de vous, quel que soit le modèle que vous branchez derrière.

Alors répondons-y nous-mêmes, puisqu’on la recommande. Nos agents passent par Cortecs, établi à Vienne, qui n’expose que des modèles hébergés en Europe et propose un mode restreint aux fournisseurs établis dans l’UE, et par TensorX, dont l’inférence tourne sur des GPU européens. Les deux annoncent la même chose sur la donnée : prompts non conservés, traités en mémoire volatile, jamais réutilisés pour entraîner un modèle — et un contrat de sous-traitance disponible.

Une précision d’honnêteté, parce qu’elle vaut aussi pour nous : passer par une passerelle ajoute un sous-traitant dans la chaîne. Ce n’est pas un défaut, c’est un point à traiter — il se couvre par un contrat au titre de l’article 28, et il figure dans la liste de sous-traitants qu’on communique à nos clients. On le documente plutôt que de le passer sous silence : c’est exactement ce qu’on attend, nous, d’un prestataire.