IA européenne RGPD : ce que Schrems II, l’AI Act et le Cloud Act changent pour votre entreprise

87 % des salariés français utilisent ChatGPT sans en informer leur direction informatique. Beaucoup collent quotidiennement des CV, des emails clients, des contrats dans un chatbot américain, en toute bonne foi, sans savoir que les clauses contractuelles types qui sont censées encadrer ce transfert de données ne suffisent plus, seules, depuis un arrêt de la Cour de justice de l’Union européenne rendu en 2020. Ce n’est pas un détail juridique obscur : c’est le texte même qui a invalidé le mécanisme sur lequel reposait, jusque-là, la conformité de la plupart des outils américains.

Cet article détaille ce que le choix d’une IA européenne RGPD change concrètement, au-delà du slogan « hébergé en Europe » que beaucoup de fournisseurs, français comme américains, utilisent sans toujours en assumer les implications précises. Pour la présentation de l’écosystème français, voir notre panorama de l’IA souveraine ; pour le cas spécifique des administrations, notre article sur Vibe collectivités.

En bref

• Depuis l’arrêt Schrems II de la Cour de justice de l’UE (2020), un transfert de données vers une entreprise soumise à la surveillance américaine est incompatible avec le RGPD, même si les serveurs sont physiquement situés en Europe.
• Le Cloud Act américain permet aux autorités des États-Unis d’exiger l’accès à des données contrôlées par une entreprise américaine, y compris lorsqu’elles sont stockées en France, dès lors que l’entreprise reste soumise au droit américain.
• Le Data Privacy Framework, qui encadre légalement une partie des transferts UE-USA depuis 2023, fait l’objet d’un nouveau recours devant la CJUE, avec une décision attendue en 2026-2027.
• 65 % des entreprises françaises utilisent des outils cloud américains, souvent sans savoir qu’elles enfreignent le RGPD, selon un rapport de la CNIL.
• Les amendes RGPD peuvent atteindre 4 % du chiffre d’affaires mondial annuel ou 20 millions d’euros, le montant le plus élevé étant retenu ; plusieurs sanctions record ont déjà été prononcées contre des acteurs américains.

RGPD : ce qu’il impose vraiment sur les transferts de données

Le RGPD ne se contente pas d’imposer un consentement ou une politique de confidentialité affichée sur un site. Rien d’aussi simple. Ses articles 45 et 46 imposent au responsable de traitement d’évaluer si le cadre juridique du pays de destination offre une protection adéquate des données personnelles, avant tout transfert hors Union européenne.

Depuis l’arrêt Schrems II rendu par la Cour de justice de l’Union européenne en 2020, les clauses contractuelles types (SCC), longtemps considérées comme suffisantes à elles seules, ne le sont plus. L’entreprise qui transfère des données doit désormais compléter cette base contractuelle par une analyse d’impact sur le transfert (Transfer Impact Assessment), qui évalue précisément si les lois de surveillance du pays de destination, pour les États-Unis le Cloud Act, la Section 702 du FISA et les programmes de collecte de l’Executive Order 12333, créent un risque incompatible avec le niveau de protection exigé en Europe. Une analyse générique, appliquée telle quelle à tous les transferts sans adaptation aux données réellement concernées, ne répond pas à cette exigence.

Concrètement, cela signifie qu’une entreprise qui utilise un outil d’IA générative américain sur des données de clients ou de salariés porte, en tant que responsable de traitement, la responsabilité juridique de cette analyse, même si l’outil lui-même respecte parfaitement ses propres conditions d’utilisation. Une erreur d’appréciation sur ce point n’engage pas le fournisseur de l’outil : elle engage l’entreprise qui l’a choisi.

AI Act : le cadre spécifique à l’intelligence artificielle

Le règlement européen sur l’intelligence artificielle, entré en vigueur le 2 août 2026, complète le RGPD sans le remplacer. Deux textes, deux logiques. Là où le RGPD encadre la circulation des données personnelles, l’AI Act encadre l’usage des systèmes d’IA eux-mêmes, avec des obligations qui varient selon le niveau de risque du cas d’usage. L’article 4 du règlement impose entre autres une obligation de littératie IA : les entreprises doivent s’assurer que leur personnel dispose d’un niveau de compétence suffisant pour utiliser ces outils de façon éclairée, une obligation qui ne dépend pas de la nationalité du fournisseur choisi.

Un ajustement de calendrier mérite d’être signalé : le 16 juin 2026, le Parlement européen a approuvé un paquet dit « Digital Omnibus », qui reporte de seize mois les obligations les plus lourdes du texte, en particulier celles qui pèsent sur les systèmes à haut risque. L’entrée en vigueur générale du 2 août 2026 reste effective, mais certaines échéances de mise en conformité les plus contraignantes glissent d’autant, un détail que toute entreprise qui planifie son calendrier de conformité a intérêt à vérifier précisément selon son cas d’usage plutôt que de se fier à une date unique.

Choisir un fournisseur européen ne dispense donc pas des obligations de l’AI Act, qui s’appliquent quel que soit le pays d’origine du système utilisé dès lors qu’il est déployé sur le marché européen. En revanche, un fournisseur européen simplifie souvent la partie RGPD du dossier de conformité, les deux textes fonctionnant en complément l’un de l’autre plutôt qu’en substitution.

Cloud Act : le risque que la localisation ne suffit pas à éliminer

C’est le point le plus mal compris par les entreprises qui pensent avoir réglé la question de la souveraineté en choisissant un hébergement européen. Le Cloud Act américain permet aux autorités des États-Unis d’exiger l’accès à des données contrôlées par une entreprise américaine, même lorsque ces données sont physiquement stockées en France ou ailleurs en Europe. Ce qui compte n’est pas la localisation du serveur, mais la nationalité de l’entreprise qui en garde le contrôle juridique. Un détail qui change tout.

Cette distinction a des conséquences concrètes pour des données particulièrement sensibles. Même pour des données de santé hébergées via une infrastructure française comme le Health Data Hub, le Conseil d’État a jugé en 2026 qu’un accès par les autorités américaines ne pouvait pas être totalement exclu dès lors qu’un lien capitalistique ou technologique avec une entreprise américaine subsistait quelque part dans la chaîne. La localisation physique des serveurs reste une condition nécessaire, mais elle ne suffit pas, seule, à garantir une étanchéité complète face au droit américain.

C’est également ce qui explique pourquoi la version 3.2 du référentiel SecNumCloud, publiée en 2022, exclut par construction les prestataires dont l’actionnariat ou la législation d’origine les soumettrait à des injonctions d’accès émanant d’autorités étrangères : une entreprise dont la maison mère relève du Cloud Act ne peut pas être qualifiée en direct. Devant l’Assemblée nationale le 30 avril 2026, le directeur général de l’ANSSI, Vincent Strubel, a lui-même précisé la portée exacte de cette garantie : SecNumCloud empêche concrètement l’accès extraterritorial aux données et la coupure de service imposée par une autorité étrangère, mais elle ne règle pas, à elle seule, la dépendance technologique plus large de la France envers les grands acteurs numériques étrangers, sur les couches matérielles et logicielles qui restent en amont de l’hébergement lui-même.

Le Data Privacy Framework, une protection sous menace

Le Data Privacy Framework, adopté en juillet 2023, encadre légalement une partie des transferts de données entre l’Union européenne et les États-Unis, pour les entreprises américaines qui s’y sont certifiées, dont OpenAI, Anthropic et Google font partie. Ce mécanisme permet, en théorie, à ces fournisseurs de traiter des données européennes en conformité avec le RGPD, sans recourir systématiquement aux clauses contractuelles types et aux analyses d’impact détaillées plus haut.

Le problème est que ce n’est pas la première fois qu’un tel mécanisme existe, et ce n’est pas la première fois qu’il est attaqué en justice. Un historique qui interroge. Le Safe Harbor, puis le Privacy Shield, ont tous deux été invalidés par la Cour de justice de l’Union européenne avant lui, précisément parce que les lois de surveillance américaines (Cloud Act, FISA) ne garantissaient pas, selon la Cour, un niveau de protection équivalent à celui exigé en Europe. Le Data Privacy Framework fait aujourd’hui l’objet d’un nouveau recours porté devant la CJUE, avec une décision attendue courant 2026 ou 2027. Si l’histoire se répète, les entreprises qui reposent exclusivement sur ce mécanisme pour justifier leurs transferts vers des fournisseurs IA américains devront revenir aux clauses contractuelles types et aux analyses d’impact au cas par cas, avec la charge de travail que cela implique.

Pour une entreprise qui construit une dépendance de long terme à un outil IA, ce risque juridique suspendu mérite d’être intégré dans la décision dès aujourd’hui, plutôt que découvert au moment d’une éventuelle invalidation.

Ce que ça change concrètement pour choisir un fournisseur

Trois questions permettent de clarifier, au-delà du discours commercial, le niveau de protection réel offert par un fournisseur d’IA générative. Trois filtres simples à appliquer.

Où sont physiquement stockées les données : une question nécessaire, mais insuffisante à elle seule, comme démontré plus haut avec le Cloud Act.

Quelle est la nationalité de l’entreprise qui contrôle juridiquement ces données, et existe-t-il un actionnariat, une filiation ou une dépendance technologique envers une entreprise américaine à un niveau quelconque de la chaîne : c’est cette question qui détermine l’exposition réelle au Cloud Act, indépendamment de la localisation des serveurs.

Le fournisseur s’appuie-t-il sur le Data Privacy Framework pour justifier ses transferts, ou sur des clauses contractuelles types accompagnées d’une analyse d’impact documentée : la première option reste soumise à l’incertitude juridique décrite plus haut, la seconde demande davantage de travail de conformité mais repose sur une base plus stable dans le temps.

Un fournisseur français comme Mistral, sans actionnariat américain majoritaire et opérant sa propre infrastructure européenne pour l’essentiel de son offre, répond structurellement mieux à ces trois questions qu’un fournisseur américain, même certifié DPF. Cela n’élimine pas pour autant toute obligation de conformité de votre côté : le RGPD reste une responsabilité du responsable de traitement, quel que soit le fournisseur choisi.

Les sanctions déjà tombées

Le risque décrit dans cet article n’est pas théorique. Des sanctions sont déjà tombées. Meta a été condamnée à 1,2 milliard d’euros en 2023 pour un transfert de données jugé illégal vers les États-Unis, la sanction RGPD la plus lourde jamais prononcée à ce jour. Amazon a écopé de 746 millions d’euros en 2021 pour de la publicité ciblée sans consentement valide.

Sur le terrain spécifique de l’IA générative, l’autorité italienne de protection des données a sanctionné OpenAI pour l’absence de base légale justifiant l’entraînement de ses modèles sur des données personnelles collectées sur le web, un manquement à l’obligation d’information des utilisateurs, et l’absence de mécanisme de vérification d’âge, une première décision marquante contre un fournisseur d’IA générative en Europe. Un tribunal néerlandais a de son côté sanctionné Uber pour des transferts massifs de données de chauffeurs vers les États-Unis sans clauses contractuelles valides, combinés à des décisions automatisées de désactivation de comptes sans intervention humaine.

Ces décisions dessinent une tendance claire : les autorités européennes de protection des données ne traitent plus l’IA générative comme un cas particulier échappant au droit commun de la protection des données, mais l’examinent avec la même rigueur que n’importe quel autre traitement de données personnelles.

Une IA européenne élimine-t-elle tout risque ?

Non, et il serait malhonnête de le prétendre. Aucun outil ne dispense de tout. Choisir un fournisseur français ou européen réduit significativement l’exposition au Cloud Act et simplifie la partie transferts internationaux de votre conformité RGPD, mais ne dispense d’aucune des obligations qui pèsent sur vous en tant que responsable de traitement : réalisation d’une analyse d’impact sur la protection des données pour les traitements à risque élevé, information des personnes concernées, respect des délais de réponse aux demandes d’exercice de droits, et désormais, obligations de littératie IA au titre de l’AI Act.

Moins de 10 % des PME françaises qui utilisent l’IA générative ont réalisé cette analyse d’impact obligatoire, quel que soit le fournisseur choisi. Le choix d’un outil souverain traite une partie du risque juridique, la partie la plus structurelle et la plus difficile à corriger après coup. Il ne dispense pas de faire le reste du travail de conformité, qui reste entièrement de votre ressort.

Si votre organisation veut structurer sa conformité IA au-delà du seul choix du fournisseur, Proactive Academy accompagne le cadrage réglementaire et la formation des équipes concernées.