Souveraineté des données : ce que « hébergé en France » ne dit pas

Une automatisation peut être hébergée en France et envoyer malgré tout vos documents aux États-Unis. Les deux affirmations sont compatibles, et c'est précisément ce qui rend la question difficile à trancher pour un dirigeant. Voici comment vérifier, en une question.

Le malentendu tient en une distinction

Quand une agence installe une automatisation chez vous, deux choses différentes entrent en jeu. D'un côté le programme : celui qui déclenche les actions, lit votre boîte de réception, met à jour un tableau, envoie un message. De l'autre le modèle d'intelligence artificielle : celui qui comprend une demande formulée en langage courant, rédige une réponse, ou analyse le contenu d'un contrat.

Ces deux éléments ne vivent pas nécessairement au même endroit. Et c'est là que se joue toute la question de la souveraineté.

Le programme peut parfaitement tourner sur un serveur situé à Roubaix ou à Gravelines. C'est même fréquent, et c'est ce qui permet d'annoncer, en toute bonne foi, un hébergement français. Mais si ce programme, pour comprendre votre demande, envoie le texte à un service d'intelligence artificielle américain, alors votre contenu quitte le territoire européen au moment précis où il est traité.

Autrement dit : la question n'est pas où vit le programme, mais où vit le modèle.

Ce que cela signifie concrètement

Prenons un cas courant. Un cabinet comptable installe un assistant capable de retrouver une information dans ses dossiers clients. L'utilisateur pose sa question, l'assistant cherche dans les documents, et formule une réponse.

Si le modèle qui rédige cette réponse est un service en ligne extérieur, alors le contenu du dossier client — le passage pertinent au minimum, parfois le document entier — est transmis à ce service pour être traité. Le fournisseur peut s'engager à ne pas le conserver ni l'utiliser pour améliorer ses modèles. Il n'empêche que la donnée a été transmise, hors Union européenne, à une entreprise soumise à un droit étranger.

Pour un cabinet d'avocats tenu au secret professionnel, pour un médecin, pour une entreprise qui traite des contrats industriels, ce n'est pas un détail technique. C'est une question de responsabilité.

Pourquoi le RGPD ne tranche pas tout

On lit souvent qu'un transfert hors Union européenne est possible dès lors qu'il existe un cadre juridique adapté. C'est exact : le RGPD prévoit plusieurs mécanismes, dont les clauses contractuelles types et les décisions d'adéquation.

Mais deux points méritent attention.

D'abord, ces mécanismes ont déjà été remis en cause. Deux accords successifs encadrant les transferts de données vers les États-Unis ont été invalidés par la Cour de justice de l'Union européenne, en 2015 puis en 2020. Le cadre actuel fait l'objet de recours. Construire un système sur un dispositif qui a été annulé deux fois, c'est accepter un risque de rupture.

Ensuite, la conformité n'est pas la confidentialité. Un transfert peut être parfaitement légal et rester indésirable — pour des raisons de secret professionnel, de concurrence, ou simplement parce qu'un client vous a confié un document sans imaginer qu'il transiterait ailleurs.

Comment vérifier, en une question

Il n'est pas nécessaire d'être ingénieur pour trancher. Une seule question suffit, à poser à n'importe quel prestataire :

« Quand votre système analyse un de mes documents, où le calcul est-il effectué ? »

Trois réponses possibles.

« Sur nos propres serveurs, en France. » Le modèle s'exécute localement. Rien ne sort. C'est la seule configuration qui garantisse réellement la confidentialité.

« Chez un fournisseur d'intelligence artificielle, mais nos serveurs sont en France. » Le programme est en France, le traitement ne l'est pas. Demandez alors : quel fournisseur, dans quel pays, sous quel cadre juridique.

« Nos données sont sécurisées et conformes au RGPD. » Ce n'est pas une réponse à la question posée. Reformulez.

Où sont hébergés les outils les plus utilisés

La plupart des agences d'automatisation assemblent des plateformes existantes plutôt que de développer leurs propres systèmes. C'est un choix légitime : cela réduit les coûts et accélère la mise en œuvre. Mais cela a une conséquence directe sur le trajet de vos données.

Ces informations sont publiques et vérifiables dans les mentions légales de chaque éditeur :

• n8n est édité par une société allemande. L'outil peut être installé sur un serveur que l'on maîtrise, ce qui est un vrai avantage.
• Make (anciennement Integromat) est exploité par une société américaine, filiale d'un groupe américain.
• Zapier est une société américaine.
• Voiceflow et Botpress sont des sociétés canadiennes.
• OpenAI et Anthropic, qui fournissent les modèles de langage les plus employés, sont des sociétés américaines.

Un point mérite d'être souligné, parce qu'il est souvent mal compris. Installer n8n sur un serveur français est effectivement un gage de souveraineté pour le programme. Mais si ce même n8n appelle un modèle américain pour comprendre une demande, la souveraineté s'arrête au premier appel. Les deux affirmations coexistent sans se contredire techniquement — elles se contredisent seulement dans ce que le client comprend.

L'alternative existe, et elle a un coût

Il est possible de faire tourner un modèle de langage sur son propre serveur. Plusieurs modèles ouverts atteignent aujourd'hui un niveau suffisant pour la grande majorité des usages professionnels : comprendre une demande téléphonique, chercher dans un corpus documentaire, rédiger une réponse.

Nous ne prétendrons pas que c'est équivalent en tout point. Les modèles propriétaires les plus puissants restent supérieurs sur les tâches de raisonnement complexe. Pour un usage métier — répondre au téléphone, retrouver une clause, trier des messages — l'écart est en revanche négligeable.

Ce choix a un coût réel, et il est honnête de le dire : il faut administrer des machines plutôt qu'appeler une interface. Surveiller, mettre à jour, sauvegarder. C'est plus exigeant que de brancher un service en ligne. C'est aussi la seule façon de garantir qu'un document confidentiel le reste.

Ce que nous faisons chez MelasAI

Nos modèles s'exécutent sur nos serveurs, en France. Quand notre assistant lit un document ou rédige une réponse, le calcul se fait sur nos machines. Aucun contenu client n'est transmis à un service d'intelligence artificielle extérieur.

Nous utilisons des prestataires pour trois fonctions seulement, parce qu'elles ne peuvent pas être assurées autrement : l'acheminement des e-mails et des SMS, l'encaissement des paiements par carte, et la connexion aux agendas en ligne que nos clients utilisent déjà. Ces prestataires ne voient qu'un message déjà rédigé ou une transaction. Ils ne participent à aucune décision et ne lisent aucun de vos documents.

Nous détaillons cette architecture sur notre page Notre technologie, y compris ce que nous ne faisons pas nous-mêmes et pourquoi.

Ce qu'il faut retenir

Un hébergement français ne garantit pas une intelligence artificielle française. Ce sont deux questions différentes, et seule la seconde détermine où vont réellement vos documents.

Avant de signer, posez la question. Un prestataire qui maîtrise son architecture y répondra en une phrase. Un prestataire qui l'élude vous aura appris quelque chose.