Vos données face à l'IA : trajet, entraînement, contrat et localisation
Ou : on demande toujours où est le serveur ; la bonne question est qui a le droit d’ouvrir la porte.
Une PME qui colle un contrat dans un assistant IA ne se demande pas où part le texte. Elle devrait : il traverse un réseau de diffusion, les serveurs de l’éditeur, une modération, un GPU loué chez un sous-traitant, parfois un moteur de recherche, puis reste stocké, relu ou utilisé pour l’entraînement selon l’offre et les réglages. Le calcul, le prix et la carte graphique sont traités dans le guide pour choisir son fournisseur GPU cloud ; cette section s’occupe de ce que deviennent les données une fois la requête partie.
Quatre questions décident de tout, et la localisation n’est que la dernière. La première est l’entraînement : dans leurs versions grand public, ChatGPT, Gemini, Vibe de Mistral ou Perplexity apprennent de vos conversations par défaut, avec un réglage pour refuser. La deuxième est la conservation : même sans entraînement, les échanges sont gardés, parfois relus par des humains. La troisième est le contrat : le RGPD exige un contrat de sous-traitance dès qu’un fournisseur traite des données personnelles pour vous, et la CNIL recommande de privilégier des systèmes « locaux, sécurisés et spécialisés » pour les données sensibles. La quatrième seulement est le lieu du calcul, qui ne dit pas quelle loi s’applique au fournisseur.
Le cadre juridique a bougé en 2026. Le règlement omnibus 2026/1744, entré en vigueur le 27 juillet, a reporté au 2 décembre 2027 les obligations des systèmes d’IA à haut risque de l’annexe III, recrutement ou crédit par exemple, et adouci l’obligation de formation de l’AI Act ; l’article 50 sur la transparence s’applique depuis le 2 août 2026. Le RGPD, lui, n’a pas changé, malgré deux propositions de la Commission encore en discussion. Et au 7 septembre 2026, ni la Belgique ni la France n’avaient définitivement désigné leur autorité de contrôle de l’IA.
Pour qui : une PME ou un indépendant qui veut un LLM pour des données personnelles ou confidentielles, sans conservation des requêtes, sans entraînement, avec un contrat de sous-traitance intégré aux conditions générales.
À partir de : 0,20 CHF le million de tokens en entrée et 0,75 CHF en sortie pour Mistral Small 4 chez Infomaniak AI Services, hors taxes, avec un million de crédits offerts le premier mois ; Euria gratuit pour l’équipe.
Pour démarrer : activer Infomaniak AI Services pour les traitements internes, ouvrir Euria pour l’usage quotidien, et inscrire les deux au registre des traitements.
IA souveraine : la localisation du serveur ne dit pas qui lit vos prompts
Neuf questions reviennent quand une entreprise veut garder la main sur ce qu’elle envoie à l’IA, et chacune a sa page, avec les textes et les clauses relevés le 28 septembre 2026.
Du clavier au GPU, et retour
Réseau de diffusion, application, modération, sous-traitant de calcul, outils de recherche : un prompt fait plusieurs escales avant de revenir. Chaque étape, qui la voit et combien de temps, est décrite dans le trajet complet d’un prompt.
L’interrupteur de l’entraînement
ChatGPT, Gemini, Vibe, Perplexity et DeepSeek entraînent par défaut en grand public, Meta AI sans réglage trouvé pour refuser, Infomaniak et Proton jamais. Le réglage de chacun, et ce qu’il n’éteint pas, est dans les clauses d’entraînement des assistants.
Les dossiers clients
La fuite passe rarement par une attaque : un compte personnel, une conversation conservée, un connecteur trop large suffisent. La charte d’usage et l’outil par niveau de sensibilité sont dans traiter des dossiers clients sans fuite.
Retirer les noms avant l’envoi
Remplacer les noms par des codes, c’est pseudonymiser, et la Cour de justice a précisé en septembre 2025 ce que cela change pour le destinataire. Les six étapes et les outils ouverts en français sont dans la méthode de pseudonymisation.
Tout garder chez soi
Une RTX 5090 se vendait au moins 4 999,99 € sur la place de marché de NVIDIA le 28 septembre 2026, et le local ne se justifie pas par le prix. Le seuil, le matériel et les logiciels sont dans l’IA locale face au cloud.
Paris ou la Virginie
Environ 87 millisecondes d’aller-retour séparent les deux, et le Cloud Act ne regarde pas l’adresse du bâtiment. Ce que change la carte, et ce qu’elle ne change pas, est dans datacenter européen ou américain.
Le contrat de sous-traitance
Automatique chez OpenAI, Anthropic, Mistral et Infomaniak, à signer chez Runpod, et aucun ne promet de contester une demande d’un gouvernement. La comparaison clause par clause est dans les DPA des fournisseurs d’IA.
Le dossier RGPD
Base légale, information, contrat, registre, analyse d’impact, transferts : sept pièces à pouvoir produire. Le détail est dans les obligations RGPD d’une PME.
Le calendrier de l’AI Act
Formation depuis 2025, transparence depuis août 2026, haut risque reporté à décembre 2027 : une PME utilisatrice n’est concernée que par quelques articles. Lesquels, et quand, est expliqué dans l’AI Act côté PME.