Résidence des données ou souveraineté : quelle différence ?

La plupart des fournisseurs d'IA vous diront qu'ils sont conformes au RGPD. Ils vous montreront un DPA, pointeront vers leur datacenter à Francfort ou Dublin, et vous assureront que vos données restent en Europe.

C'est de la résidence, pas de la souveraineté. La distinction compte davantage en 2026 que jamais, et la plupart des équipes ne s'en rendent compte que lorsqu'une assignation du gouvernement américain arrive.

Voici la différence, et pourquoi elle change le fournisseur d'IA à qui vous devriez confier vos données sensibles.

Qu'est-ce que la résidence des données dans l'UE ?

La résidence des données dans l'UE signifie que vos données sont physiquement stockées sur des serveurs situés dans l'Union européenne. AWS a une région à Francfort. Google Cloud en a une en Belgique. Azure en a plusieurs en Europe. Quand un fournisseur dit « vos données restent dans l'UE », c'est de cela qu'il parle.

La résidence répond à une question : où sont stockées mes données ?

C'est une exigence réelle. Les articles 44 à 50 du RGPD restreignent le transfert de données personnelles hors de l'UE/EEE sans garanties adéquates. Si vos données sont dans un datacenter de l'UE, vous avez franchi cette barre.

Mais la résidence seule ne vous dit pas qui peut accéder à ces données, ni sous quelle juridiction légale le fournisseur opère.

Qu'est-ce que la souveraineté des données dans l'UE ?

La souveraineté des données dans l'UE signifie que vos données sont stockées dans l'UE et contrôlées par une entité juridique de l'UE opérant sous le droit de l'UE, sans exposition aux lois de surveillance étrangères.

La souveraineté répond à une question plus difficile : quel droit contrôle mes données ?

C'est ici que le CLOUD Act entre en jeu. Le Clarifying Lawful Overseas Use of Data Act, adopté par le Congrès américain en 2018, permet aux autorités américaines d'obliger les entreprises technologiques américaines à produire des données qu'elles contrôlent, indépendamment de l'endroit où ces données sont physiquement stockées.

Si votre fournisseur d'IA est une entreprise américaine (AWS, Google, Microsoft, OpenAI), le CLOUD Act s'applique à eux. Vos données pourraient être dans un datacenter à Francfort, et une ordonnance d'un tribunal américain peut toujours obliger le fournisseur à les remettre. Les données n'ont jamais quitté l'UE. Le fournisseur, si.

Le piège de Francfort

Voici comment la plupart des équipes se font piéger : ils choisissent un fournisseur cloud américain, sélectionnent une région UE pour leur datacenter, cochent la case de conformité RGPD, et passent à autre chose. Les données sont à Francfort. Le DPA est signé. Tout semble souverain.

Ça ne l'est pas. Le fournisseur est constitué aux États-Unis. Le CLOUD Act donne aux autorités américaines le pouvoir d'obliger ce fournisseur à produire les données de ses clients depuis n'importe quel serveur qu'il contrôle, partout dans le monde. Le droit de protection des données de l'UE ne vous protège pas parce que la demande légale n'est pas faite selon le droit de l'UE - elle est faite selon le droit américain, ciblant une entreprise américaine.

L'arrêt Schrems II (juillet 2020) a exposé cette faille. La Cour de justice de l'UE a invalidé le cadre du Privacy Shield précisément parce que les lois de surveillance américaines comme FISA Section 702 et le CLOUD Act donnent aux autorités américaines l'accès aux données de l'UE stockées par des fournisseurs américains. Le cadre EU-US Data Privacy Framework (adopté en 2023) a tenté de corriger cela, mais l'exposition juridique sous-jacente demeure : un fournisseur américain est toujours soumis au droit américain.

Nous appelons cela le piège de Francfort : données physiquement dans l'UE, juridiquement accessibles depuis les États-Unis.

Les quatre conditions de la véritable souveraineté des données IA

Une pile d'IA véritablement souveraine nécessite quatre conditions. En manquer une seule crée une faille qu'un gouvernement étranger ou une assignation peut exploiter.

Condition 1 : Fournisseur basé dans l'UE. L'entreprise qui traite vos données doit être constituée dans l'UE et soumise au droit de l'UE, pas au droit américain. Cela élimine AWS, Google Cloud, Microsoft Azure et OpenAI pour des raisons de souveraineté, même s'ils offrent des régions UE.

Condition 2 : Infrastructure basée dans l'UE. Les serveurs qui exécutent les modèles doivent être physiquement situés dans l'UE. C'est la condition de résidence — nécessaire mais pas suffisante.

Condition 3 : Journaux stockés dans l'UE. Les journaux de requêtes API, les données d'entraînement des modèles et les métadonnées doivent également rester dans l'UE. De nombreux fournisseurs traitent les données dans l'UE mais envoient les journaux, la télémétrie ou les métadonnées de facturation vers des datacenters américains. Ces journaux sont soumis au CLOUD Act.

Condition 4 : Clés de chiffrement détenues par le client. Même si le fournisseur est basé dans l'UE et l'infrastructure est basée dans l'UE, le fournisseur ne doit pas détenir les clés de chiffrement. Si le fournisseur détient les clés, une demande gouvernementale peut l'obliger à déchiffrer vos données. Les clés gérées par le client (BYOK ou HYOK) ferment cette faille.

Comment les principaux fournisseurs d'IA se comparent

Voici comment les fournisseurs que la plupart des équipes évaluent se comportent face aux quatre conditions :

Le schéma est clair : les fournisseurs américains offrent la résidence UE mais pas la souveraineté UE. Les fournisseurs français et autres fournisseurs basés dans l'UE offrent les deux. Il n'existe aucun contournement du CLOUD Act avec un fournisseur constitué aux États-Unis - la loi s'applique à l'entreprise, pas au datacenter.

Pourquoi cela compte particulièrement pour l'IA

Les charges de travail d'IA rendent le problème de souveraineté pire que l'informatique cloud traditionnelle pour trois raisons :

Les données d'entraînement et les prompts sont sensibles. Quand vous envoyez un document à une API OCR ou un prompt à un LLM, ce contenu peut contenir des données personnelles, des secrets commerciaux ou des informations réglementées. Si le fournisseur est basé aux États-Unis, le CLOUD Act s'applique à ce contenu indépendamment de l'endroit où l'inférence du modèle s'exécute.

Les journaux et métadonnées sont stockés. Les fournisseurs d'API consignent les requêtes pour la facturation, le débogage et la prévention des abus. Ces journaux contiennent souvent le contenu du prompt ou le texte du document extrait. Si le fournisseur stocke les journaux aux États-Unis, ces journaux sont accessibles via le CLOUD Act même si l'inférence s'est faite dans un datacenter de l'UE.

Le fine-tuning des modèles crée une persistance des données. Si vous affinez un modèle sur vos données, ces données font partie des poids du modèle. Le modèle lui-même devient une cible du CLOUD Act si le fournisseur est basé aux États-Unis. Vous ne pouvez pas « supprimer » les données d'entraînement des poids d'un modèle.

La loi européenne sur l'IA rend cela urgent

Le calendrier d'application de la loi européenne sur l'IA (Règlement 2024/1689) est désormais actif :

• Février 2025 : application des pratiques d'IA interdites commencée
• Août 2026 : obligations des modèles GPAI et exigences pour les systèmes à haut risque entrent en vigueur
• Août 2027 : application complète pour tous les systèmes d'IA à haut risque

Selon la loi sur l'IA, les organisations qui déploient des systèmes d'IA à haut risque doivent maintenir des exigences de documentation, de journalisation et de transparence. Si votre fournisseur d'IA est soumis au CLOUD Act, votre documentation de conformité pourrait être compromise par des demandes d'accès aux données américaines, et vous pourriez ne même pas le savoir.

Les fournisseurs de modèles GPAI doivent publier de la documentation technique, des résumés d'entraînement et des informations de conformité au droit d'auteur. Si vous construisez sur un fournisseur GPAI américain, votre capacité à respecter ces exigences de transparence dépend d'un fournisseur qui est lui-même soumis au droit de surveillance américain.

Comment Eden AI résout cela

Eden AI est une entreprise française avec un endpoint UE dédié. Quand vous acheminez des charges de travail d'IA via l'endpoint UE d'EdenAI :

• Le fournisseur (EdenAI) est constitué en France et soumis au droit de l'UE, pas au CLOUD Act
• L'infrastructure traite les données dans l'UE
• Les journaux API et les métadonnées restent dans l'UE
• Vous pouvez acheminer vers des fournisseurs de modèles basés dans l'UE (Mistral AI, Mindee, OVHcloud) pour une souveraineté maximale

Pour les charges de travail qui ne nécessitent pas de modèles américains, vous pouvez construire une pile d'IA entièrement souveraine : EdenAI comme couche d'orchestration, des fournisseurs basés dans l'UE pour l'inférence, et une infrastructure basée dans l'UE pour le calcul. Aucune entreprise américaine dans la chaîne, aucune exposition au CLOUD Act.

Pour les charges de travail qui ont besoin de modèles américains (GPT-5, Claude) pour des raisons de performance, EdenAI vous permet de segmenter : les données sensibles passent par des fournisseurs UE, les tâches critiques en performance passent par des fournisseurs américains. Vous gardez la souveraineté où vous en avez besoin et la capacité où vous la voulez.

Check-list pratique : êtes-vous souverain ?

Avant de signer un DPA avec un fournisseur d'IA, posez ces quatre questions :

1. Le fournisseur est-il constitué dans l'UE ? (Pas seulement « a un datacenter UE » — où se trouve l'entité juridique ?)
2. Les serveurs sont-ils physiquement dans l'UE ? (Vérification de résidence)
3. Les journaux API et les métadonnées sont-ils stockés dans l'UE ? (Pas seulement les données d'inférence — les journaux aussi)
4. Qui détient les clés de chiffrement ? (Si le fournisseur les détient, il peut être contraint de déchiffrer)

Si la réponse à l'une de ces questions est « non » ou « nous ne sommes pas sûrs », vous avez de la résidence, pas de la souveraineté.

Conclusion

La distinction entre la résidence des données dans l'UE et la souveraineté des données n'est pas une subtilité juridique, c'est la ligne entre une case à cocher et une véritable protection. La résidence répond à « où sont mes données ? » ; la souveraineté répond à « quel droit contrôle mes données ? ». Si votre fournisseur est une entreprise américaine, les régions de datacenters dans l'UE vous donnent la première réponse mais pas la seconde. Le CLOUD Act ne se soucie pas de l'endroit où se trouvent vos données ; il se soucie du lieu d'immatriculation de votre fournisseur.

Une pile d'IA véritablement souveraine nécessite les quatre conditions : un fournisseur européen, une infrastructure européenne, des journaux stockés dans l'UE, et vous détenez les clés de chiffrement. Tout ce qui est en dessous est de la résidence déguisée en souveraineté, et l'argument commercial est conçu pour vous faire arrêter de poser des questions avant d'atteindre cette quatrième condition.

Vous les trouverez sur Eden AI. Connectez-vous à la plateforme pour le tester vous-même.