// TECHNOLOGIE
Où vos données sont-elles traitées ? Toute la chaîne
7 min de lecturenijitech
« Nos données sont en Europe » décrit d’ordinaire le premier maillon. La vraie question est de savoir de qui ce maillon dépend. Comment bâtir un inventaire de traitement.
Article complet
L’une des questions les plus fréquentes dans une discussion d’achat est « où nos données sont-elles traitées ? ». La réponse la plus fréquente tient en une phrase : un nom de région. Cette réponse est généralement vraie et généralement incomplète, car elle ne décrit que le premier maillon de la chaîne.
Un produit d’IA ne tourne pas sur un seul serveur. Le fournisseur de modèle, le stockage objet, l’envoi d’e-mails, le suivi d’erreurs, la mesure d’audience — chacun est un maillon distinct susceptible de toucher la donnée. Bâtir un inventaire revient à écrire ces maillons un par un.
1. Une région n’est pas un domicile de société
Un service tournant dans la région de Francfort ne change pas la loi de quel pays la société qui l’exploite doit respecter. Ce sont deux questions distinctes et les contrats emploient souvent l’une pour l’autre. La bonne question est : où la donnée réside-t-elle physiquement, et dans quel pays est établie l’entité juridique qui y a accès ?
2. Une liste de sous-traitants doit être un document
Une liste de prestataires récitée oralement ne vaut rien dans un audit. Ce qui compte, c’est la liste de sous-traitants publiée en annexe de l’accord de traitement des données : quelle société, dans quel but, dans quelle région. Si cette liste n’existe pas, la question suivante est pourquoi.
3. Journaux, sauvegardes et accès du support
Ce sont les trois éléments le plus souvent oubliés. La base principale peut siéger dans la bonne région pendant que les enregistrements de suivi d’erreurs voyagent vers un autre continent ; les sauvegardes peuvent vivre chez un autre prestataire ; les copies temporaires qu’une équipe de support fait pour résoudre un problème peuvent n’être écrites nulle part.
Ce qui a sa place dans l’inventaire
- Stockage principal — quelle région, quel prestataire
- Sauvegardes et instantanés — où, à quelle fréquence, conservés combien de temps
- Journaux et suivi d’erreurs — contiennent-ils des données personnelles ?
- Appels de modèle — que met-on dans l’invite, le fournisseur la conserve-t-il ?
- Accès du support — qui, dans quelles circonstances, est-ce journalisé ?
4. Un appel de modèle est aussi un transfert
Une invite envoyée à un fournisseur de modèle externe est un transfert de données si elle porte en elle un nom de client ou un détail de contrat. Un engagement « nous ne la stockons pas » n’y change rien ; le transfert, lui, a eu lieu. Dans l’inventaire, cette ligne compte autant que celle de la base de données.
Conséquence pratique : élaguer ce que vous mettez dans l’invite abaisse votre surface de transfert autant que votre coût. La donnée que vous n’envoyez pas est une donnée que vous ne transférez pas.
Ce que change le fait de tourner sur son propre matériel
Faire tourner l’infrastructure sur son propre matériel raccourcit la chaîne mais ne la supprime pas — la cible de sauvegarde, la source de mise à jour et l’accès distant regardent encore vers l’extérieur. Ce qui change, c’est qui décide pour chacun de ces maillons. C’est une affirmation sur le contrôle, pas sur la sécurité.
En bref
Quatre questions à poser à un prestataire
- Où votre liste de sous-traitants est-elle publiée par écrit ?
- Les journaux, sauvegardes et accès du support y figurent-ils ?
- Que sort du système lors d’un appel de modèle, et combien de temps est-ce conservé ?
- Comment sommes-nous prévenus quand la liste change ?
Si les quatre ont une réponse écrite, l’affirmation peut être vérifiée. Sinon, vous avez une affirmation et aucune vérification.
Du glossaire : Résidence des données UE · Chiffrement de bout en bout