Vos données sont-elles protégées face aux IA américaines ?

La réponse courte : oui, mais sous conditions. La plupart des grandes IA sont américaines. ChatGPT, Gemini, Claude. Pour un utilisateur en France, leur envoyer des données personnelles est un transfert de données hors de l'Union européenne. Le RGPD encadre ce transfert. Depuis juillet 2023, l'EU-US Data Privacy Framework l'autorise vers les entreprises américaines certifiées. Ce cadre reste toutefois contesté après l'arrêt Schrems II. La méthode la plus sûre : anonymiser vos données avant l'envoi. Sans donnée personnelle dans le prompt, il n'y a plus de transfert à encadrer.

Envoyer vos données à une IA américaine, c'est un transfert hors UE

Posons le décor. La plupart des modèles d'IA grand public sont hébergés aux États-Unis. Quand vous collez un texte dans ChatGPT, vos données partent vers des serveurs américains. Si ce texte contient des données personnelles, c'est un transfert international de données. Le RGPD (Règlement général sur la protection des données) traite ce cas dans son chapitre V. Un transfert hors de l'UE n'est licite que s'il repose sur une base juridique valable. Ce n'est pas un détail administratif. C'est une condition de légalité.

Ce que le RGPD exige pour un transfert

Le chapitre V du RGPD prévoit plusieurs bases juridiques. Vous ne pouvez pas transférer des données hors UE sans l'une d'elles. Voici les principales.

• Une décision d'adéquation de la Commission européenne. Elle reconnaît qu'un pays offre un niveau de protection équivalent.
• Des clauses contractuelles types (CCT), signées entre l'exportateur et l'importateur des données.
• Des règles d'entreprise contraignantes (BCR), pour les transferts au sein d'un même groupe.

Pour les États-Unis, la voie la plus simple est la décision d'adéquation. Elle existe depuis 2023, mais elle est conditionnelle. Voyons ce qu'elle couvre exactement.

Le Data Privacy Framework, après Schrems II

Le 10 juillet 2023, la Commission européenne a adopté une décision d'adéquation. Elle s'appuie sur l'EU-US Data Privacy Framework (DPF). Concrètement, une entreprise américaine peut recevoir des données personnelles de l'UE sans formalité supplémentaire. À une condition : être certifiée au titre du DPF. La certification est volontaire. L'entreprise doit s'engager, puis figurer sur la liste tenue par le département du Commerce américain. Toutes les sociétés américaines n'y adhèrent pas. Un fournisseur d'IA n'est donc couvert que s'il s'est certifié.

Le DPF remplace le Privacy Shield. La Cour de justice de l'Union européenne avait invalidé ce dernier en juillet 2020. C'est l'arrêt dit « Schrems II ». La Cour jugeait alors le droit américain insuffisant face aux programmes de surveillance. Avant lui, le Safe Harbor était déjà tombé en 2015.

Où en est-on aujourd'hui ? Le DPF est en vigueur. Il a passé un premier contrôle : le Tribunal de l'Union européenne a rejeté un recours en septembre 2025. Mais le cadre reste contesté. L'association noyb, de Max Schrems, a évoqué de possibles nouveaux recours. Des interrogations politiques ont aussi porté sur les organes de contrôle américains. Il ne faut donc ni le croire définitivement acquis, ni le déclarer tombé.

Le CLOUD Act et la souveraineté numérique

Un autre point nourrit l'inquiétude européenne. Certaines lois américaines, comme le CLOUD Act, peuvent contraindre un fournisseur soumis à la juridiction américaine. Il peut devoir communiquer des données aux autorités. Y compris quand ces données sont stockées hors des États-Unis. C'est l'un des ressorts du débat sur la souveraineté numérique. L'idée est simple : garder la maîtrise de ses données, sans dépendre d'un droit étranger. Pour beaucoup d'entreprises françaises, c'est devenu un critère de choix.

Des alternatives européennes existent

Vous n'êtes pas obligé de vous limiter aux IA américaines. Des acteurs européens montent en puissance. Mistral AI, entreprise française, en est un exemple. Selon sa documentation, Mistral héberge les données en Europe par défaut. L'entreprise se dit nativement soumise au RGPD. Toujours selon Mistral, les entrées et sorties de son API sont conservées 30 jours pour lutter contre les abus, puis supprimées. Elles ne serviraient pas à entraîner ses modèles, sauf accord explicite. Ces politiques évoluent : vérifiez-les directement chez Mistral avant de vous décider.

La parade : anonymiser avant l'envoi

Il existe une solution robuste, quelle que soit l'IA choisie. Anonymisez votre texte avant de l'envoyer. Le raisonnement est simple. S'il n'y a plus de donnée personnelle dans le prompt, il n'y a plus de transfert de données personnelles à encadrer. Vos données sensibles restent sous votre contrôle, côté navigateur. Ce n'est pas une exemption légale certifiée par une autorité. C'est une réduction du risque, à la racine.

L'IA garde toute son utilité. Elle raisonne sur la structure de votre demande. Elle ne voit jamais les vraies valeurs. Vous, vous restaurez ensuite les données réelles, en local. Voici la méthode, étape par étape.

1. 1Repérez les données personnelles dans votre texte : nom, adresse, e-mail, identifiants.
2. 2Remplacez-les par des jetons réversibles, côté navigateur.
3. 3Envoyez seulement le texte anonymisé à l'IA, américaine ou non.
4. 4Restaurez les vraies valeurs dans la réponse, en local.

C'est le rôle d'ONYRI Sanitize. Le moteur détecte les données sensibles — nom, adresse, e-mail, clé API — et les remplace par des jetons réversibles avant l'envoi. La détection et le mapping restent dans votre navigateur. Seul un texte anonymisé atteint le modèle. Que l'IA soit américaine ou européenne, elle n'y trouve que des jetons. Vous gardez la maîtrise de vos données, sans renoncer à la puissance des grands modèles.