ChatGPT Enterprise, Copilot : vos données restent-elles vraiment en Europe ?

« Nos données sont hébergées en Europe, donc elles sont protégées. » C'est l'une des phrases les plus rassurantes — et les plus trompeuses — qu'on entend dans les PME aujourd'hui. Beaucoup de dirigeants choisissent ChatGPT Enterprise ou Microsoft Copilot en pensant que la mention « datacenter européen » règle la question de la souveraineté. Elle ne la règle pas. Une loi américaine, le CLOUD Act, permet aux autorités des États-Unis d'exiger l'accès aux données détenues par une société américaine, où qu'elles soient stockées — y compris dans un centre de données situé en France ou en Irlande. Ce guide explique en clair ce qu'est le CLOUD Act, pourquoi « hébergé en Europe » ne veut pas dire « souverain », qui est réellement concerné, et à quoi ressemble une vraie souveraineté des données.

Une précision d'emblée, pour éviter tout malentendu : ce n'est pas un procès des modèles américains. GPT, Claude ou les modèles de Google sont parmi les meilleurs du marché, et personne de sérieux ne le conteste. L'enjeu n'est pas la qualité du modèle, il est juridictionnel — c'est-à-dire qui peut, en droit, mettre la main sur vos données. On peut tout à fait utiliser ces excellents modèles tout en gardant la maîtrise de la donnée. C'est précisément la nuance que cet article cherche à rendre claire.

Le CLOUD Act, en clair

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) est une loi fédérale américaine adoptée en mars 2018. Son principe est simple à énoncer : un fournisseur de services soumis à la juridiction des États-Unis peut être contraint, par une autorité américaine, de communiquer les données qu'il détient ou contrôle, quel que soit le lieu où ces données sont physiquement stockées.

Autrement dit, le critère qui déclenche l'accès n'est pas l'endroit où se trouvent les serveurs, mais la nationalité du fournisseur. Une entreprise américaine reste soumise au droit américain pour l'ensemble des données sous son contrôle, même celles hébergées dans ses propres centres de données européens. C'est ce qu'on appelle une portée extraterritoriale : la loi suit la société, pas le serveur.

Le CLOUD Act est né d'un litige concret. Dans l'affaire Microsoft v. United States, les autorités américaines réclamaient des e-mails que Microsoft stockait sur des serveurs en Irlande ; Microsoft refusait au motif que les données étaient hors des États-Unis. Le Congrès a tranché en 2018 en votant le CLOUD Act, qui établit que la localisation à l'étranger ne fait pas obstacle à une demande légale américaine. La question « un datacenter européen protège-t-il des autorités américaines ? » a donc reçu une réponse claire : non.

À retenir : il s'agit d'un accès légal, sur réquisition — pas de piratage. Mais pour un dossier médical, un bilan client ou une pièce d'avocat, ce qui compte est qu'un tiers extérieur à l'Union puisse y accéder sans votre accord.

Pourquoi « datacenter en Europe » n'est pas la souveraineté

C'est le cœur du malentendu. Beaucoup d'offres mettent en avant un hébergement européen comme s'il s'agissait d'une garantie de souveraineté. Localiser la donnée en Europe est nécessaire, mais ce n'est pas suffisant. Trois éléments déterminent qui peut réellement accéder à vos données :

• Où elles sont stockées (le datacenter) — c'est le seul point que résout un « hébergement EU ».
• Qui contrôle le fournisseur (sa nationalité, sa maison mère) — c'est ce que vise le CLOUD Act.
• Qui détient les clés et l'infrastructure (chiffrement, exploitation technique).

Un éditeur américain qui ouvre un centre de données en France coche la première case et laisse les deux autres ouvertes : ses serveurs sont en Europe, mais la société reste de droit américain, donc tenue de répondre à une réquisition fondée sur le CLOUD Act. La souveraineté ne se mesure pas à la latitude des serveurs, mais à la chaîne de responsabilité juridique au bout de laquelle se trouve votre donnée.

Concrètement, cela vaut pour les deux outils que les PME adoptent le plus :

• ChatGPT Enterprise est édité par OpenAI, société américaine. Quelles que soient les options de résidence des données proposées, OpenAI reste soumise à la juridiction américaine.
• Microsoft Copilot est édité par Microsoft, société américaine. Microsoft propose une offre « EU Data Boundary » qui maintient certaines données dans l'Union, mais cette localisation ne soustrait pas le groupe au droit américain.

Ces deux produits sont d'excellents outils. Le point n'est pas qu'ils soient mauvais — c'est qu'ils ne peuvent pas, par construction, offrir une souveraineté pleine sur la donnée tant que l'éditeur relève du droit américain. Nous détaillons cette comparaison dans notre analyse face à ChatGPT Enterprise.

Qui est réellement concerné ?

Tout le monde n'a pas le même niveau d'exposition. Pour les usages anodins — reformuler un e-mail interne, traduire une note, brainstormer un plan — la question reste secondaire : aucune donnée sensible ne quitte votre périmètre. Le sujet devient sérieux dès qu'on manipule des données sensibles ou réglementées. Quatre situations sont particulièrement exposées.

Les professions réglementées au secret professionnel. Avocats, experts-comptables, professionnels de santé : leur secret ne s'arrête pas au prompt. Confier une pièce de dossier ou un bilan client à un service dont l'éditeur peut être contraint de livrer la donnée à une autorité étrangère, c'est créer une faille de confidentialité difficile à justifier en cas de contrôle déontologique. Nous l'avons détaillé pour les experts-comptables et les avocats.

Les données personnelles sensibles. Données de santé, données RH, dossiers de candidats : leur traitement par un outil exposé à une juridiction extérieure soulève directement la question du transfert hors UE encadré par le RGPD (voir ci-dessous).

Les marchés publics et secteurs stratégiques. Administrations, opérateurs d'importance vitale, entreprises soumises à des exigences de souveraineté (défense, énergie, santé publique) ont souvent une obligation explicite de non-exposition aux lois extraterritoriales. Pour eux, « hébergé en Europe » ne suffit pas à cocher la case souveraineté d'un cahier des charges.

Toute entreprise soumise au RGPD pour ses transferts. Le RGPD encadre strictement les transferts de données personnelles hors de l'Union (articles 44 et suivants). Or l'existence d'un accès gouvernemental étranger à des données, même hébergées en Europe, est précisément le type de risque que ces règles cherchent à maîtriser — c'est cette logique qui avait conduit la justice européenne à invalider le Privacy Shield en 2020. Confier des données personnelles à un fournisseur soumis au CLOUD Act n'est jamais neutre du point de vue du RGPD.

À quoi ressemble une vraie souveraineté

Une fois le diagnostic posé, la question devient : comment utiliser l'IA sans exposer la donnée à une juridiction étrangère ? Deux conditions doivent être réunies — et c'est leur combinaison qui fait la souveraineté, pas l'une ou l'autre prise isolément.

1. Une chaîne de sous-traitants 100 % européenne pour les données sensibles. L'infrastructure qui traite vos données — hébergement, traitement, exploitation — doit relever d'entreprises soumises au seul droit européen, sans maison mère américaine dans la boucle. C'est ce qui ferme la porte au CLOUD Act. Chez MASKAI, l'anonymisation est hébergée en France, chez Scaleway (Paris), hors de portée des lois extraterritoriales. Notre page de transparence détaille cette chaîne, hébergeur compris.

2. L'anonymisation de la donnée avant l'envoi au modèle. C'est le levier décisif, et il réconcilie les deux mondes. Si les données sensibles sont masquées avant de quitter votre périmètre, alors le modèle — même américain, même excellent — ne reçoit jamais l'information identifiante. Vous gardez la qualité de GPT ou de Claude, mais ce sont des jetons qui transitent, pas vos données réelles.

C'est l'approche d'un proxy IA souverain. MASKAI s'intercale entre vos équipes et les IA grand public (ChatGPT, Claude, Gemini, Mistral) : il masque les données sensibles avant l'envoi, route la requête vers le modèle choisi, puis réinjecte les informations en clair dans la réponse grâce à des jetons réversibles. Le modèle ne voit jamais la donnée brute ; vous, si. Et chaque usage est journalisé, ce qui constitue au passage un registre de conformité utile face à un contrôle.

Une mise en garde honnête, pour finir : l'anonymisation efficace est un vrai sujet technique. Le simple remplacement des noms ne suffit pas — les modèles réinfèrent souvent l'identité d'une personne à partir du contexte (fonction, ville, montant, date). C'est tout l'écart entre une anonymisation naïve et une anonymisation robuste, que nous détaillons dans notre comparatif sur l'anonymisation simple. La souveraineté ne se décrète pas : elle se vérifie, dans la chaîne d'hébergement comme dans la qualité du masquage.

Le bon point de départ reste de mesurer votre exposition réelle : quels outils sont utilisés chez vous, par qui, avec quelles données. Vous pouvez demander une démo pour voir le proxy en fonctionnement, ou réserver un audit pour cartographier vos usages avant d'outiller. Et pour resituer tout cela dans le calendrier réglementaire, notre guide AI Act pour les PME fait le tour de l'échéance du 2 août 2026.

Questions fréquentes

Le CLOUD Act s'applique-t-il à des données hébergées en Europe ?

Oui. Le CLOUD Act, loi américaine de 2018, permet aux autorités des États-Unis d'exiger d'un fournisseur soumis à leur juridiction qu'il communique les données qu'il détient, indépendamment du lieu de stockage. Une donnée hébergée dans un datacenter européen mais gérée par une société américaine reste donc accessible sur réquisition américaine : le critère déclencheur est la nationalité du fournisseur, pas la localisation des serveurs.

ChatGPT Enterprise et Copilot stockent-ils mes données en Europe ?

Ils peuvent proposer des options de résidence ou des périmètres de données en Europe (Microsoft a par exemple son « EU Data Boundary »). Mais OpenAI et Microsoft sont des sociétés américaines : cette localisation européenne ne les soustrait pas au droit américain, CLOUD Act inclus. L'hébergement en Europe réduit certaines questions, sans fournir à lui seul une souveraineté complète sur la donnée.

« Hébergé en Europe » veut-il dire « souverain » ?

Non. La localisation des serveurs en Europe est une condition nécessaire, pas suffisante. La souveraineté dépend aussi de la nationalité du fournisseur (un éditeur américain reste soumis au CLOUD Act) et de qui exploite l'infrastructure. Une vraie souveraineté suppose une chaîne de sous-traitants relevant du seul droit européen, idéalement complétée par l'anonymisation des données avant tout envoi à un modèle.

Les modèles d'IA américains sont-ils à éviter ?

Pas du tout. Les modèles américains (GPT, Claude, Gemini) comptent parmi les meilleurs disponibles, et leur qualité n'est pas en cause. Le sujet est juridictionnel, pas technique : il porte sur qui peut accéder à la donnée, pas sur la performance du modèle. En anonymisant les informations sensibles avant l'envoi, on utilise ces excellents modèles sans leur transmettre de données identifiantes.

Que dit le RGPD sur ces transferts de données ?

Le RGPD encadre strictement les transferts de données personnelles hors de l'Union (articles 44 et suivants). Un accès gouvernemental étranger possible, même sur des données hébergées en Europe, fait partie des risques que ces règles visent à maîtriser — la logique qui avait conduit à l'invalidation du Privacy Shield en 2020. Confier des données personnelles à un fournisseur soumis au CLOUD Act n'est donc jamais neutre au regard du RGPD.