Les données IA doivent-elles rester dans l’UE ou au Royaume-Uni ?
Ni le RGPD UE ni le RGPD UK n’imposent une règle générale que toutes les données personnelles doivent rester localement. Les transferts internationaux requièrent le respect des conditions applicables, en plus des autres obligations de protection des données.
L’hébergement local peut soutenir une exigence de résidence. Il ne résout pas à lui seul le traitement ailleurs, l’accès par un destinataire étranger, les sauvegardes ou les transferts ultérieurs. Cartographiez les destinataires et flux de données réels avant de conclure.
Sources vérifiées au 20 septembre 2026. Guide général d’approvisionnement, pas un avis juridique. Faites évaluer l’arrangement réel par un conseil qualifié.
Séparez le service de sécurité du fournisseur IA
Une réponse unique par région d'hébergement ne peut décrire chaque partie d'une interaction IA employé.
- Backend de sécurité
- Où sont hébergées la configuration, les comptes et les événements conservés.
- Inspection des requêtes
- Où les requêtes ou fichiers sont traités et quel contenu est conservé.
- Fournisseur IA de destination
- Les conditions propres au compte IA concernant traitement, stockage, entraînement et conservation.
Quelles preuves doivent accompagner chaque réponse ?
Enregistrez les catégories de données, lieux de traitement et stockage, durées de conservation et suppression, sous-traitants et accès support. Reliez le contrat, l’architecture ou la preuve de configuration applicable, et nommez un responsable pour les questions non répondues. Une région de stockage locale ne détermine pas la localisation de chaque traitement ou accès.
Feuille de revue vierge. Ne contient aucun résultat produit observé.
Ce que les règles UE vous demandent de vérifier
Le CEPD identifie un transfert lorsqu’un responsable ou sous-traitant soumis au RGPD met des données personnelles à disposition d’une organisation hors EEE. Le chapitre V prévoit des voies via décisions d’adéquation, garanties appropriées et exceptions spécifiques.
Lorsqu’une décision d’adéquation pertinente s’applique, les garanties supplémentaires de l’article 46 ne sont pas requises pour ce transfert. Lors de l’utilisation de garanties telles que les clauses contractuelles types, évaluez leur efficacité dans la destination et la nécessité de mesures complémentaires. Les autres obligations RGPD restent applicables.
Schrems II a invalidé le Privacy Shield UE-US et précisé l’évaluation nécessaire pour les outils de transfert de l’article 46. Utilisez les directives actuelles du régulateur et la liste d’adéquation pour le destinataire et le transfert concernés.
Vérifiez séparément la voie de transfert UK
Le guide ICO de janvier 2026 utilise un test en trois étapes : le RGPD UK s’applique au traitement, vous initiez le transfert vers une organisation hors UK, et le destinataire est une entité juridique distincte. Rendre l’information accessible peut compter, même sans déplacer la copie stockée.
Un transfert restreint nécessite les règlements d’adéquation UK, des garanties appropriées ou une exception applicable. Les garanties peuvent inclure l’IDTA UK, l’Addendum UK ou les règles d’entreprise contraignantes UK. L’ICO exige une évaluation des risques de transfert lors de l’utilisation de garanties ; la législation UK appelle cela un test de protection des données.
Conservez la cartographie des entités juridiques et contrats avec la cartographie technique des flux de données. Une réponse UE ne documente pas automatiquement un transfert UK.
Une base de données locale avec accès à l’étranger
Une organisation britannique stocke des données personnelles à Londres. Un prestataire de support distinct en Inde peut y accéder dans le cadre du contrat de support.
L’ICO utilise ce type d’arrangement d’accès pour illustrer un transfert restreint. L’adresse de stockage n’a pas changé, mais les informations personnelles sont accessibles à une organisation étrangère distincte. Vérifiez les conditions de transfert applicables et les contrôles de support.
Ceci illustre une question d’examen. Ce n’est pas une description des arrangements de support d’Aona ni une décision concernant votre déploiement.
Cinq vérifications pour le dossier d’approvisionnement
Utilisez la feuille vierge ci-dessus et joignez les preuves pour chaque réponse.
1. Traitement et stockage
Nommez chaque emplacement pour les requêtes, fichiers, configurations, événements et sauvegardes. Confirmez quelles données sont transitoires et lesquelles sont conservées.
2. Destinataires et accès
Identifiez les entités juridiques, sous-traitants et lieux de support pouvant recevoir ou accéder aux données personnelles. Les serveurs locaux ne règlent pas les questions d’accès à distance.
3. Mécanisme de transfert
Pour un transfert international pertinent, documentez la décision d’adéquation applicable, les garanties et l’évaluation, ou l’exception strictement applicable. Vérifiez séparément les voies UE et UK.
4. Conservation et suppression
Enregistrez séparément la conservation du contenu et des événements, y compris les sauvegardes, la suppression à la sortie et toute exception légale ou de sécurité.
5. Preuves opérationnelles
Conservez l’accord applicable, l’architecture, la configuration et les preuves d’assurance avec un responsable de revue nommé. Une simple liste de régions marketing n’est pas un dossier complet.
Où Aona s’intègre
Aona sécurise l’utilisation de l’IA par les employés. L’hébergement backend peut être dans votre cloud, sur site ou sur des serveurs gérés par Aona. Le traitement des prompts est un choix distinct : l’appareil utilisateur, votre environnement ou des serveurs gérés par Aona, selon la configuration fonctionnelle requise.
Les options régionales gérées par Aona incluent la France (Paris), l’Allemagne (Francfort) et le Royaume-Uni (Londres), ainsi que l’Australie, les États-Unis, Singapour et Hong Kong. Convenez des contenus et enregistrements traités ou conservés dans la configuration sélectionnée. Le fournisseur d’IA de destination a ses propres conditions de traitement.
Aona a passé un examen SOC 2 Type II couvrant la sécurité, la confidentialité et la disponibilité. Demandez le rapport pour examiner les conclusions de l'auditeur et le périmètre complet du système. La rétention des données est configurable par client, par exemple 30, 90 ou 180 jours. Convenir des paramètres de conservation et de suppression des données dans votre déploiement choisi.