« Hébergée en France » : quatre questions en une
La mention « IA hébergée en France » est devenue un argument courant. Elle recouvre pourtant des réalités très différentes, parce qu’un service d’IA générative n’a pas un seul lieu mais plusieurs : celui où dorment vos documents, celui où tourne le modèle qui répond, celui des équipes qui administrent l’infrastructure, et celui dont relève juridiquement le fournisseur. Une promesse qui ne précise pas duquel elle parle ne dit pas grand-chose.
1. Où sont stockées vos données ?
C’est la question la plus simple : où se trouvent les serveurs qui conservent vos documents, vos conversations, vos index de recherche et vos sauvegardes. Un stockage en France place ces données sur le territoire et sous les règles de l’Union européenne, ce qui répond à une partie des attentes, mais seulement à une partie.
2. Où le modèle exécute-t-il votre requête ?
L’inférence est le moment où le modèle lit votre question, avec les extraits de documents que l’outil lui fournit, et produit une réponse. Un service peut stocker ses données en France et envoyer chaque requête à un modèle exécuté ailleurs. Dans ce cas, le contenu de vos échanges quitte bien le territoire, même si rien n’y est conservé. C’est le point que la mention « hébergé en France » laisse le plus souvent dans l’ombre.
3. Qui peut accéder à l’infrastructure ?
Les équipes de sécurité et de maintenance d’un hébergeur peuvent intervenir à distance, parfois depuis d’autres pays. Un accès à distance depuis un pays hors Union européenne est, au sens du RGPD, un transfert possible, qui doit reposer sur une décision d’adéquation ou sur des garanties appropriées. Un fournisseur sérieux le dit, avec les pays concernés et le fondement juridique.
4. De quel droit relève le fournisseur ?
Les données peuvent être physiquement en France tout en étant détenues par une société soumise à une juridiction étrangère. Certaines lois permettent à une autorité d’un pays tiers de demander à un fournisseur relevant de sa juridiction des données qu’il contrôle, où qu’elles soient stockées. Le Cloud Act américain de 2018 en est l’exemple le plus cité : il vise les fournisseurs soumis au droit américain, y compris pour des données situées hors des États-Unis.
Le RGPD pose de son côté, à l’article 48, qu’une décision d’une autorité d’un pays tiers n’est reconnue ou exécutable dans l’Union que sur le fondement d’un accord international. Reste que la question mérite d’être posée au fournisseur : de quel pays relève la société qui opère le modèle et l’hébergement ?
Ce qui est vrai pour Central
Pour chaque question ci-dessus, voici les faits que nous pouvons énoncer, sans label ni certification :
- Stockage : les données sont stockées et traitées en France.
- Inférence : elle passe par défaut par les endpoints IA d’OVHcloud, opérés en Europe. Un second chemin d’inférence existe chez Scaleway, dont l’annexe de l’accord de traitement indique la France comme lieu de traitement. Il est fermé par défaut et ne s’ouvre que pour des modèles explicitement validés, selon la politique de l’organisation et après vérification du dossier du fournisseur.
- Aucune dépendance américaine dans le chemin d’inférence : les deux fournisseurs d’inférence sont des sociétés européennes, et rien dans ce chemin ne repose sur un service américain.
- Calculs annexes : les embeddings, qui servent à retrouver les bons passages de vos documents, sont calculés par un serveur local à la pile de Central, et la modération passe par un modèle de garde exécuté chez le même hébergeur que l’inférence par défaut, sans service américain.
- Accès à distance : deux sociétés du groupe de l’hébergeur, au Canada et au Royaume-Uni, peuvent accéder à l’infrastructure pour la sécurité et la maintenance, sur le fondement de décisions d’adéquation de la Commission européenne. Nous l’écrivons plutôt que de laisser croire que la chaîne s’arrête à la frontière française.
- Connecteurs externes : ils sont hors du chemin d’inférence. Une destination hors Union européenne est signalée et bloquée par défaut ; elle exige une activation documentée par un administrateur.
Ce que nous ne disons pas
Nous n’écrivons pas que « tout est en France » : le stockage et l’inférence par défaut sont en France ou en Europe selon le chemin, et l’accès à distance de l’hébergeur peut venir de pays à décision d’adéquation. Les autres sous-traitants (paiement, courriel de service) figurent avec leur lieu de traitement dans l’annexe de l’accord de traitement des données. Un hébergeur d’inférence applique aussi ses propres durées techniques de conservation : Scaleway, par exemple, déclare ne conserver aucune requête sauf trafic nuisant au service, auquel cas le contenu concerné peut être gardé jusqu’à deux semaines pour investigation.
Cette page n’est ni une certification ni un avis juridique. Pour les attentes réglementaires côté données personnelles, voir IA et RGPD en entreprise et la page Confiance.
Cinq questions à poser à tout fournisseur d’IA
- Où sont stockées mes données, y compris les sauvegardes ?
- Où le modèle exécute-t-il mes requêtes, et chez quel hébergeur ?
- Qui peut accéder à l’infrastructure à distance, depuis quels pays, et sur quel fondement juridique ?
- De quel pays relèvent les sociétés de la chaîne, hébergeur compris ?
- Quelles durées de conservation chaque maillon applique-t-il à mes requêtes ?
Questions fréquentes
Que signifie « IA hébergée en France » ?
La formule peut désigner le lieu de stockage des données, le lieu où le modèle exécute les requêtes, le lieu d’où l’infrastructure est administrée, ou le pays dont relève le fournisseur. Ces quatre éléments sont distincts et méritent chacun une réponse précise.
Stocker les données en France suffit-il à garantir leur confidentialité ?
Non. Si le modèle exécute les requêtes ailleurs, le contenu des échanges quitte le territoire, et si le fournisseur relève d’une juridiction étrangère, certaines lois extraterritoriales peuvent s’appliquer. Le lieu de stockage est une garantie parmi d’autres.
Où l’inférence de Central est-elle exécutée ?
Par défaut chez OVHcloud, sur ses endpoints IA opérés en Europe. Un second chemin existe chez Scaleway, dont l’annexe de l’accord de traitement indique la France comme lieu de traitement. Il est fermé par défaut et réservé à des modèles explicitement validés.
Y a-t-il une dépendance à un service américain dans le chemin d’inférence ?
Non. Les deux fournisseurs d’inférence sont des sociétés européennes et aucun service américain n’intervient dans ce chemin. Les autres sous-traitants, avec leur lieu de traitement, sont listés dans l’annexe de l’accord de traitement.
Tout se passe-t-il donc en France chez Central ?
Non, et nous ne l’écrivons pas. Les données sont stockées et traitées en France, mais l’hébergeur dispose d’accès à distance depuis le Canada et le Royaume-Uni pour la sécurité et la maintenance, sur le fondement de décisions d’adéquation. Le détail figure dans l’accord de traitement.
Les connecteurs externes envoient-ils des données hors d’Europe ?
Un connecteur ne transmet des données que s’il a été activé par un administrateur. Les destinations hors Union européenne sont signalées et bloquées par défaut, et leur activation est documentée.