Transferts de données vers des LLM américains : obligations pratiques pour les ETI européennes
Chaque jour, des collaborateurs d'ETI européennes saisissent des contrats, des données clients ou des notes RH dans ChatGPT, Claude ou Gemini. Ce geste banal constitue, dans la grande majorité des cas, un transfert de données personnelles hors Union européenne soumis au chapitre V du RGPD. Depuis l'invalidation du Privacy Shield par la Cour de justice de l'UE en 2020 — l'arrêt Schrems II — et malgré l'adoption du Data Privacy Framework (DPF) en juillet 2023, la conformité de ces flux reste un terrain miné. Tour d'horizon des règles et des actions prioritaires.
Le cadre juridique applicable : entre DPF et fragilités persistantes
Le Data Privacy Framework : une stabilité provisoire ?
Le DPF, adopté par la Commission européenne le 10 juillet 2023, rétablit un mécanisme d'adéquation pour les transferts vers les entreprises américaines certifiées. OpenAI, Microsoft (Azure OpenAI), Google et Anthropic figurent ou peuvent figurer sur cette liste. En théorie, un transfert vers un fournisseur certifié DPF ne nécessite pas de garanties supplémentaires.
En pratique, deux réserves s'imposent :
- La menace d'un Schrems III : Max Schrems et NOYB ont annoncé une nouvelle procédure. Le DPF repose sur des réformes américaines (Executive Order 14086) dont la solidité reste contestée devant les juridictions européennes.
- La certification ne couvre pas tout : Elle garantit un niveau de protection des données, mais ne dispense pas du respect de l'ensemble des obligations RGPD : licéité du traitement, minimisation, information des personnes concernées, etc.
Les clauses contractuelles types (CCT) : filet de sécurité ou illusion ?
Pour les fournisseurs non certifiés DPF, les CCT de 2021 restent le mécanisme de transfert le plus courant. Mais depuis Schrems II, leur utilisation impose une évaluation d'impact sur le transfert (Transfer Impact Assessment ou TIA). Ce document doit démontrer que la législation du pays destinataire (notamment le CLOUD Act et la section 702 du FISA) ne prive pas les CCT de leur effet utile.
Exemple concret : une ETI lyonnaise du secteur santé utilise une API LLM pour analyser des comptes-rendus médicaux anonymisés. Elle doit produire un TIA documentant que la pseudonymisation appliquée en amont est suffisante pour écarter le risque d'accès par les autorités américaines.
Les risques spécifiques liés aux LLM
Le shadow AI : la faille principale des ETI
Dans la majorité des ETI, les transferts vers des LLM ne passent pas par la DSI. Un juriste utilise Claude.ai en version gratuite, une comptable exporte un tableau Excel dans ChatGPT : ces usages non cartographiés constituent du shadow AI. Ils représentent des transferts hors UE non encadrés, sans base juridique valide, sans clause contractuelle, sans registre des traitements mis à jour.
Les conséquences potentielles : amendes RGPD (jusqu'à 4 % du CA mondial), notification obligatoire à la CNIL en cas de violation, et — risque souvent sous-estimé — réentraînement des modèles sur vos données confidentielles si vous utilisez des plans gratuits ou non enterprise.
L'enjeu des données d'entraînement et des logs
Les contrats enterprise d'OpenAI, Anthropic ou Google précisent généralement que les données transmises via API ne servent pas à entraîner les modèles. En revanche, les logs de requêtes peuvent être conservés à des fins de sécurité et de débogage. Ce traitement doit figurer dans votre registre et être couvert par une base juridique explicite.
Les obligations pratiques pour les ETI : une checklist opérationnelle
1. Cartographier tous les flux vers des LLM
Commencez par un audit des outils IA utilisés, qu'ils soient officiellement déployés ou non. Identifiez :
- Le fournisseur et la localisation de ses serveurs ;
- La nature des données transmises (personnelles, sensibles, confidentielles) ;
- La base contractuelle existante (plan gratuit, enterprise, API).
2. Valider la base juridique du transfert
Pour chaque flux identifié :
- Vérifier la certification DPF du fournisseur sur le registre officiel du DoC américain ;
- À défaut, signer des CCT et produire un TIA documenté ;
- S'assurer que le traitement sous-jacent dispose d'une base légale RGPD (intérêt légitime, contrat, consentement).
3. Mettre en place des garanties techniques complémentaires
La jurisprudence et les recommandations du CEPD invitent à combiner mesures juridiques et techniques :
- Pseudonymisation ou anonymisation des données avant envoi ;
- Politique d'usage acceptable interdisant l'envoi de données sensibles aux LLM grand public ;
- Déploiement de solutions souveraines ou européennes lorsque le cas d'usage le permet (Mistral, modèles hébergés on-premise).
4. Mettre à jour le registre des traitements et les PIA
Chaque nouveau flux LLM doit générer une entrée dans le registre (article 30 RGPD) et, si les données sont sensibles ou traitées à grande échelle, une analyse d'impact (DPIA). Prévoyez également une clause spécifique dans vos contrats fournisseurs qualifiant le LLM de sous-traitant au sens de l'article 28.
5. Former et sensibiliser les collaborateurs
La conformité technique ne suffit pas si les équipes ignorent les règles. Une note de politique interne claire, une formation courte et des exemples concrets (« ne jamais coller un contrat client dans ChatGPT ») réduisent drastiquement le risque de shadow AI.
Ce que change l'AI Act dans l'équation
L'AI Act, applicable progressivement à partir d'août 2024, introduit une couche supplémentaire pour les LLM à usage général (GPAI). Les fournisseurs comme OpenAI devront publier des résumés des données d'entraînement et respecter des exigences de transparence. Pour les ETI utilisatrices, cela renforce l'obligation de due diligence : choisir un fournisseur conforme AI Act devient un critère de gouvernance, au même titre que la conformité RGPD. Les deux référentiels sont complémentaires et doivent être pilotés conjointement.
FAQ
Un LLM américain certifié DPF dispense-t-il de toute autre formalité RGPD ?
Non. La certification DPF valide uniquement le mécanisme de transfert. Vous devez toujours disposer d'une base légale pour le traitement sous-jacent, informer les personnes concernées, et maintenir votre registre des traitements à jour.
Peut-on utiliser ChatGPT en version gratuite dans un contexte professionnel ?
C'est fortement déconseillé pour des données professionnelles. La version gratuite prévoit dans ses conditions générales la possibilité d'utiliser les conversations pour améliorer les modèles, ce qui prive l'entreprise de toute garantie contractuelle au sens de l'article 28 RGPD.
Qu'est-ce qu'un Transfer Impact Assessment (TIA) et qui doit le réaliser ?
Un TIA est une analyse documentée évaluant si la législation du pays tiers (ici les États-Unis) permet aux CCT de produire leur effet protecteur. Il est réalisé par le responsable de traitement — en pratique le DPO avec l'appui de la DSI et du service juridique — avant tout transfert fondé sur des CCT.
Le déploiement d'un LLM on-premise supprime-t-il tous les risques de transfert ?
Oui, sur le plan des transferts hors UE : les données ne quittent pas votre infrastructure. Mais d'autres obligations RGPD demeurent (sécurité, licéité, registre), et l'AI Act peut s'appliquer si vous déployez un modèle à grande échelle.