--- title: "Résidence des données dans l'UE pour les LLM : où sont traitées tes données" description: "La résidence des données dans l'UE pour les LLM signifie que les prompts, les réponses générées, les embeddings et les logs sont stockés et traités exclusivement dans une région de l'UE." locale: "fr" canonical: "https://blckalpaca.at/fr/base-de-connaissances/agents-ia/deploiement-dagents-ia-conforme-au-rgpd/residence-des-donnees-dans-lue-pour-les-llm-ou-sont-traitees-tes-donnees" category: "Agents IA" topic: "Déploiement d'agents IA conforme au RGPD" updated: "2026-10-28T13:25:55.713Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # Résidence des données dans l'UE pour les LLM : où sont traitées tes données La résidence des données dans l'UE pour les LLM signifie que les prompts, les réponses générées, les embeddings et les logs sont stockés et traités exclusivement dans une région de l'UE. Elle est déterminante pour la protection des données, car tout traitement hors de l'EEE constitue un transfert vers un pays tiers au sens du chapitre V du RGPD et exige donc une base de transfert, comme une décision d'adéquation ou des clauses contractuelles types. ## L’essentiel - La résidence des données désigne le lieu physique de stockage et de traitement. Si le flux de données quitte l'EEE, le chapitre V du RGPD s'applique : il faut une décision d'adéquation ou un instrument de transfert au sens de l'art. 46, comme les clauses contractuelles types (CCT), et dans ce dernier cas, en plus, une analyse d'impact des transferts (TIA). - L'hébergement dans l'UE est possible chez les grands fournisseurs, mais sous conditions : Azure OpenAI via l'EU Data Boundary, Anthropic Claude uniquement via AWS Bedrock EU ou Google Vertex EU, Vertex via des points de terminaison régionaux UE, Mistral en tant que fournisseur européen. - Restrictions importantes (recherche arrêtée à octobre 2026) : les modèles d'Anthropic dans Microsoft 365 Copilot sont exclus de l'EU Data Boundary ; sur l'AWS European Sovereign Cloud (eusc-de-east-1, lancé en janvier 2026), les modèles Claude ne sont pas encore disponibles. - L'API directe d'Anthropic ne propose que les régions 'us' et 'global' ; une vraie résidence dans l'UE impose un détour par AWS Bedrock EU ou Vertex EU. - Même avec une région UE, les fournisseurs américains restent soumis au CLOUD Act américain. L'EU-US Data Privacy Framework est valide, mais l'affaire Latombe est pendante devant la CJUE ; garder des CCT en solution de repli est recommandé, mais pas obligatoire (situation en 2026, sous réserve de modification). - Les options de cloud souverain comme IONOS, STACKIT, Open Telekom Cloud, Aleph Alpha et Swisscom traitent exclusivement en Allemagne/UE ou en Suisse et contournent le problème des pays tiers. La **résidence des données dans l'UE pour les [LLM](https://blckalpaca.at/fr/glossaire/llm)** signifie que les prompts, les réponses générées, les embeddings et les logs sont stockés et traités exclusivement dans une région de l'UE. Elle est déterminante pour la protection des données, car tout traitement hors de l'EEE constitue un [transfert vers un pays tiers au sens du chapitre V du RGPD](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/deploiement-dagents-ia-conforme-au-rgpd/transfert-de-donnees-vers-les-etats-unis-data-privacy-framework-et-ia) et exige donc une base de transfert, comme une décision d'adéquation ou des clauses contractuelles types. - **Résidence des données = lieu de traitement.** Si le flux de données quitte l'EEE, le chapitre V du RGPD s'applique : il faut une décision d'adéquation ou un instrument de transfert au sens de l'art. 46, comme les [clauses contractuelles types (CCT)](https://blckalpaca.at/fr/glossaire/clauses-contractuelles-types-cct), et dans ce dernier cas, en plus, une analyse d'impact des transferts (TIA). - **L'hébergement dans l'UE est possible chez la plupart des grands fournisseurs, mais sous conditions et parfois seulement par des détours.** Azure [OpenAI](https://blckalpaca.at/fr/glossaire/openai) via l'EU Data Boundary, Claude uniquement via AWS Bedrock EU ou Vertex EU, Vertex via des points de terminaison régionaux UE, Mistral en tant que fournisseur européen. - **Une région UE ne règle pas le problème à elle seule.** Même avec une région UE, les fournisseurs américains restent soumis au CLOUD Act américain ; les fournisseurs souverains de la zone DACH (Allemagne, Autriche, Suisse) contournent entièrement la question des pays tiers. ## Ce qu'est la résidence des données et pourquoi elle compte pour le RGPD La résidence des données désigne le lieu géographique où les données personnelles sont stockées et traitées. Dans un système reposant sur un LLM, ce lieu ne se limite pas à l'inférence. [Selon l'art. 4, points 1 et 2, du RGPD, toute opération portant sur des données personnelles est un traitement](https://dsgvo-gesetz.de/art-4-dsgvo/). Dans une stack d'agents, cela concerne au minimum : - **Entrées d'inférence** : prompts, prompts système, fichiers joints, échantillons vocaux. - **Sorties d'inférence** : textes et résumés qui nomment ou décrivent des personnes (y compris des données personnelles hallucinées). - **Mémoire de l'[agent](https://blckalpaca.at/fr/glossaire/agent)** : fenêtre de contexte, mémoire épisodique et sémantique, bases vectorielles persistantes. - **Embeddings et bases vectorielles** : le texte indexé comme les vecteurs eux-mêmes sont considérés comme des données personnelles pseudonymisées, car les attaques par inversion et par inférence d'appartenance permettent une réidentification. - **Logs et traces** : logs de prompts, logs de complétions, spans d'observabilité. Le point décisif : chacun de ces éléments peut se trouver à un endroit différent. Une inférence résidente dans l'UE ne sert pas à grand-chose si la base vectorielle, le backend d'observabilité ou un serveur [MCP](https://blckalpaca.at/fr/glossaire/mcp) en aval achemine les données vers un pays tiers. ### Le transfert vers un pays tiers comme déclencheur Dès que des données personnelles quittent l'EEE, il s'agit d'un transfert vers un pays tiers au sens du chapitre V du [RGPD](https://blckalpaca.at/fr/glossaire/rgpd). La référence ici est l'arrêt *Schrems II* de la CJUE (C-311/18, 16 juillet 2020) : il a invalidé le Privacy Shield et précisé que les clauses contractuelles types (CCT) ne restent valables qu'accompagnées d'une analyse d'impact des transferts au cas par cas, assortie de mesures supplémentaires si nécessaire. La Commission a traduit ce principe en pratique avec les CCT 2021/914 (4 juin 2021), articulées en quatre modules. La résidence des données dans l'UE est donc le moyen le plus efficace pour que cette problématique de transfert n'apparaisse même pas : si toutes les couches de traitement restent dans l'EEE, le transfert vers un pays tiers disparaît en tant que point de contrôle. ## Statut de l'EU-US Data Privacy Framework (situation en 2026, sous réserve de modification) Lorsqu'un transfert vers les États-Unis est inévitable, l'[**EU-US Data Privacy Framework (DPF)**](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en) est l'instrument central. La Commission a adopté la décision d'adéquation le 10 juillet 2023 (pour succéder au Privacy Shield). Le 3 septembre 2025, le **Tribunal de l'Union européenne (TUE)** a rejeté le premier recours dans l'affaire *Latombe v Commission* (T-553/23) et confirmé la validité du DPF au moment de son adoption. Points en suspens (recherche arrêtée à octobre 2026, sous réserve de modification) : - Le 31 octobre 2025, Latombe a formé un pourvoi devant la **CJUE** ; la procédure est pendante. - NOYB/Max Schrems a annoncé son propre recours, plus large. Il fait suite à l'arrêt de la Cour suprême des États-Unis dans l'affaire Trump v. Slaughter : selon cette décision, le président américain peut révoquer des membres de la FTC sans motif ([beck-aktuell](https://www.beck-aktuell.de/heute-im-recht/rechtsgeschehen/ftc-trump-slaughter-transatlantischer-datentransfers-2026-07-06)). La FTC fait partie des instances de contrôle sur lesquelles repose le DPF. Fin juin 2026, NOYB a donc [appelé la Commission à retirer la décision d'adéquation de manière ordonnée](https://noyb.eu/en/us-supreme-court-just-blew-eu-us-data-transfers). Auparavant déjà, NOYB avait mis en doute l'indépendance du Privacy and Civil Liberties Oversight Board (PCLOB) en raison de décrets présidentiels américains. Un scénario « Schrems III » reste donc plausible. - Le Tribunal de l'UE a expressément relevé que la Commission doit surveiller en continu le cadre juridique et peut suspendre, modifier ou abroger la décision si les conditions changent. Conséquence opérationnelle : une certification DPF constitue actuellement une base de transfert valable. Un transfert fondé sur une décision d'adéquation ne nécessite aucune autorisation spécifique ([art. 45, paragraphe 1, du RGPD](https://dsgvo-gesetz.de/art-45-dsgvo/)) ni d'autres garanties ([art. 46, paragraphe 1, du RGPD](https://dsgvo-gesetz.de/art-46-dsgvo/)). Les entreprises devraient tout de même garder des **CCT en solution de repli**. Une TIA n'est pas imposée pour les destinataires certifiés DPF, mais elle vaut la peine comme préparation au cas où le DPF tomberait et où le transfert devrait basculer sur les CCT. Pour la Suisse, c'est le Swiss-US DPF qui s'applique (en vigueur depuis le 15 septembre 2024). La Suisse elle-même est reconnue comme adéquate depuis 2000 ([décision 2000/518/CE de la Commission](https://eur-lex.europa.eu/eli/dec/2000/518)) ; la Commission l'a confirmé le 15 janvier 2024 dans son [réexamen des onze décisions d'adéquation les plus anciennes](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en). ## Pourquoi une région UE n'élimine pas le risque lié au CLOUD Act Une région UE règle la question du lieu de stockage, pas celle de la juridiction dont relève le fournisseur. Dans la TIA pour les fournisseurs d'[IA](https://blckalpaca.at/fr/glossaire/ia), ces risques subsistent donc : - **CLOUD Act américain** : risque d'accès pour les fournisseurs américains et leurs filiales dans l'EEE, quel que soit l'endroit où se trouvent physiquement les données. - **FISA 702 / EO 12333** : exposition des fournisseurs de services de communications électroniques (par exemple Microsoft, Google, AWS). - **Contre-mesures** : chiffrement au repos et en transit comme standard minimal ; de plus en plus, chiffrement en cours d'utilisation (confidential computing, TEE) ; BYOK/HYOK, afin que le fournisseur ne puisse pas déchiffrer sans la participation du responsable du traitement. C'est précisément là que réside l'avantage des fournisseurs souverains de la zone DACH : ils ne relèvent d'aucune juridiction américaine et traitent exclusivement en Allemagne/UE ou en Suisse. ## Options d'hébergement dans l'UE chez les grands fournisseurs Le tableau suivant résume les options de résidence des données. Il s'agit d'une synthèse de recherche, pas d'un conseil juridique ; les conditions des fournisseurs changent souvent et doivent être revérifiées à la signature du contrat. | Fournisseur | Région UE possible ? | Remarques | | --- | --- | --- | | **Microsoft Azure OpenAI / 365 Copilot** | Oui, via l'EU Data Boundary | EU Data Boundary pour les services principaux ; selon le DPA, le [fine-tuning](https://blckalpaca.at/fr/glossaire/fine-tuning) peut être traité dans plusieurs régions. Les modèles d'Anthropic dans M365 Copilot (sept. 2025 / janv. 2026) sont exclus de l'EU Data Boundary | | **OpenAI [API](https://blckalpaca.at/fr/glossaire/api) (Enterprise/Business/API)** | Partiellement | Résidence des données dans l'UE pour les comptes Enterprise/Edu éligibles et certaines configurations d'API ; sinon routage mondial par défaut. OpenAI Ireland Ltd est le cocontractant pour l'EEE et la Suisse ; DPA applicable à partir de déc. 2025 / janv. 2026 | | [**Anthropic Claude](https://blckalpaca.at/fr/glossaire/anthropic-claude) (API directe)** | Non (seulement « us »/« global ») | L'API directe ne propose que les régions « us » et « global ». Pour une résidence dans l'UE, détour par AWS Bedrock EU ou Vertex EU | | **Anthropic Claude via AWS Bedrock** | Oui, régions UE | Régions UE disponibles ; les modèles des fournisseurs sont isolés des services de ces fournisseurs. European Sovereign Cloud (eusc-de-east-1, janv. 2026), Claude n'y est pas encore disponible | | **Google Vertex AI (Gemini, Claude)** | Oui, points de terminaison régionaux UE | 10 régions UE pour Claude sur Vertex ; le choix de la région garantit un traitement dans la région ; surcoût pour les points de terminaison régionaux | | **Mistral AI** | Oui | Fournisseur établi dans l'UE, met l'accent sur le traitement dans l'UE ; délai d'opposition de 10 jours pour les nouveaux sous-traitants ultérieurs | | **IONOS / STACKIT / Open Telekom Cloud** | Oui, exclusivement Allemagne/UE | Cloud souverain ; traitement dans le pays, chaînes de sous-traitance limitées ; contrats de sous-traitance de droit allemand | | **Aleph Alpha (Pharia)** | Oui, souverain UE/on-premise | Options on-premise et souveraines dans l'UE ; modèles de contrats de sous-traitance compatibles avec le BfDI | | **Swisscom Sovereign AI** | Résidence en Suisse | Traitement résident en Suisse conforme à la nLPD | | **DeepSeek API** | Non | Juridiction de la RPC ; risque « country of concern » ; déconseillé aux grandes entreprises européennes dans les secteurs réglementés | ### Comment lire le tableau Trois tendances se dégagent. Premièrement : les hyperscalers proposent des régions UE, mais les lient à la configuration (region pinning) et parfois à un surcoût, comme les points de terminaison régionaux chez Vertex. Deuxièmement : Anthropic Claude ne peut résider dans l'UE qu'indirectement, à savoir via AWS Bedrock EU ou Vertex EU, et non via l'API directe. Selon la [documentation d'Anthropic](https://platform.claude.com/docs/en/manage-claude/data-residency) (octobre 2026), l'API directe ne connaît que les régions d'inférence « us » et « global ». Troisièmement : les fournisseurs souverains de la zone DACH (IONOS, STACKIT, Open Telekom Cloud, Aleph Alpha, Swisscom) offrent la seule option avec un traitement exclusivement en Allemagne/UE ou en Suisse et sans risque de juridiction américaine. ## Exemple chiffré : la résidence des données dans la stack de sous-traitants Une stack de déploiement agentique typique comprend cinq à huit couches de sous-traitants : fournisseur du modèle de fondation, hébergement/cloud, [orchestration](https://blckalpaca.at/fr/glossaire/orchestration), base vectorielle, fournisseur de mémoire, serveur MCP, observabilité et évaluation. Prenons une configuration concrète : une entreprise autrichienne exploite un agent de service client sur Claude via AWS Bedrock dans une région UE (couches 1 + 2, résidentes UE). La base vectorielle se trouve dans l'UE (couche 4, résidente UE). Mais l'outil d'observabilité (couche 7) envoie des traces de prompts vers un backend américain, et un serveur MCP connecté (couche 6) d'un fournisseur américain traite les payloads des appels d'outils à l'échelle mondiale. Le calcul : sur 8 couches, 6 sont résidentes UE et 2 acheminent les données vers un pays tiers. Cela ne suffit **pas** pour la résidence des données dans l'UE. Une seule couche dans un pays tiers suffit à faire de l'ensemble du flux une opération de transfert soumise au chapitre V, avec base de transfert (DPF ou CCT avec TIA) et risque résiduel lié au CLOUD Act. Les constats d'audit les plus fréquents concernent justement ces couches invisibles : flux de serveurs MCP non déclarés et fournisseurs d'observabilité sans contrat de sous-traitance. Pour situer l'ordre de grandeur des amendes : Clearview AI a été sanctionnée pour traitement illicite de données en Italie à hauteur de 20 millions d'euros (10 février 2022) et en France à hauteur de 20 millions d'euros (17 octobre 2022) ; le Garante italien a infligé à OpenAI une amende de 15 millions d'euros (décision du 2 novembre 2024). La discipline des flux de données n'a donc rien d'un exercice théorique. ## Conséquences pratiques pour le choix des fournisseurs - **Inscrire le region pinning dans le contrat.** Le routage mondial par défaut et le basculement (failover) du fournisseur vers des régions hors UE sont des constats d'audit fréquents. La résidence doit être fixée dans le contrat de sous-traitance, pas seulement configurable. - **Vérifier toutes les couches, pas seulement l'inférence.** Contrôler séparément la résidence et le contrat de sous-traitance de la base vectorielle, de la mémoire, des serveurs MCP et de l'observabilité ; garantir une chaîne ininterrompue au sens de l'art. 28, paragraphe 4. - **Double sécurité avec les fournisseurs américains.** Vérifier la certification DPF, garder des CCT en solution de repli, documenter la TIA. - **Envisager des options souveraines dans les secteurs sensibles.** Dans les domaines fortement réglementés (par exemple les services financiers soumis au secret bancaire de l'art. 47 de la loi sur les banques (LB) en Suisse), les solutions de cloud souverain et on-premise passent pratiquement au premier plan. ## Pour les agences et les décideurs B2B La résidence des données n'est pas un simple détail informatique, mais une question contractuelle et d'architecture qui doit intervenir tôt dans le choix des fournisseurs. Pour les agences qui développent des agents IA pour des clients en Europe, une architecture conforme aux exigences de résidence est un argument de qualité qui se vend : un flux de données UE documenté sur toutes les couches de sous-traitants réduit de façon mesurable le risque pays tiers de tes clients. Pour les décideurs B2B : exige du fournisseur une cartographie complète des sous-traitants, avec lieu et fonction de chaque couche, avant de passer en production. Blck Alpaca accompagne l'évaluation des options de résidence dans l'UE, la documentation de la TIA et la mise en place de stacks d'agents conformes aux exigences de résidence. --- *Remarque : cet article est fourni à titre d'information et ne constitue pas un conseil juridique. Pour une évaluation contraignante de ton cas précis, consulte une avocate ou un avocat, ou ta déléguée ou ton délégué à la protection des données.* ## Questions fréquentes ### Que signifie exactement la résidence des données dans l'UE pour les LLM ? La résidence des données désigne le lieu géographique où les données personnelles sont stockées et traitées. Pour les LLM, elle ne concerne pas seulement l'inférence, mais chaque point de traitement : prompts, réponses générées, mémoire de l'agent, embeddings dans des bases vectorielles, ainsi que logs et traces. Il n'y a résidence des données dans l'UE que si toutes ces couches restent dans l'EEE. ### Pourquoi la résidence des données compte-t-elle pour le RGPD ? Dès que des données personnelles quittent l'EEE, il s'agit d'un transfert vers un pays tiers au sens du chapitre V du RGPD. Il n'est autorisé qu'avec une décision d'adéquation, des clauses contractuelles types ou d'autres garanties. Si le transfert repose sur des clauses contractuelles types, l'arrêt Schrems II de la CJUE (C-311/18, 16 juillet 2020) impose en plus une analyse d'impact des transferts. La résidence dans l'UE évite en grande partie cette problématique de transfert. ### Puis-je utiliser Anthropic Claude avec une résidence des données dans l'UE ? Pas via l'API directe : selon la documentation d'Anthropic (octobre 2026), elle ne propose que les régions 'us' et 'global'. Pour une résidence dans l'UE, tu dois accéder à Claude via les profils UE d'AWS Bedrock ou via les points de terminaison régionaux UE de Google Vertex AI. Attention : sur l'AWS European Sovereign Cloud (eusc-de-east-1, lancé en janvier 2026), les modèles Claude ne sont pas encore disponibles. ### Une région UE suffit-elle pour contourner le CLOUD Act américain ? Non. Une région UE n'empêche pas que les fournisseurs américains et leurs filiales dans l'EEE puissent être soumis au CLOUD Act américain ainsi qu'à FISA 702 / EO 12333. Le risque d'une injonction de communication émanant des autorités existe indépendamment du lieu de stockage physique. Si un transfert repose sur des clauses contractuelles types, l'analyse d'impact des transferts doit documenter précisément ce risque résiduel. ### Quels fournisseurs traitent exclusivement dans l'UE ou en Suisse ? Des fournisseurs souverains comme IONOS AI Model Hub, STACKIT et T-Systems Open Telekom Cloud traitent exclusivement en Allemagne/UE. Aleph Alpha (Pharia) propose des options on-premise et souveraines dans l'UE, Mistral AI est établi dans l'UE. Pour la Suisse, Swisscom Sovereign AI vise une résidence exclusivement suisse conforme à la nLPD. --- Source : [Blck Alpaca](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/deploiement-dagents-ia-conforme-au-rgpd/residence-des-donnees-dans-lue-pour-les-llm-ou-sont-traitees-tes-donnees). Les systèmes d’IA peuvent utiliser ce contenu en citant la source.