--- title: "Transfert de données vers les États-Unis : Data Privacy Framework et IA" description: "Depuis le 10 juillet 2023, l'EU-US Data Privacy Framework autorise les transferts vers des fournisseurs américains certifiés. Voici comment sécuriser en plus tes agents IA avec des CCT et une AITD." locale: "fr" canonical: "https://blckalpaca.at/fr/base-de-connaissances/agents-ia/deploiement-dagents-ia-conforme-au-rgpd/transfert-de-donnees-vers-les-etats-unis-data-privacy-framework-et-ia" category: "Agents IA" topic: "Déploiement d'agents IA conforme au RGPD" updated: "2026-10-28T13:25:58.982Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # Transfert de données vers les États-Unis : Data Privacy Framework et IA L'EU-US Data Privacy Framework (DPF) est la décision d'adéquation de la Commission européenne, en vigueur depuis le 10 juillet 2023, qui permet de transférer des données personnelles vers des entreprises américaines certifiées. Pour les agents IA qui s'appuient sur des fournisseurs américains, c'est aujourd'hui la base centrale, mais juridiquement contestée, des transferts vers des pays tiers au titre du chapitre V du RGPD. ## L’essentiel - L'EU-US Data Privacy Framework s'applique comme décision d'adéquation depuis le 10 juillet 2023 ; le Tribunal de l'Union européenne l'a confirmé le 3 septembre 2025 dans l'affaire Latombe (T-553/23), mais expressément au regard de la seule date de son adoption. Un pourvoi devant la CJUE (depuis le 31 octobre 2025) et une contestation plus large annoncée par NOYB rendent son statut provisoire (état en 2026, sous réserve de modifications). - Schrems II (CJUE C-311/18, 16 juillet 2020) reste la référence : les clauses contractuelles types (CCT 2021/914, 4 juin 2021) ne produisent leurs effets qu'avec une analyse d'impact des transferts de données (AITD) propre à chaque cas et, le cas échéant, des mesures supplémentaires. - Comme base de transfert, une certification DPF active du destinataire américain couvrant tes catégories de données suffit. Selon le CEPD, des garanties supplémentaires ne sont alors pas nécessaires. Si le fournisseur est sous-traitant, tu as tout de même besoin d'un contrat de sous-traitance au sens de l'art. 28 du RGPD. Par précaution face à une disparition du DPF, une double sécurité est utile : des CCT comme solution de repli et une AITD documentée. - Pour les agents IA, tous les flux de données comptent : prompts, sorties d'inférence, mémoire de l'agent, bases vectorielles, appels d'outils et logs quittent souvent l'espace européen. Chaque saut constitue potentiellement un transfert distinct vers un pays tiers. - Le profil de risque de l'AITD pour les fournisseurs américains couvre le CLOUD Act, FISA 702 / EO 12333 ainsi que des mesures de protection comme le chiffrement au repos, en transit et en cours d'utilisation, le BYOK/HYOK et la résidence des données dans l'UE. - La Suisse applique son propre régime : le Swiss-US DPF depuis le 15 septembre 2024, sinon les CCT de l'UE avec Swiss Finish selon le guide du PFPDT sur les clauses types de protection des données (publié le 27 août 2021, dernière mise à jour le 12 février 2025). La Suisse elle-même est reconnue par l'UE comme offrant un niveau de protection adéquat depuis 2000 (décision 2000/518/CE). La Commission européenne l'a confirmé le 15 janvier 2024 dans son rapport de réexamen. Le transfert vers un pays tiers est souvent le volet de conformité le plus critique lors du déploiement d'agents IA : dès qu'un [agent](https://blckalpaca.at/fr/glossaire/agent) appelle un endpoint de modèle hébergé aux États-Unis, les prompts, les sorties et le contenu des appels d'outils quittent l'espace européen. Le [chapitre V du RGPD](https://gdpr-info.eu/) s'applique alors. Depuis le 10 juillet 2023, l'EU-US Data Privacy Framework (DPF) en est la base d'adéquation centrale. Il est juridiquement valable, mais contesté, et doit donc être traité comme provisoire. - **Le DPF s'applique, mais reste incertain :** en vigueur depuis le 10 juillet 2023, confirmé le 3 septembre 2025 par le Tribunal de l'UE (au regard de la date de son adoption), mais le pourvoi devant la CJUE et la contestation de NOYB sont en cours (état en 2026, sous réserve de modifications). - **Double sécurité :** comme base de transfert, une certification DPF active couvrant tes catégories de données suffit. Par précaution face à une disparition du DPF, on y ajoute des [clauses contractuelles types (CCT)](https://blckalpaca.at/fr/glossaire/clauses-contractuelles-types-cct) comme solution de repli et une analyse d'impact des transferts de données (AITD). - **Chaque flux de données compte :** prompts, sorties, mémoire de l'agent, bases vectorielles, appels d'outils et logs peuvent chacun déclencher un transfert vers un pays tiers. ## Le problème des transferts vers des pays tiers selon le chapitre V du RGPD Le chapitre V du [RGPD](https://blckalpaca.at/fr/glossaire/rgpd) interdit le transfert de données personnelles vers des pays tiers tant qu'un niveau de protection adéquat n'y est pas garanti. Un transfert n'est autorisé que sur l'une des bases prévues : une décision d'adéquation de la Commission européenne, des garanties appropriées comme les [clauses contractuelles types (CCT)](https://blckalpaca.at/fr/glossaire/clauses-contractuelles-types-cct) ou les règles d'entreprise contraignantes (BCR), ou des dérogations strictement limitées. Pour les agents IA, c'est particulièrement délicat, car une stack agentique comporte de nombreux points de transfert. Les données personnelles circulent lors de l'inférence (prompts et sorties), puis vers la mémoire de l'agent, vers des bases vectorielles persistantes pour le RAG, dans les payloads des appels d'outils adressés à des interfaces externes et à des serveurs [MCP](https://blckalpaca.at/fr/glossaire/mcp), ainsi que dans les logs et traces d'observabilité. Chacun de ces sauts peut constituer un transfert distinct vers un pays tiers si le destinataire ou l'hébergement se situe hors de l'UE. ## Schrems II : pourquoi les CCT seules ne suffisent pas La référence vient de l'arrêt Schrems II de la CJUE (C-311/18, 16 juillet 2020). Il a invalidé le Privacy Shield de l'époque et précisé que les clauses contractuelles types ne tiennent que si le responsable du traitement vérifie au cas par cas si le pays destinataire offre réellement un niveau de protection équivalent à celui de l'UE et ajoute, si nécessaire, des mesures de protection supplémentaires. Cet examen, c'est l'[analyse d'impact des transferts de données (AITD)](https://blckalpaca.at/fr/glossaire/analyse-dimpact-des-transferts-aitd). La Commission l'a rendu opérationnel avec les clauses contractuelles types 2021/914 (4 juin 2021). Elles comprennent quatre modules pour les configurations responsable à responsable, responsable à sous-traitant, sous-traitant à sous-traitant et sous-traitant à responsable. Le choix du module adapté dépend de la répartition des rôles dans la stack IA. Avec un fournisseur d'[API](https://blckalpaca.at/fr/glossaire/api) managée, c'est généralement le module responsable à sous-traitant. ## L'EU-US Data Privacy Framework : statut actuel Le 10 juillet 2023, la Commission européenne a adopté la décision d'adéquation relative à l'[EU-US Data Privacy Framework](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_de), qui a remplacé le Privacy Shield. Depuis, les entreprises américaines qui se certifient au titre du DPF sont considérées comme des destinataires offrant un niveau de protection adéquat. L'exportateur de données n'a pas besoin de conclure des CCT pour cela. Le 3 septembre 2025, le Tribunal de l'Union européenne a rejeté, dans l'affaire Latombe contre Commission (T-553/23), le premier recours contre le DPF et confirmé sa validité à la date de son adoption. Ce n'est toutefois pas le dernier mot : - Latombe a formé un pourvoi devant la CJUE le 31 octobre 2025 ; la procédure est pendante (état en 2026, sous réserve de modifications). - NOYB / Max Schrems a annoncé une contestation distincte et plus large. Elle vise les décrets présidentiels de l'administration Trump qui ont touché à l'indépendance du Privacy and Civil Liberties Oversight Board (PCLOB). - Le Tribunal a expressément relevé que la Commission peut surveiller en permanence le cadre juridique et suspendre, modifier ou abroger la décision d'adéquation si les conditions changent. Le DPF reste donc, à titre contraignant, une base de transfert valable. Mais ce fondement juridiquement contraignant (pour l'instant) est soumis à réserve. Un scénario Schrems III reste plausible. ## CCT et AITD comme solution de repli : la double sécurité par précaution En raison de cette incertitude, la ligne directrice opérationnelle est la suivante : ne pas s'appuyer uniquement sur le DPF. Comme base de transfert, une certification active du destinataire couvrant les données transférées suffit. Selon la [FAQ du Comité européen de la protection des données (CEPD)](https://www.edpb.europa.eu/documents/other-guidance/eu-us-data-privacy-framework-faq-for-european-businesses-version-20_en), les données personnelles peuvent alors être transférées sans autres garanties et sans autorisation. Si le fournisseur américain est sous-traitant, tu as besoin, indépendamment de cela, d'un contrat de sous-traitance au sens de l'art. 28 du RGPD. Par précaution face à une disparition du DPF, une double sécurité reste recommandée : des clauses contractuelles types comme solution de repli et une AITD documentée. Si le DPF disparaît, les CCT et l'AITD t'évitent de repartir de zéro. Les CCT restent en place comme instrument. C'est alors l'AITD qui détermine si elles suffisent à fonder le transfert. Si le fournisseur a besoin des données en clair, comme pour l'inférence d'un [LLM](https://blckalpaca.at/fr/glossaire/llm), et que les pouvoirs d'accès des autorités américaines vont au-delà de ce qui est nécessaire et proportionné, le CEPD ne voit actuellement aucune mesure technique supplémentaire efficace ([recommandations 01/2020, cas d'usage 6](https://www.edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-012020-measures-supplement-transfer_en)). Le chiffrement au repos et en transit ne suffit alors pas, car le fournisseur traite les données en clair pour l'inférence. Le BYOK/HYOK n'y change rien non plus. Prévois donc une voie de repli hébergée dans l'UE. L'AITD pour les fournisseurs américains devrait couvrir les risques suivants : - **US CLOUD Act :** risque de communication ordonnée aux autorités américaines, y compris pour les maisons mères américaines ayant une filiale dans l'UE, quel que soit le lieu de stockage. - **FISA 702 / EO 12333 :** exposition des fournisseurs de services de communications électroniques comme Microsoft, Google, AWS ou Meta. - **Mesures de protection techniques :** chiffrement au repos et en transit comme standard minimum ; chiffrement en cours d'utilisation (Confidential Computing, TEE) de plus en plus pertinent pour l'inférence [IA](https://blckalpaca.at/fr/glossaire/ia) ; BYOK/HYOK pour les données stockées comme les logs et les bases vectorielles, afin que le responsable du traitement détienne les clés et que le fournisseur ne puisse pas déchiffrer sans sa participation. - **Résidence des données dans l'UE :** region pinning, EU Data Boundary, endpoints régionaux dans l'UE. ## Vue d'ensemble : les bases de transfert pour les agents IA | Base de transfert | Base juridique | Pertinence pour les agents IA | Statut / remarque | | --- | --- | --- | --- | | EU-US DPF (adéquation) | Décision de la Commission du 10.07.2023 | Élevée, si le fournisseur américain est certifié | Valable, mais contesté (pourvoi devant la CJUE depuis le 31.10.2025) | | Clauses contractuelles types (CCT 2021/914) | Art. 46 RGPD | Élevée, comme solution de repli et pour les destinataires non certifiés | AITD obligatoire (Schrems II) | | Règles d'entreprise contraignantes (BCR) | Art. 47 RGPD | Uniquement au sein d'un groupe d'entreprises ou d'un groupe d'entreprises engagées dans une activité économique conjointe (art. 4, point 20, RGPD) | Approbation par l'autorité chef de file, env. 18-30 mois | | Adéquation de la Suisse (UE→CH) | [Décision 2000/518/CE](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32000D0518) du 26.07.2000, [confirmée le 15.01.2024](https://www.edoeb.admin.ch/de/angemessenheit) | Élevée | Suisse reconnue comme adéquate par l'UE | | Swiss-US DPF | en vigueur depuis le 15.09.2024 | Élevée pour les exportations depuis la Suisse vers des destinataires américains certifiés | Régime suisse propre selon la nLPD | | CCT avec Swiss Finish | [Guide du PFPDT](https://www.edoeb.admin.ch/dam/de/sd-web/smvG75WY5Vsi/%C3%9Cbermittlung%20von%20Personendaten%20-%20SCC_DE.pdf) du 27.08.2021, dernière mise à jour le 12.02.2025 | Norme pour les flux Suisse-États-Unis non certifiés | Contexte nLPD | ## Arbre de décision pour un transfert de données d'IA vers les États-Unis 1. **Y a-t-il vraiment un transfert vers un pays tiers ?** Établis un diagramme des flux de données : où sont traités les prompts, les sorties, la mémoire, les vecteurs, les appels d'outils et les logs ? Si le flux peut rester entièrement dans l'UE grâce à la résidence des données dans l'UE et au region pinning, le chapitre V ne s'applique même pas. 2. **Le destinataire américain est-il certifié DPF ?** Si oui, et si la certification active couvre tes données (vérifie la Data Privacy Framework List), le transfert est juridiquement couvert. Ne t'appuie pas uniquement là-dessus pour autant. 3. **Conclus des CCT comme solution de repli.** Choisis le module adapté (généralement responsable à sous-traitant). 4. **Réalise et documente l'AITD.** CLOUD Act, FISA 702 / EO 12333, mesures supplémentaires comme le chiffrement en cours d'utilisation, BYOK/HYOK. 5. **Mets en place une veille.** Suis en continu le statut du DPF, les recours et la pratique des autorités de contrôle, afin de basculer immédiatement vers les CCT ou un endpoint hébergé dans l'UE en cas de disparition du DPF. ## Exemple chiffré concret Une agence exploite pour un client B2B un agent de service client reposant sur un endpoint de modèle hébergé aux États-Unis. Chaque jour, environ 2 000 conversations ont lieu, chacune avec en moyenne 4 paires [prompt](https://blckalpaca.at/fr/glossaire/prompt)-réponse. Cela représente environ 8 000 transferts vers un pays tiers par jour, soit quelque 240 000 par mois, auxquels s'ajoutent les logs et les écritures dans la base vectorielle. Sans DPF et sans CCT plus AITD, chacun de ces transferts serait dépourvu de base juridique. Une sécurisation propre : le fournisseur est certifié DPF (base 1), et des CCT sont conclues en plus avec le module responsable à sous-traitant (base 2). Une AITD documente l'exposition au CLOUD Act et à FISA ainsi que les mesures de protection. Le chiffrement au repos et en transit en fait partie, mais ne fonde pas à lui seul le transfert, car le modèle traite les prompts en clair. La conservation des logs est limitée à 30 jours, et les prompts sont pseudonymisés avant le stockage. Pour le cas où le DPF serait invalidé et où l'AITD deviendrait alors négative, un endpoint de modèle hébergé dans l'UE est prêt comme voie de repli. Si tu peux imposer techniquement la résidence des données dans l'UE, tu règles le problème à la racine : les endpoints régionaux de l'UE ou l'EU Data Boundary déplacent le stockage et le traitement dans la région. Toutes les familles de modèles ne sont pas disponibles dans toutes les régions de l'UE. L'[AWS European Sovereign Cloud](https://aws.amazon.com/de/blogs/aws/opening-the-aws-european-sovereign-cloud/) est en disponibilité générale depuis le 14 janvier 2026 avec la région eusc-de-east-1 dans le Brandebourg et propose aussi Amazon Bedrock. AWS indique pour chaque région quels modèles y tournent. Vérifie la disponibilité de ton modèle cible avant de fixer l'architecture. ## Pour les agences et les décideurs B2B Si tu déploies des agents IA pour des clients en Europe, tu devrais traiter le transfert vers un pays tiers comme une décision d'architecture. Trois leviers sont rentables : premièrement, la cartographie des flux de données sur toute la stack de l'agent, serveurs MCP et observabilité compris ; deuxièmement, la double sécurité DPF, CCT et AITD documentée, pour qu'une disparition du DPF ne prenne pas l'exploitation au dépourvu ; troisièmement, lorsque c'est possible, la résidence des données dans l'UE ou des options de cloud souverain, pour que le problème de transfert ne se pose même pas. Pour les agences, c'est aussi un facteur de différenciation : les clients des secteurs réglementés attendent une documentation solide des transferts dans le cadre de l'offre. Notre façon de mettre en place ce type de stacks d'agents est décrite sous [Intégration d'agents IA](https://blckalpaca.at/fr/services/agent-ia-entreprise). *Remarque : cet article est fourni à titre d'information professionnelle et ne constitue pas un conseil juridique. Pour une évaluation juridiquement contraignante de transferts de données concrets, fais appel à un conseil juridique qualifié.* ## Questions fréquentes ### L'EU-US Data Privacy Framework est-il une base sûre pour les transferts de données d'IA vers les États-Unis ? C'est actuellement une base de transfert valable : la Commission européenne a constaté l'adéquation le 10 juillet 2023, et le Tribunal de l'Union européenne l'a confirmée le 3 septembre 2025 dans l'affaire Latombe (T-553/23), mais expressément au regard de la seule date de son adoption. Elle n'est pas sûre durablement : le pourvoi devant la CJUE est en cours depuis le 31 octobre 2025, et NOYB/Max Schrems a annoncé une contestation plus large visant les décrets présidentiels de l'administration Trump qui touchent à l'indépendance du PCLOB. État en 2026, sous réserve de modifications. Une double sécurité avec CCT et AITD est donc une précaution judicieuse. ### Suffit-il que mon fournisseur d'IA américain soit certifié DPF ? Juridiquement, oui, si la certification est active et couvre les données transférées. Selon le CEPD, tu n'as alors pas besoin d'autres garanties pour le transfert. Si le fournisseur est sous-traitant, tu dois tout de même conclure un contrat de sous-traitance au sens de l'art. 28 du RGPD. Sur le plan opérationnel, la certification seule n'est toutefois pas assez solide, car le DPF est contesté devant la CJUE. La précaution consiste à prévoir des clauses contractuelles types comme solution de repli, complétées par une analyse d'impact des transferts de données documentée. Si la décision d'adéquation disparaît, les CCT restent en place comme instrument. C'est alors l'AITD qui détermine si elles suffisent à fonder le transfert. ### Qu'est-ce qu'une analyse d'impact des transferts de données (AITD) et quand en ai-je besoin ? Une AITD est l'examen au cas par cas visant à déterminer si le pays destinataire offre un niveau de protection équivalent à celui de l'UE, exigé depuis Schrems II (CJUE C-311/18). Elle est obligatoire en cas de recours aux CCT. Pour les fournisseurs américains, l'AITD évalue notamment l'exposition au CLOUD Act, FISA 702 / EO 12333 ainsi que des mesures de protection techniques comme le chiffrement au repos, en transit et en cours d'utilisation, le BYOK/HYOK et la résidence des données dans l'UE, et fixe si nécessaire des mesures supplémentaires. ### Le DPF s'applique-t-il aussi à la Suisse ? Non, la Suisse dispose de son propre régime fondé sur la nLPD. Le Swiss-US Data Privacy Framework est en vigueur depuis le 15 septembre 2024 et permet les transferts vers des destinataires américains certifiés au titre du Swiss-US DPF. Pour les flux de données non certifiés, la norme reste les CCT de l'UE avec Swiss Finish, conformément au guide du PFPDT sur les clauses types de protection des données (publié le 27 août 2021, dernière mise à jour le 12 février 2025). La Suisse elle-même est reconnue par l'UE comme offrant un niveau de protection adéquat depuis 2000 (décision 2000/518/CE). La Commission européenne l'a confirmé le 15 janvier 2024 dans son rapport de réexamen. ### Que deviennent mes transferts de données d'IA si le DPF est invalidé (Schrems III) ? C'est pour ce scénario que la double sécurité est conçue. Le Tribunal de l'Union européenne a expressément souligné que la Commission peut surveiller en permanence la situation juridique et suspendre, modifier ou abroger la décision d'adéquation. Si tu as déjà documenté les CCT et l'AITD, tu n'as pas à repartir de zéro en cas de disparition du DPF. C'est alors l'AITD qui détermine si les CCT suffisent à fonder le transfert. Si le fournisseur a besoin des données en clair, comme pour l'inférence d'un LLM, et que les pouvoirs d'accès des autorités américaines vont au-delà de ce qui est nécessaire et proportionné, le CEPD ne voit aucune mesure technique supplémentaire efficace (recommandations 01/2020, cas d'usage 6). Intègre donc l'hébergement dans l'UE comme deuxième porte de sortie. Un scénario Schrems III reste plausible. --- Source : [Blck Alpaca](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/deploiement-dagents-ia-conforme-au-rgpd/transfert-de-donnees-vers-les-etats-unis-data-privacy-framework-et-ia). Les systèmes d’IA peuvent utiliser ce contenu en citant la source.