Résidence des données
La résidence des données (data residency) est l'exigence que les données soient stockées, et souvent traitées, dans un pays ou une région déterminés. Pour l'IA, elle couvre le lieu où le modèle traite les prompts autant que le lieu où sont conservés les données de compte et les journaux.
Pourquoi c'est important pour les entreprises
Les règles du RGPD sur les transferts, les autorités sectorielles et les contrats clients imposent souvent un lieu. Le lieu de stockage et le lieu de traitement sont deux questions distinctes, et une revue doit poser les deux.
Les fournisseurs cloud les documentent aussi séparément. Google Cloud indique que les données au repos de Vertex AI restent dans l'emplacement choisi et qu'avec des points de terminaison juridictionnels, le traitement ML reste lui aussi dans cette région géographique.
Exemple
Les contrats d'un assureur allemand exigent que les données personnelles soient traitées en Europe. La DSI pose trois questions à chaque fournisseur d'IA : où les prompts sont-ils traités, où les journaux sont-ils stockés, et que se passe-t-il quand le point de terminaison préféré est indisponible.
Ce que cela change pour une entreprise qui utilise des API d'IA
Posez deux questions distinctes aux fournisseurs : où les prompts sont-ils traités par le modèle, et où sont stockés journaux, données de compte et sauvegardes ? Demandez ensuite ce qui se passe en cas de bascule. Sur Amazon Bedrock, par exemple, les profils d'inférence interrégions géographiques gardent les requêtes dans une zone comme l'UE, tandis que les profils mondiaux peuvent router vers n'importe quelle région commerciale prise en charge pour environ 10 % de moins ; ce seul réglage décide où un prompt peut être traité.
Où le terme est défini : Aucune loi unique ne définit la résidence des données. Le RGPD n'impose pas que les données personnelles restent dans l'UE ; son chapitre V (articles 44 à 49) encadre les transferts vers des pays tiers. Les fournisseurs cloud définissent la résidence pour leurs services, par exemple Google avec la page Vertex AI data residency (en anglais).
Ce que fait Standard Compute
Vos données de compte et d'usage sont stockées à Francfort, en Allemagne, et notre passerelle européenne fonctionne en Finlande. Les enregistrements de requêtes ne contiennent que des métadonnées (modèle, fournisseur, tokens, coût et statut), jamais vos prompts ni vos réponses.
Définissez une règle Europe pour votre entreprise, une équipe ou une seule clé, et chaque requête, y compris les nouvelles tentatives et les bascules, est servie uniquement par des points de terminaison d'inférence européens approuvés. Si aucun point de terminaison européen ne peut la servir, la requête est refusée avant l'envoi de votre prompt.
Questions fréquentes des entreprises
- Le RGPD impose-t-il un hébergement des données dans l'UE ?
- Non. Le RGPD autorise les transferts hors de l'UE lorsque les conditions du chapitre V sont réunies, par exemple une décision d'adéquation ou des clauses types de protection des données. Les exigences de localisation viennent le plus souvent des contrats, de règles sectorielles ou de la politique interne.
- Résidence des données et souveraineté, est-ce la même chose ?
- Non. La résidence concerne le lieu. La souveraineté demande aussi quel droit s'applique et qui contrôle le fournisseur ; des données stockées en Europe par un fournisseur relevant d'une autre juridiction peuvent respecter une règle de localisation sans satisfaire toutes les exigences de souveraineté.
- Comment vérifier où un modèle cloud a traité une requête ?
- Demandez des enregistrements par requête. Sur Amazon Bedrock, par exemple, CloudTrail journalise les requêtes d'inférence interrégions dans la région d'origine, et le champ inferenceRegion indique où chaque requête a été traitée.
Termes associés
Pages associées
- API LLM avec DPA et sous-traitants ultérieurs
- API LLM sans entraînement sur vos données
- Passerelle IA européenne
- Sous-traitants ultérieurs (en anglais)
- Sécurité (en anglais)
- Glossaire de l'IA en entreprise