Ce n'est pas l'outil qui décide du niveau de risque. C'est l'endroit où il est exécuté, et le contrat qui vous lie.
Par Emmanuel Derrien — 2026-07-27
C'est la question qui bloque le plus de projets, et c'est une bonne question. Elle mérite mieux que les deux réponses qu'on entend d'habitude : « tout est dangereux, on n'y touche pas » d'un côté, « ne vous inquiétez pas » de l'autre.
Les deux sont fausses, et la seconde est la plus coûteuse.
Si vous ne deviez retenir qu'une chose de cet article, ce serait celle-ci. Le même moteur d'intelligence artificielle peut être un vrai risque ou une solution parfaitement encadrée, selon l'infrastructure sur laquelle il tourne et le contrat qui vous lie à celui qui l'exploite.
Un assistant grand public, utilisé gratuitement dans un navigateur, avec un compte personnel : vos données partent sur des serveurs que vous ne choisissez pas, sous un régime juridique que vous ne maîtrisez pas, et peuvent selon les conditions d'utilisation servir à améliorer le service.
Le même moteur, accessible via une offre professionnelle hébergée en Europe, avec un accord de traitement des données signé : le cadre change du tout au tout. Ce n'est pas le même produit, même si l'écran se ressemble.
C'est pour cela que la question « quel outil choisir » arrive toujours trop tôt. La bonne première question est : de quelles données parle-t-on, et dans quel cadre vais-je les traiter.
Il existe une dimension juridique que beaucoup de dirigeants découvrent tard.
Des lois américaines permettent aux autorités des États-Unis d'exiger l'accès à des données détenues par des entreprises relevant de leur juridiction, y compris lorsque ces données sont physiquement hébergées en Europe. La localisation du serveur ne suffit donc pas : il faut aussi regarder de quelle nationalité juridique relève celui qui l'exploite.
Je précise, parce que ce point est souvent déformé : cela ne signifie pas que vos données sont lues tous les matins. Cela signifie qu'il existe une voie légale d'accès que vous ne contrôlez pas. À vous de juger si vos données le supportent. Pour un compte rendu de réunion commerciale, probablement. Pour un dossier prud'hommes ou un projet de rachat, c'est une autre affaire.
On me dit souvent qu'il n'y a pas d'alternative. C'est faux, et c'est une des rares choses sur lesquelles je m'énerve un peu.
Il existe des éditeurs de modèles français et européens, dont les offres professionnelles sont conçues dès le départ pour le cadre européen de protection des données. Il existe des hébergeurs européens sérieux. Il existe même, en Europe, des industriels sur les machines qui fabriquent les processeurs.
Il existe aussi une option que presque personne n'envisage : faire tourner un modèle directement sur une machine de l'entreprise. Aucune donnée ne sort. Ce n'est pas adapté à tous les usages, la puissance n'est pas la même, mais pour un assistant interne sur des documents sensibles, c'est parfaitement viable, et le matériel nécessaire coûte aujourd'hui le prix d'un poste de travail correct.
Je nuance, parce que la nuance est honnête : le choix européen n'est pas toujours le meilleur choix technique sur tous les cas d'usage. Il est simplement toujours une option réelle, et il est trop souvent écarté sans avoir été examiné.
Pendant que les comités de direction débattent du fournisseur, le risque principal s'installe ailleurs, et il s'appelle le travail au noir informatique.
Ce sont vos collaborateurs qui, faute d'outil validé, utilisent depuis leur navigateur personnel ce qu'ils trouvent. Avec vos documents dedans. Sans que personne ne le sache.
Ce risque-là est certain, immédiat, et il grandit chaque mois où la décision n'est pas prise. Il est infiniment plus concret que le scénario juridique qui occupe les réunions.
La conséquence pratique est un peu contre-intuitive : ne rien décider n'est pas une position prudente. C'est le choix le plus risqué de tous.
Classez vos données en trois tas, une heure suffit. Ce qui est public ou anodin. Ce qui est interne mais pas sensible. Ce qui ne doit sortir sous aucun prétexte.
Autorisez largement sur le premier tas. Encadrez le deuxième dans une offre professionnelle avec un contrat. Et pour le troisième, exigez soit une solution européenne, soit une exécution sur vos propres machines.
Écrivez cette règle en une page, et diffusez-la. Une page lue vaut mieux qu'une charte de quarante pages que personne n'ouvre.
Et n'oubliez pas le geste le plus simple : avant de coller un document dans une intelligence artificielle, demandez-vous où part ce document. Cette seule seconde de réflexe évite l'essentiel des accidents.