« Hébergé en Europe » ne veut pas dire « traité en Europe »
Vous envisagez de confier votre documentation interne à un agent conversationnel. Procédures, contrats types, guides produit, parfois des éléments RH. Avant de signer, une question mérite une réponse précise : où vont réellement ces documents ?
La plupart des éditeurs répondent « nous sommes hébergés en Europe » ou « nous sommes conformes RGPD ». Ces phrases sont vraies, et pourtant elles ne répondent pas à la question. Elles décrivent l’endroit où tourne l’application. Elles ne disent rien du trajet emprunté par vos documents au moment où l’IA les lit.
C’est cette nuance qui distingue deux offres apparemment identiques.
Les trois moments où vos données circulent
1. L’import
Vous déposez vos fichiers. Ils sont stockés quelque part. C’est l’étape que tous les éditeurs documentent, et généralement la moins problématique.
2. L’indexation
Vos documents sont découpés et convertis en représentations mathématiques pour permettre la recherche. Cette conversion est déjà un traitement par un modèle d’IA — donc un endroit où vos contenus transitent.
3. L’inférence — le trajet que personne ne regarde
C’est l’étape décisive, et la plus souvent passée sous silence. À chaque question posée par un utilisateur, le système extrait les passages pertinents de votre documentation et les envoie au modèle de langage pour qu’il rédige la réponse.
Autrement dit : des extraits de vos documents internes partent vers le fournisseur du modèle, à chaque question, toute la journée.
Et c’est là que beaucoup de solutions « européennes » cessent de l’être. L’application tourne bien à Paris ou à Francfort, mais le modèle qu’elle interroge est exploité aux États-Unis. Vos procédures internes traversent l’Atlantique à chaque requête.
La question à poser à tout éditeur
Une seule question suffit à trancher, et elle ne souffre pas de réponse évasive :
« Chez quel fournisseur, et dans quel pays, tourne le modèle qui rédige les réponses ? »
Si la réponse mentionne un hébergement sans nommer le fournisseur du modèle, la question n’a pas été traitée. Demandez la liste nominative des sous-traitants, avec pour chacun sa fonction et son pays. Tout éditeur sérieux la publie : c’est une obligation du RGPD, pas une faveur.
Chez SophiaDesk : la liste complète, sans zone d’ombre
Nos sous-traitants sont publiés dans notre politique de confidentialité. Les voici :
| Sous-traitant | Rôle | Pays |
|---|---|---|
| Scaleway | Hébergement de l’infrastructure et inférence IA | France |
| OVHcloud | Inférence IA | France |
| Mistral AI | OCR, analyse documentaire et inférence IA | France / UE |
| Stripe | Paiements et abonnements | UE |
| Mailjet | Emails transactionnels | France / UE |
Le point important est la deuxième colonne : l’inférence aussi se fait chez des acteurs français — Scaleway, OVHcloud, Mistral AI. Ce n’est pas seulement le stockage qui reste sur le territoire, c’est le traitement.
Aucun transfert de données hors Union européenne. Pas de clauses contractuelles types à examiner, pas de dépendance à un cadre d’adéquation susceptible d’être invalidé : le sujet ne se pose pas.
Ce que nous ne faisons pas
Aussi important que la liste précédente :
- Vos données ne servent jamais à entraîner un modèle. Ni le nôtre, ni celui d’un tiers.
- Elles ne sont ni cédées ni revendues, à personne, à aucune fin commerciale.
- Elles ne sont pas mutualisées entre clients. Votre agent répond à partir de votre documentation, et d’elle seule.
Ce qui reste sous votre contrôle
La souveraineté ne se limite pas à la géographie. Elle porte aussi sur ce que vous pouvez décider :
- La durée de conservation des conversations — de 6 mois à 10 ans, 2 ans par défaut. Au-delà, la purge est automatique, chaque nuit.
- Les domaines autorisés — votre widget ne fonctionne que sur les sites que vous avez déclarés. Personne ne peut le détourner sur un autre domaine.
- Le périmètre documentaire — vous ajoutez et retirez des sources quand vous le souhaitez ; l’agent ne répond que sur ce que vous lui avez confié.
- La suppression — supprimer un document, un agent ou un compte supprime les données associées.
Ce que ça change selon qui pose la question
Pour un DPO — la cartographie des traitements tient sur une page et n’appelle aucune analyse de transfert hors UE.
Pour un RSSI — la surface d’exposition est connue et nominative, avec un périmètre d’accès que vous fixez vous-même.
Pour un service achats — le critère « hébergement et traitement en France » est satisfait sans réserve ni renvoi en annexe, ce qui débloque la plupart des grilles d’évaluation du secteur public et des ETI.
Pour une direction générale — le sujet cesse d’être un risque à instruire pour devenir un argument à afficher devant vos propres clients.
Conclusion : exigez le trajet complet
L’IA en entreprise ne se joue plus seulement sur la qualité des réponses — cette bataille-là se resserre. Elle se joue sur ce que vous pouvez affirmer, preuve à l’appui, quand un client, un auditeur ou un délégué à la protection des données vous demande où sont passés vos documents.
Posez la question du trajet complet, jusqu’à l’inférence. Chez nous, la réponse tient en un mot : la France.
Envie de vérifier par vous-même ? Créez votre agent gratuitement — sans carte bancaire, et sans que vos documents ne quittent le territoire.