L’IA générative bouscule les habitudes de conformité. Minimisation des données, base légale, transferts hors UE : autant de sujets qui se posent dès qu’un modèle traite des données personnelles, où qu’il tourne.
Les points de friction avec le RGPD
- Transferts de données hors de l’Union européenne vers des serveurs tiers.
- Difficulté à garantir la minimisation et la finalité du traitement.
- Conservation et réutilisation des requêtes par le fournisseur.
- Information des personnes concernées et exercice de leurs droits.
Le traitement sur site, réponse structurelle
Lorsque le modèle tourne sur vos serveurs, sans connexion sortante, la plupart de ces frictions disparaissent : pas de transfert hors UE, pas de tiers qui conserve vos données, un périmètre de traitement clair et auditable.
Ce qu’il reste à documenter
Le local ne dispense pas de rigueur : registre des traitements, durées de conservation, sécurité (chiffrement, gestion des accès). Il réduit surtout le nombre de garanties à obtenir d’un tiers, puisque le périmètre reste sous votre contrôle direct.
La vraie question n’est donc pas « IA ou RGPD », mais « où tourne l’IA, et avec quelles garanties ». Sur site, le périmètre est le vôtre. Hébergé, tout dépend de la localisation des serveurs, du contrat de sous-traitance et de l’engagement de non-réutilisation : c’est parfaitement documentable, à condition de l’exiger par écrit.