Transferts de données hors UE et IA générative : votre contrat OpenAI, Microsoft ou Google tient-il encore ? (2026)
Temps de lecture : 14 min · Mis à jour : juillet 2026.
Ce qu'il faut retenir
Le 29 juin 2026, la Cour suprême des États-Unis a jugé, dans l'affaire Trump v. Slaughter, que les restrictions au pouvoir du Président de révoquer les commissaires de la Federal Trade Commission sont contraires à la Constitution américaine. Cette décision, en apparence lointaine, fragilise le socle juridique de la quasi-totalité des outils d'IA générative utilisés en Europe.
La raison : la décision d'adéquation de la Commission européenne du 10 juillet 2023, qui autorise les transferts vers les entreprises américaines certifiées au titre de l'EU-US Data Privacy Framework (DPF), s'appuie de manière déterminante sur l'indépendance de la FTC comme autorité de contrôle. La FTC y est citée 259 fois. Si elle n'est plus indépendante, le raisonnement perd sa pierre angulaire.
L'association noyb — à l'origine des arrêts Schrems I et II qui ont invalidé le Safe Harbor puis le Privacy Shield — a annoncé un recours devant la Cour de justice de l'Union européenne (CJUE).
Le DPF reste juridiquement en vigueur à ce jour. Aucune juridiction ne l'a annulé. Mais toute entreprise qui a fondé sa conformité sur ce seul mécanisme est exposée à une rupture brutale — le scénario de juillet 2020, lorsque l'invalidation du Privacy Shield a laissé des milliers d'organisations sans base légale du jour au lendemain.
Pourquoi l'IA générative est le point d'exposition le plus critique
Quatre facteurs propres à l'IA générative concentrent le risque.
La concentration chez des fournisseurs américains. Le marché des grands modèles est dominé par OpenAI, Microsoft, Google, Anthropic, Meta et Amazon — sociétés de droit américain soumises au Cloud Act et, pour partie, à la section 702 du FISA. Les alternatives européennes existent (Mistral AI en tête) mais restent minoritaires en entreprise.
La nature des données injectées. Un prompt contient ce que le collaborateur y met : extrait de contrat, compte rendu d'entretien, dossier patient, note sur un litige. Non structuré, non anticipé, souvent plus sensible que ce que le contrat prévoit.
L'invisibilité des flux. L'assistant IA d'un outil de service client appelle une API américaine ; un module activé par défaut dans une mise à jour sous-traite l'inférence à un tiers. C'est le prolongement du Shadow AI : on ne peut pas évaluer un transfert qu'on ignore.
La sous-traitance ultérieure. Un fournisseur européen peut lui-même appeler l'API d'un modèle américain. Le transfert existe même si votre contrat direct est français. C'est le cas le plus fréquemment ignoré en audit.
Le chapitre V du RGPD en trois minutes
Le RGPD n'interdit pas les transferts hors UE ; il les subordonne à une garantie de protection. Trois voies.
Décision d'adéquation (art. 45). La Commission constate qu'un pays offre un niveau adéquat. Le DPF est une adéquation partielle : il ne couvre que les organisations américaines auto-certifiées et figurant sur la liste publique. Un fournisseur non certifié ne peut pas s'en prévaloir.
Garanties appropriées (art. 46). À défaut d'adéquation : clauses contractuelles types (CCT), règles d'entreprise contraignantes (BCR). Depuis Schrems II (16 juillet 2020), les CCT ne suffisent pas seules : il faut vérifier au cas par cas que le droit du pays destinataire ne les prive pas d'effectivité, et ajouter des mesures supplémentaires. C'est l'objet de la TIA (Transfer Impact Assessment).
Dérogations (art. 49). Consentement, exécution d'un contrat, intérêt public. D'interprétation stricte, pour des transferts occasionnels. Pas une base viable pour un usage quotidien d'un outil d'IA par des centaines de collaborateurs.
À retenir : l'accès à distance depuis un pays tiers constitue un transfert. Données hébergées en Irlande mais accessibles par une équipe support américaine = transfert.
Ce que l'arrêt du 29 juin change réellement
Trois plans à distinguer.
Juridique immédiat : rien ne change. Le DPF est en vigueur. S'y appuyer aujourd'hui n'est pas une infraction.
Risque : tout change. La probabilité d'invalidation dans 12-24 mois augmente fortement. Le recours noyb s'ajoute au pourvoi Latombe (formé le 31 octobre 2025 contre l'arrêt du Tribunal de l'UE du 3 septembre 2025). Deux voies contentieuses convergent.
Méthode : les TIA existantes sont périmées. Toute analyse rédigée avant le 29 juin, concluant favorablement en s'appuyant sur l'indépendance des mécanismes de contrôle américains (FTC, PCLOB, Data Protection Review Court), repose sur une prémisse fragilisée. L'étape 6 des recommandations 01/2020 de l'EDPB impose une réévaluation à chaque évolution significative. Nous y sommes.
La méthode en 6 étapes pour sécuriser vos transferts IA
1 — Cartographier les flux, système par système
Pour chaque système d'IA : catégories de données transmises (prompts et pièces jointes compris), entité juridique destinataire, pays, sous-traitants ultérieurs. Couvrir les outils souscrits, les usages non déclarés et l'IA embarquée. Ne pas s'arrêter au contrat de premier rang : un fournisseur français appelant une API américaine, le transfert est le vôtre. S'appuie sur votre registre des usages de l'IA.
2 — Identifier le mécanisme de transfert
Pour chaque flux : sur quel fondement repose-t-il ? Vérifier la certification DPF sur la liste publique et son caractère actif. Vérifier si des CCT ont été signées en parallèle. Vérifier l'option de résidence UE (souvent désactivée par défaut). Un flux sans mécanisme identifiable = priorité.
3 — Évaluer le droit du pays destinataire
Accès des autorités publiques, voies de recours effectives, effectivité des garanties. Pour les États-Unis, mentionner explicitement l'incidence de l'arrêt Trump v. Slaughter sur l'indépendance de la FTC. Une TIA silencieuse sur ce point après juillet 2026 = défaut de diligence.
4 — Déterminer les mesures supplémentaires
Une mesure purement contractuelle ne suffit pas quand le droit local permet l'accès malgré le contrat. Techniques : chiffrement avec clés conservées, pseudonymisation, et surtout le filtrage en amont des données envoyées au modèle — robuste quelle que soit l'issue juridique. Organisationnelles : politique d'usage, restriction par catégorie de données, formation, journalisation. Contractuelles : non-réutilisation pour l'entraînement, notification en cas de demande d'autorité, transparence sur les sous-traitants.
5 — Documenter et faire valider
Une TIA non documentée n'existe pas. Écrite, datée, versionnée, validée par le DPO puis la direction, avec une conclusion explicite : possible en l'état / sous conditions / à suspendre. Le règlement sanctionne l'absence de démarche, pas le risque.
6 — Réévaluer et surveiller
Déclencheurs définis à l'avance : décision CJUE, retrait d'adéquation, changement de sous-traitant, nouvelle position CNIL/EDPB, nouveau système. L'étape la plus négligée, la plus coûteuse quand elle manque.
Construire un plan de repli avant, et non après
En 2020, les organisations qui avaient anticipé s'en sont sorties en semaines ; les autres, en un an sous pression. Quatre éléments.
Le double mécanisme. Fournisseur certifié DPF → faites signer les CCT en parallèle. Coût marginal faible, fondement de repli immédiat sans interruption de service. Encore faut-il avoir accepté et archivé l'addendum.
L'option de résidence européenne. Vérifier disponibilité, coût, limitations — et documenter l'évaluation même sans l'activer.
Les alternatives européennes. La CNIL recommande de les évaluer dès que techniquement réalisable — cas d'usage par cas d'usage, pas globalement.
La hiérarchisation par sensibilité. Classez vos systèmes ; concentrez l'effort de repli sur le haut de la pile.
L'articulation avec l'AI Act : deux régimes, un seul dispositif
Le 2 août 2026, l'article 50 de l'AI Act devient applicable (transparence : informer, marquer les contenus générés). RGPD et AI Act ne se recouvrent pas — l'un protège les données, l'autre encadre les systèmes — mais convergent sur un point : les deux exigent de savoir quels systèmes d'IA sont utilisés, par qui, avec quelles données.
Une organisation qui construit son inventaire pour l'AI Act dispose déjà de la matière de ses analyses de transfert. La traiter séparément = deux fois le travail, deux référentiels qui divergeront. D'où un dispositif unique : un registre dont chaque entrée porte la classification AI Act et les informations de transfert.
Les six erreurs les plus fréquentes
1. Croire que le DPF couvre tous les fournisseurs américains. Seulement les auto-certifiés actifs sur la liste.
2. Confondre hébergement et absence de transfert. L'accès distant depuis un pays tiers est un transfert.
3. S'arrêter au fournisseur de premier rang. Le sous-traitant ultérieur est votre problème.
4. Utiliser l'article 49 comme base permanente. Les dérogations visent l'occasionnel.
5. Rédiger une TIA une fois pour toutes. Une TIA de 2024 fondée sur l'indépendance de la FTC n'est plus opposable.
6. Traiter le sujet uniquement au niveau juridique. Une clause n'empêche pas un collaborateur de coller un dossier RH dans un prompt — le contrôle technique en amont, oui.
Par où commencer cette semaine
Trois actions, dans cet ordre. Établir la liste de tous les systèmes d'IA, y compris non souscrits et embarqués. Identifier les cinq flux les plus sensibles et vérifier pour chacun mécanisme de transfert, CCT en parallèle, option de résidence UE. Mettre à jour la TIA de ces cinq flux en intégrant l'arrêt du 29 juin, et faire valider par le DPO et la direction. Le reste se construit ensuite — mais ces trois actions avant que la CJUE ne se prononce, pas après.
Ce que fait SiyadAI
SiyadAI centralise l'inventaire des systèmes d'IA et rattache à chaque entrée : catégories de données, entité et pays destinataires, sous-traitants ultérieurs, mécanisme de transfert, statut et date de la TIA, classification AI Act. À la question « quels systèmes transfèrent des données hors UE, et sur quel fondement ? », la réponse est un export, pas un projet de trois semaines.
> Passez à l'action. SiyadAI cartographie vos usages d'IA et rend vos transferts traçables et opposables.
Sources : RGPD chapitre V (art. 44-49) ; AI Act art. 50 ; EDPB rec. 01/2020 ; CJUE Schrems II (C-311/18, 16 juillet 2020) ; décision d'adéquation UE du 10 juillet 2023 ; Trump v. Slaughter (29 juin 2026) ; noyb ; CNIL.