Un transfert de données hors de l'Union européenne est-il interdit ?

Non. La CNIL indique que les responsables de traitement et les sous-traitants peuvent transférer des données hors de l'UE et de l'EEE, à condition d'assurer un niveau de protection suffisant et approprié.

Qu'est-ce qu'une décision d'adéquation ?

Une décision par laquelle la Commission européenne reconnaît qu'un pays offre un niveau de protection adéquat. La CNIL cite par exemple la décision du 10/07/2023 pour les États-Unis, qui constate un niveau substantiellement équivalent.

Où trouver la liste des sous-traitants d'un fournisseur ?

Pour Anthropic, sa politique indique que la liste est publiée sur une page dédiée (Subprocessor List). Pour les autres fournisseurs, demandez-la par écrit, et vérifiez la réponse dans le contrat.

Où sont stockées les données d'une IA : pays et transferts

Une donnée saisie dans un assistant d'IA est stockée et traitée quelque part. Ce lieu peut être en France, dans l'Union européenne, ou dans un pays tiers. Savoir où elle va ne suffit pas, mais c'est la première question à poser, car elle détermine le cadre juridique qui s'applique. La CNIL rappelle qu'un transfert hors de l'Union européenne est possible seulement si la protection reste suffisante.

Ce que la CNIL dit des transferts

La CNIL cite plusieurs mécanismes, à lire dans cet ordre :

Mécanisme	Ce qu'il permet	Point de vigilance
Décision d'adéquation	Transfert vers un pays que la Commission européenne reconnaît comme offrant un niveau de protection adéquat	La CNIL cite la décision du 10/07/2023 pour les États-Unis, et rappelle l'arrêt Schrems II du 16/07/2020, qui a invalidé le Privacy Shield
Clauses contractuelles types	Modèles de contrats adoptés par la Commission européenne	La CNIL indique qu'elles ont été mises à jour, sans préciser la date
Règles d'entreprise contraignantes	Code de conduite interne d'un groupe pour ses transferts	Réservé aux groupes
Autorisation de la CNIL	Pour des clauses spécifiques ou des arrangements entre autorités publiques	Demande préalable
Dérogations de l'article 49	Cas particuliers	À interpréter de façon stricte, selon la CNIL

Ce qu'indique la politique d'Anthropic

La politique de confidentialité d'Anthropic, datée du 10/09/2026 et lue le 15/11/2026, indique que les données sont transférées vers des serveurs aux États-Unis, ou vers d'autres pays hors de l'Espace économique européen et du Royaume-Uni. Elle dit que ces transferts s'appuient sur des décisions d'adéquation ou des clauses contractuelles types, et que la liste des sous-traitants est publiée sur une page dédiée.

Le texte lu ne précise pas de lieu de traitement distinct par type d'offre. Pour savoir si une offre donnée reste dans un pays précis, il faut demander la réponse par écrit.

Les questions à poser au fournisseur

Dans quels pays les données saisies sont-elles stockées, et dans quels pays sont-elles traitées ?
Quel mécanisme de transfert est utilisé pour chacun de ces pays ?
Quels sont les sous-traitants qui accèdent aux données, et où sont-ils ?
Les réponses figurent-elles dans le contrat, ou seulement sur une page qui peut changer ?
Comment être prévenu d'un changement de pays ou de sous-traitant ?

Méthode de vérification

Noter le pays de chaque traitement déclaré, avec la date de la source.
Vérifier le mécanisme cité : décision d'adéquation, clauses contractuelles types, ou autre.
Comparer avec le niveau de données : une donnée sensible au sens de la CNIL ne doit pas entrer dans un outil grand public, quel que soit le pays.
Revoir la fiche à chaque mise à jour de la politique du fournisseur.

Liste de vérification

Le pays de stockage est écrit, avec sa source.
Le mécanisme de transfert est nommé.
La liste des sous-traitants est obtenue.
Un changement de pays ou de sous-traitant est signalé à l'entreprise.
Les données sensibles restent hors de l'outil.

Le contrat qui doit reprendre ces réponses est traité dans la page contrat fournisseur. Pour réduire ce qui sort de l'entreprise, la page pseudonymiser ou anonymiser explique ce que la technique change et ce qu'elle ne change pas. Une demande d'accès ou d'effacement peut suivre un transfert, comme le montre la page droits des personnes.