Peut-on envoyer des données personnelles à une IA américaine ? Les transferts selon le RGPD
En bref
Oui, mais seulement sur une base valable. Si le fournisseur d'IA américain adhère à l'EU-US Data Privacy Framework (décision de la Commission de juillet 2023), le transfert peut se fonder dessus. Sinon, on utilise les clauses contractuelles types, avec une évaluation du transfert. Le Tribunal de l'UE a validé le Data Privacy Framework en septembre 2025, mais un pourvoi est pendant devant la Cour de justice. La voie la plus sûre est de garder les vrais noms dans l'UE : pseudonymisez avant l'envoi et gardez la clé chez vous.
Trois voies
| Voie | Ce qu'elle exige | Risque |
|---|---|---|
| Data Privacy Framework | Le fournisseur y adhère | Dépend de l'affaire pendante devant la Cour de justice |
| Clauses contractuelles types | Un contrat et une évaluation du transfert | Demande du travail et de la documentation |
| Les noms restent dans l'UE | Pseudonymisation dans l'UE avant l'IA | Le plus faible – mais toujours des données personnelles pour vous |
Comment GoalCube garde les noms dans l'UE
| Client | Ville | Objet | |
|---|---|---|---|
| Camille Martin | camille.martin@exemple.fr | Lyon | Remboursement |
| Julien Lefebvre | julien.lefebvre@exemple.fr | Lille | Livraison |
| Nathalie Dubois | nathalie.dubois@exemple.fr | Nantes | Réclamation |
| Thierry Peeters | thierry.peeters@example.com | Liège | Livraison |
| Léa Moreau | lea.moreau@exemple.fr | Bordeaux | Remboursement |
Demande Bonjour, je m'appelle Camille Martin. J'ai renvoyé la commande 7012345678 il y a deux semaines, mais je n'ai toujours pas été remboursée. Merci de faire le virement sur FR76 3000 4012 3400 0101 2345 678. Cordialement, Camille
| Client | Ville | Objet | |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | [STED] | Remboursement |
| [PERSON_2] | [EMAIL_2] | [STED] | Livraison |
| [PERSON_3] | [EMAIL_3] | [STED] | Réclamation |
| [PERSON_4] | [EMAIL_4] | [STED] | Livraison |
| [PERSON_5] | [EMAIL_5] | [STED] | Remboursement |
Demande Bonjour, je m'appelle [PERSON_1]. J'ai renvoyé la commande [ID_1] il y a deux semaines, mais je n'ai toujours pas été remboursée. Merci de faire le virement sur [IBAN_1]. Cordialement, [PERSON_1]
Camille Martin et Léa Moreau attendent un remboursement et doivent recevoir une réponse aujourd'hui. Thierry Peeters attend son colis depuis 10 jours. Proposition de réponse à Camille Martin : « Bonjour Camille Martin, merci pour votre patience. Votre remboursement est en cours et sera sur votre compte sous 5 jours ouvrés. »
[PERSON_1] et [PERSON_5] attendent un remboursement et doivent recevoir une réponse aujourd'hui. [PERSON_4] attend son colis depuis 10 jours. Proposition de réponse à [PERSON_1] : « Bonjour [PERSON_1], merci pour votre patience. Votre remboursement est en cours et sera sur votre compte sous 5 jours ouvrés. »
| Candidat | Né(e) le | N° d'identification | Employeur | Expérience |
|---|---|---|---|---|
| Sophie Laurent | 1985-03-12 | 2 85 03 69 123 456 78 | Bois du Rhône SAS | 12 |
| Nicolas Bernard | 1992-11-02 | 1 92 11 59 350 123 45 | Logistique Flandres SARL | 4 |
| Claire Janssens | 1988-06-21 | 88.06.21-284.37 | Métaux de Wallonie SA | 9 |
| Pierre Schmit | 1979-01-30 | 1979013012345 | Pharma Moselle SA | 18 |
CV Sophie Laurent a 12 ans d'expérience en budget et reporting mensuel chez Bois du Rhône SAS. Elle a déployé un nouvel ERP et encadre une équipe de trois personnes. Contact : sophie.laurent@exemple.fr.
| Candidat | Né(e) le | N° d'identification | Employeur | Expérience |
|---|---|---|---|---|
| [PERSON_1] | 40–49 ans | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 ans | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 ans | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 ans | [ID_4] | [VIRKSOMHED_4] | 18 |
CV [PERSON_1] a 12 ans d'expérience en budget et reporting mensuel chez [VIRKSOMHED_1]. Elle a déployé un nouvel ERP et encadre une équipe de trois personnes. Contact : [EMAIL_1].
Sophie Laurent et Claire Janssens ont plus de 5 ans d'expérience et devraient être convoqués en entretien ; interrogez Claire Janssens sur son expérience des ERP. Nicolas Bernard a 4 ans d'expérience ; il en faut 5. C'est une personne qui décide.
[PERSON_1] et [PERSON_3] ont plus de 5 ans d'expérience et devraient être convoqués en entretien ; interrogez [PERSON_3] sur son expérience des ERP. [PERSON_2] a 4 ans d'expérience ; il en faut 5. C'est une personne qui décide.
| Fournisseur | Contact | Compte | Échéance |
|---|---|---|---|
| Composants Atlantique SAS | François Girard | FR76 1820 6000 4512 3456 7890 123 | 2027-01-31 |
| Hébergement Ardennes SA | Isabelle Wouters | BE71 0961 2345 6769 | 2026-12-31 |
| Précision Lorraine SARL | Antoine Roux | FR76 3000 3021 9800 0501 2345 618 | 2028-06-30 |
| Cartonnages Moselle Sàrl | Mathilde Weber | LU28 0019 4006 4475 0000 | 2027-03-31 |
Conditions Composants Atlantique fournit des composants spéciaux pour le Projet Azur. Le prix est révisé chaque année selon l'indice des prix à la consommation plus 3 %. La responsabilité est plafonnée à 10 % de la valeur annuelle du contrat. Contactez François Girard pour toute modification.
| Fournisseur | Contact | Compte | Échéance |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Conditions [VIRKSOMHED_1] fournit des composants spéciaux pour le [PROJEKT_1]. Le prix est révisé chaque année selon l'indice des prix à la consommation plus 3 %. La responsabilité est plafonnée à 10 % de la valeur annuelle du contrat. Contactez [PERSON_1] pour toute modification.
Composants Atlantique SAS est reconduit automatiquement s'il n'est pas résilié avant le 31 octobre. Il est important pour un projet interne : renégociez le prix plutôt que de résilier. Cartonnages Moselle Sàrl est aussi reconduit automatiquement ; la date limite est le 31 décembre.
[VIRKSOMHED_1] est reconduit automatiquement s'il n'est pas résilié avant le 31 octobre. Il est important pour un projet interne : renégociez le prix plutôt que de résilier. [VIRKSOMHED_4] est aussi reconduit automatiquement ; la date limite est le 31 décembre.
Données fictives. À gauche, ce qui reste dans l'UE ; à droite, ce que voit l'IA aux États-Unis.
L'IA aux États-Unis voit [PERSON_1], pas Camille Martin. La clé reste chez GoalCube dans l'UE, et les noms ne sont réinsérés dans la réponse que chez vous.
Comment faire
- Découvrez où les données sont traitées.Consultez le contrat du fournisseur et votre abonnement.
- Vérifiez la base du transfert.Adhésion au Data Privacy Framework ou clauses contractuelles types.
- Envoyez le moins possible.Noms, e-mails et numéros d'identification sont rarement nécessaires.
- Gardez la clé dans l'UE.Avec une pseudonymisation faite dans l'UE, les vrais noms ne quittent pas l'UE.
- Prévoyez un plan B.Si le Data Privacy Framework tombe, vous devez pouvoir continuer.
Ce que dit la loi
- Articles 44 à 49 du RGPD – transferts vers des pays tiers
- Transfert uniquement avec une décision d'adéquation, des mesures de protection appropriées (art. 46) ou une dérogation.
- Décision d'exécution (UE) 2023/1795 – EU-US Data Privacy Framework
- Décision d'adéquation pour les entreprises américaines adhérentes, depuis le 10 juillet 2023.
- Décision d'exécution (UE) 2021/914 – clauses contractuelles types
- Clauses types pour les transferts vers des pays tiers.
Questions et réponses
Le Data Privacy Framework est-il toujours valable ?
Oui, en octobre 2026. Le Tribunal de l'UE a rejeté un recours en septembre 2025, mais un pourvoi a été formé devant la Cour de justice (affaire C-703/25 P). Suivez le dossier, et prévoyez un plan B.
Est-ce un transfert si l'IA ne voit que des pseudonymes ?
Les données pseudonymisées restent des données personnelles pour vous, donc les règles s'appliquent. Mais le risque pour les personnes est bien plus faible quand les vrais noms et la clé restent dans l'UE.
Et l'EU Data Boundary de Microsoft ?
Elle garde la plupart des données dans l'UE, mais vérifiez les exceptions comme le flex routing pour Copilot.
Sources
- Décision d'exécution (UE) 2023/1795 sur EUR-Lex
- Data Privacy Framework : liste des entreprises adhérentes
- CNIL (France)
Rédigé par La rédaction GoalCube. Dernière mise à jour 11 octobre 2026. GoalCube vous aide à respecter l’AI Act et le RGPD. Ce n’est pas un conseil juridique.
Soyez parmi les premiers.
Le lancement est prévu en novembre 2026. Inscrivez-vous : nous vous contacterons dès que vous pourrez commencer.