RGPD et Loi 25
IA et protection des données : les données de mes clients partent-elles aux États-Unis ?
Par Hugo Ribeiro · Mis à jour le · 7 min de lecture
Les assistants d'IA les plus utilisés dans les cabinets viennent d'entreprises américaines. Quiconque traite des données de clients doit savoir où elles vont et sur quel fondement. Ce guide résume l'essentiel et ne remplace pas la lecture du contrat de votre fournisseur.
En France et dans l'Union européenne
Le RGPD (chapitre V, articles 44 à 49) n'autorise l'envoi de données hors de l'Espace économique européen que si la destination offre une protection adéquate ou si des garanties appropriées existent. Il y a transfert lorsque les données sont conservées ou traitées hors de l'EEE, mais aussi lorsqu'elles y sont accessibles.
1. Data Privacy Framework
La décision d'exécution (UE) 2023/1795 du 10 juillet 2023 reconnaît comme adéquate la protection offerte par les entreprises américaines certifiées. Vous pouvez vérifier la certification de votre fournisseur sur la liste officielle. Le Tribunal a confirmé la décision en septembre 2025 ; un pourvoi est pendant devant la Cour de justice. Les deux régimes précédents (Safe Harbor et Privacy Shield) ont été annulés, le second par l'arrêt Schrems II en 2020.
2. Clauses contractuelles types
À défaut de certification, ou en complément, on recourt aux clauses contractuelles types de la Commission (article 46). Elles figurent en général dans l'accord de traitement des offres professionnelles. Depuis Schrems II, l'exportateur doit évaluer si des mesures supplémentaires sont nécessaires ; le Comité européen de la protection des données cite la pseudonymisation comme mesure efficace, à condition que la clé reste chez l'exportateur.
Au Québec
La Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25) encadre la communication de renseignements à l'extérieur du Québec : son article 17 exige une évaluation préalable et une entente écrite tenant compte du résultat. Utiliser un outil d'IA hébergé aux États-Unis avec des renseignements identifiables entre dans ce cadre.
Ce qu'il faut vérifier chez votre fournisseur
- Forfait. Les versions gratuites et personnelles n'ont en général pas d'accord de traitement. Prenez une offre professionnelle.
- Accord de traitement : existe-t-il, et que dit-il des transferts ?
- Entraînement. Vos données servent-elles à entraîner des modèles ? Par défaut, les offres professionnelles l'excluent le plus souvent.
- Localisation et sous-traitants. Où sont les données et qui d'autre y accède.
- Conservation. Combien de temps les conversations et les fichiers sont gardés.
Pourquoi cela ne suffit pas pour le secret
Les lois sur les données demandent si le traitement est licite et sûr. Le secret professionnel pose une autre question : pouvez-vous communiquer ce fait à ce tiers ? Un fournisseur certifié, sous contrat, avec des serveurs proches, reste un tiers. Voir IA et secret professionnel.
La réponse pratique : envoyer sans identifier
Si le document quitte le cabinet avec des codes à la place des numéros, des noms, des IBAN et des adresses, et que la table de correspondance reste sur votre ordinateur, le fournisseur reçoit des données qu'il ne peut rattacher à personne. Le transfert a toujours besoin d'un fondement, mais l'enjeu est bien moindre et la question du secret ne se pose plus de la même façon. Voir la différence entre pseudonymisation et anonymisation.
Velado fait cette étape sur votre ordinateur et rétablit les données dans la réponse. Vous pouvez l'essayer dans le navigateur et mettre la règle par écrit avec le modèle de politique d'IA.
Questions fréquentes
Le Data Privacy Framework est-il en vigueur ?
Oui. La Commission européenne a adopté la décision d'adéquation le 10 juillet 2023 et le Tribunal de l'Union européenne l'a confirmée le 3 septembre 2025 (affaire Latombe/Commission). Un pourvoi a été formé devant la Cour de justice ; à la date de ce guide, nous n'avions pas confirmation d'une décision définitive.
Et au Québec ?
L'article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé impose, avant de communiquer des renseignements à l'extérieur du Québec, une évaluation des facteurs relatifs à la vie privée et une entente écrite. Cela vaut aussi quand un fournisseur d'IA traite les renseignements hors Québec.
La pseudonymisation remplace-t-elle le contrat avec le fournisseur ?
Non. Des données pseudonymisées restent des renseignements personnels pour celui qui détient la clé, c'est-à-dire le cabinet. Il vous faut toujours un fournisseur lié par contrat. Ce qui change, c'est le risque : le fournisseur reçoit des codes et des montants sans savoir à qui ils se rapportent.
Et le secret professionnel ?
C'est une obligation distincte. Un transfert peut être parfaitement licite et l'envoi du document identifié rester une communication de faits du client à un tiers. D'où la règle pratique : retirer les identifiants avant d'envoyer.
Essayez avec l'un de vos documents
Velado fonctionne dans le navigateur, sur votre ordinateur : rien n'est envoyé à un serveur.