# Une région UE n'est pas une frontière pour vos données

**Résumé:** Choisir une région cloud UE fixe l'endroit où les données reposent, et presque rien d'autre. Ce qui décide de la souveraineté, c'est ce qu'un composant peut voir, pas l'endroit où il s'exécute.

**En bref:** Le questionnaire fournisseur comporte une case qui rassure : la résidence des données dans l'UE. Voici pourquoi cette case prouve bien moins qu'il n'y paraît, et les questions qui décident réellement si vos données restent sous votre contrôle.

**Publié:** 2026-07-03

**Dernière mise à jour:** 2026-08-10

Sur chaque questionnaire fournisseur rempli en Europe réglementée, une case rassure plus qu'elle ne le devrait : « données stockées dans une région UE ». Vous la cochez, et la question de la souveraineté semble réglée. Elle ne l'est pas.

Une région UE ne fixe qu'une chose : l'endroit où vos données reposent au repos. L'accès support, la télémétrie, les chaînes de sous-traitants et les appels aux modèles peuvent tous franchir cette frontière, à moins que quelqu'un ne les en ait explicitement empêchés. L'axe qui décide de la souveraineté, c'est ce qu'un composant peut voir, pas l'endroit où il s'exécute.

## La case qui rassure

La résidence des données a le vent en poupe. La Commission européenne pousse son [paquet souveraineté technologique](https://ec.europa.eu/commission/presscorner/detail/en/ip_26_1187), les commentateurs rappellent sans cesse que [l'IA approfondit la dépendance de l'Europe aux hyperscalers américains](https://www.techpolicy.press/how-ai-keeps-europe-hooked-on-us-cloud/), et chaque fournisseur cloud vend désormais une « région UE » comme réponse. ASEE l'a souligné avec justesse dans [un article de juin sur les régions cloud UE pour les banques](https://asee.io/blog/eu-cloud-region-bank-data-stays-europe/ "EU cloud region: bank data stays in Europe") : une région fixe le stockage principal, et guère plus.

Les équipes achats ressentent cette pression et se rabattent sur la case à cocher. C'est facile à vérifier, facile à comparer, facile à remonter à la direction. Le problème, c'est qu'elle mesure la mauvaise chose.

## Ce qui franchit réellement la frontière

Pensez à tout ce qui touche vos données une fois arrivées dans cette région UE. Les ingénieurs support peuvent y accéder depuis n'importe où dans le monde lorsqu'ils traitent un incident. La télémétrie et les métadonnées d'usage circulent souvent vers des systèmes qui n'ont jamais été cantonnés à une région.

Puis viennent les chaînes. Les sous-traitants de votre fournisseur ont eux-mêmes des sous-traitants, et chaque maillon est un nouvel endroit où les données peuvent être vues. Et si le produit utilise l'IA, chaque appel à un modèle est un flux de données à part entière : la question est ce que le modèle reçoit, pas où se trouve le centre de données.

Le théâtre de la résidence consiste à traiter l'étiquette « région » comme si elle réglait tout cela. Elle n'en règle rien. Un fournisseur peut être parfaitement résident et laisser fuiter des identifiants par quatre portes dérobées.

## L'axe qui décide

La jurisprudence européenne a commencé à tracer la ligne à un endroit plus utile. Dans l'affaire [CEPD contre CRU](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A62023CJ0413) (Cour de justice de l'Union européenne, C-413/23 P, septembre 2025), la Cour a jugé que les données pseudonymisées ne sont pas automatiquement des données personnelles pour chaque partie de la chaîne : pour un destinataire qui n'a aucun moyen raisonnable de ré-identifier les personnes concernées, elles peuvent échapper entièrement à la définition. Ce qu'une partie peut voir et récupérer décide de son statut, pas l'endroit où elle s'exécute, ni qui l'exploite.

Cela renverse la question de la souveraineté. Deux composants peuvent s'exécuter dans la même région AWS et occuper des positions opposées dans la chaîne de traitement, parce que l'un voit des identifiants bruts et l'autre uniquement des jetons qu'il ne peut pas inverser. La localisation ne vous dit rien sur qui est qui.

La question à poser à tout fournisseur d'IA n'est donc pas « quelle région ? ». C'est « que voit réellement chaque composant de votre chaîne ? ».

## Comment nous y répondons

Voici comment UNLESS répond à cette question, écart compris. Les données personnelles sont filtrées et tokenisées à la passerelle, avant qu'elles n'atteignent un modèle génératif tiers. Le modèle voit des substituts sûrs, et le stockage des jetons reste chez nous, de sorte que le fournisseur ne peut pas les inverser.

Nous n'affirmons pas qu'aucun tiers ne touche jamais de données personnelles. L'étape de détection des données à caractère personnel lit les entrées brutes avant filtrage : elle est donc un sous-traitant, et elle est déclarée comme telle. L'affirmation honnête est plus étroite et plus solide : les données personnelles brutes n'atteignent jamais les modèles génératifs tiers.

Et la réserve sur l'infrastructure, dite sans détour : nous fonctionnons aujourd'hui sur des régions AWS UE, nous ne répondons donc pas encore à la référence européenne à laquelle nous croyons. Nous avons l'intention de migrer vers AWS European Sovereign Cloud dès qu'il prendra en charge les technologies dont nous dépendons. C'est une trajectoire, pas un fait acquis.

## Le contre-argument le plus solide

La case « région UE » est-elle donc sans valeur ? Non : la résidence est nécessaire, simplement pas suffisante. Garder les données au repos sous juridiction UE compte pour les procédures légales, la latence, et l'objectif de fond d'une pile cloud européenne - un objectif dont nous partageons la direction.

L'erreur est de s'arrêter là. Une case nécessaire mais non suffisante devient dangereuse dès qu'on la traite comme suffisante, car elle referme la discussion exactement là où les vraies questions commencent.

## La liste de contrôle à appliquer à tout fournisseur

Nous inclus. Posez ces questions à tout fournisseur d'IA présélectionné :

- D'où les ingénieurs support se connectent-ils, et que peuvent-ils voir lorsqu'ils le font ?
- Quelle télémétrie, quels journaux, quelles métadonnées quittent la région, et où vont-ils ?
- Listez chaque sous-traitant - et pour chacun, précisez ce qu'il peut voir, pas seulement où il s'exécute.
- Pour chaque appel à un modèle d'IA : que reçoit le modèle ? Des identifiants bruts, ou des jetons qu'il ne peut pas inverser ?
- Qui détient le stockage des jetons ou les clés de pseudonymisation, et le fournisseur du modèle peut-il ré-identifier quoi que ce soit ?
- Si un client invoque son droit à l'effacement, pouvez-vous réellement atteindre chaque copie - y compris celles qui ont atteint vos modèles ?

Un fournisseur qui maîtrise réellement le flux de ses données répondra à ces questions par écrit, sans ciller. Un fournisseur qui vend du théâtre de la résidence vous ramènera vers la case à cocher.

## Ce qui change si vous acceptez cela

L'étiquette « région » cesse d'être la ligne d'arrivée et devient le point de départ. Votre questionnaire gagne une colonne : non plus seulement « où cela s'exécute-t-il », mais « que peut-il voir ». C'est cette seule colonne qui décide réellement de la souveraineté - et c'est une question à laquelle tout fournisseur devrait être heureux de répondre.