IA et protection des données IA et RGPD : où vont vos données, et ce qu’il faut vérifier.
Dès qu’un compte rendu, un contrat ou un dossier patient passe par un outil d’IA, vous traitez des données personnelles, avec toutes les obligations du RGPD. Voici où vont les données avec une IA dans le cloud et avec le Majordome, ce que recouvrent Schrems II et le CLOUD Act, et ce que votre DPO doit vérifier.
- Pensé pour le RGPD
- Aucun transfert vers un cloud américain
- Jamais utilisé pour entraîner
Où vont les données
La seule question qui compte : où se fait le calcul ?
Chaque requête d’IA est un calcul sur des cartes graphiques. Ce qui compte : où elles se trouvent, qui les exploite, et quel droit s’applique. Avec le Majordome, cela dépend de la formule :
Les centres de données du fournisseur
Assistants IA dans le cloud
Chaque question et chaque fichier sont traités sur les serveurs du fournisseur — pour les grands acteurs, une entreprise américaine, même avec des centres de données dans l’UE.
Nos GPU à la TU Wien, à Vienne
L’abonnement
Tout tourne sur nos serveurs, à l’Institut de physique appliquée de l’Université technique de Vienne. Vos données y sont stockées et supprimées automatiquement toutes les deux semaines — sans copie dans un cloud ni chez un tiers.
Chez vous, l’IA lourde à la TU Wien
La version portable
Un ordinateur dans vos bureaux. Documents, enregistrements et transcription de la voix restent chez vous. Les traitements lourds d’IA — chat, synthèse, traduction, recherche — se font sur les serveurs de la TU Wien, pas chez un fournisseur de cloud.
Entièrement chez vous
La version complète
Un serveur GPU dans vos murs. Transcription, chat, traduction et recherche se font sur place ; pas un octet ne sort, et le Majordome fonctionne même sans connexion Internet. Jusqu’à 50 personnes ; grandes institutions sur devis.
Aucune formule ne passe par un cloud américain. Mais avec l’abonnement ou la version portable, nous traitons des données pour votre compte à la TU Wien : cela doit figurer dans votre documentation. Les formules et les prix →
Le transfert vers les États-Unis, simplement
Schrems II et le CLOUD Act en deux paragraphes.
Le CLOUD Act est une loi américaine de 2018. Elle oblige les fournisseurs soumis au droit américain à remettre des données sur injonction des autorités — y compris des données stockées sur des serveurs hors des États-Unis. Un centre de données européen exploité par une entreprise américaine change le lieu de stockage, pas le droit applicable.
Dans son arrêt Schrems II de 2020, la Cour de justice de l’UE a invalidé le « Privacy Shield », jugeant que la surveillance américaine ne protégeait pas suffisamment les données des Européens. Depuis 2023, le cadre de protection des données UE–États-Unis (Data Privacy Framework) offre une nouvelle base aux entreprises certifiées ; sa solidité devant les juges reste incertaine. Concrètement : l’IA d’un fournisseur américain impose d’évaluer et de justifier le transfert. Des données traitées en Europe — ou dans vos murs — ne posent pas la question.
Entraînement
Vos données n’entraînent aucun modèle. Aucun.
Les formules entreprise des offres cloud excluent en général par contrat l’entraînement sur les données clients ; dans les formules gratuites ou personnelles, cela dépend souvent d’un réglage. Vérifiez la formule que vos équipes utilisent réellement.
Avec le Majordome, cette distinction n’existe pas : pas un octet de votre travail ne sert à entraîner un modèle — ni le nôtre, ni celui de quiconque.
Check-list
Ce que votre DPO doit vérifier avant le déploiement.
Le RGPD ne demande rien de fondamentalement nouveau pour l’IA — seulement l’habituel, bien documenté. Ces points valent pour tout outil d’IA, le Majordome compris.
- 1
Contrat de sous-traitance
Un prestataire qui traite des données personnelles pour votre compte exige un contrat (art. 28 RGPD). Chez nous : l’abonnement et la version portable. Avec la version complète, vous seul traitez les données — encadrez aussi nos éventuels accès de maintenance.
- 2
Mesures techniques et organisationnelles
Contrôle d’accès, chiffrement, journalisation, suppression : demandez-en la description (art. 32). Avec la version complète, ces mesures sont les vôtres.
- 3
Analyse d’impact (AIPD)
Technologie nouvelle et données sensibles (santé, ressources humaines, gros volumes) rendent souvent obligatoire une AIPD (art. 35). Moins les données sortent, plus le chapitre sur les transferts est court.
- 4
Registre des traitements
Inscrivez l’usage de l’IA avec sa finalité, les catégories de données, les destinataires et les durées de conservation (art. 30). « Transcription de réunion » et « recherche documentaire » sont deux finalités distinctes.
- 5
Suppression et durée de conservation
Fixez la durée de conservation des transcriptions, conversations et documents. Avec l’abonnement, nous supprimons toutes les deux semaines ; sinon, vous décidez — et supprimer détruit les données, leurs vecteurs et leur index.
- 6
Information des personnes
Toute personne transcrite ou versée dans une base de connaissances doit être informée (art. 13 et 14). Mettez à jour vos mentions avant la mise en service.
La conformité de votre traitement, c’est à vous de l’établir — aucun fournisseur ne peut la certifier à votre place. Le Majordome est pensé pour vous faciliter cette analyse.
Règlement européen sur l’IA
Ce que l’AI Act demande aux organisations qui utilisent l’IA.
Le règlement (UE) 2024/1689 est entré en vigueur en août 2024 et s’applique par étapes. Une organisation qui utilise l’IA est un « déployeur », avec des obligations qui dépendent surtout de l’usage, pas de l’outil.
Maîtrise de l’IA
Depuis février 2025, les déployeurs doivent veiller à ce que leur personnel connaisse suffisamment l’IA utilisée. Une courte formation documentée est un bon début.
Transparence
Dans certains cas, les personnes doivent savoir qu’elles échangent avec une IA ou qu’un contenu est généré par l’IA. Repérez ceux qui vous concernent.
Usages à haut risque
Recrutement, solvabilité, accès à l’éducation ou aux services publics : obligations plus strictes (contrôle humain, journaux, respect de la notice). Un assistant pour comptes rendus et recherches n’en relève généralement pas.
Les échéances et les lignes directrices évoluent encore. Vérifiez l’état actuel auprès de la CNIL ou de votre conseil juridique.
Enregistrer une réunion
Pas de consentement, pas d’enregistrement.
Enregistrer à l’insu des participants ne relève pas que du RGPD. En France (article 226-1 du Code pénal), en Autriche (§ 120 StGB) et en Allemagne (§ 201 StGB), enregistrer des paroles prononcées à titre privé sans consentement est en principe une infraction pénale.
Le Majordome en fait une barrière ferme plutôt qu’une bonne intention : un enregistrement ne démarre qu’une fois que vous avez confirmé que chaque participant a été informé — pour chaque enregistrement.
Confirmation à chaque enregistrement
Pas un réglage coché une fois pour toutes ; la confirmation est conservée avec l’enregistrement.
Aucun robot dans l’appel
Le Majordome ne rejoint aucune réunion. Il enregistre le son que votre ordinateur diffuse déjà — sous vos yeux, jamais en cachette.
Reconnaissance vocale locale
Whisper large-v3 et la détection des locuteurs tournent sur les GPU du Majordome. Aucune API de transcription, aucun cloud.
Cette page est une information générale, pas un conseil juridique. La conformité de votre traitement au RGPD s’apprécie avec votre DPO.
Questions fréquentes
Le Majordome est-il conforme au RGPD ?
La conformité s’attache à un traitement, pas à un produit — et c’est à vous de l’établir. Le Majordome est pensé pour le RGPD : traitement à Vienne ou chez vous, aucun fournisseur de cloud américain, aucun entraînement, suppression sous votre contrôle. Votre analyse s’en trouve nettement simplifiée.
Avec la version portable, mes données sortent-elles de chez moi ?
En partie. Documents, enregistrements et transcription restent chez vous. Pour le chat, la synthèse, la traduction et la recherche, les textes nécessaires partent vers les serveurs de la TU Wien, à Vienne. Si rien ne doit sortir, il vous faut la version complète.
Faut-il un contrat de sous-traitance ?
Pour l’abonnement et la version portable, oui, car des données sont traitées sur nos serveurs. Avec la version complète, seule votre machine les traite ; un contrat peut rester nécessaire si nous y accédons pour la maintenance ou les mises à jour.
Un centre de données européen d’un fournisseur américain, ce n’est pas pareil ?
Il règle le lieu de stockage, pas le droit applicable : avec le CLOUD Act, les autorités américaines peuvent demander des données stockées en Europe. Ce risque est-il acceptable pour vos données ? C’est une appréciation à documenter.
Mes données servent-elles à entraîner un modèle ?
Non. Rien de ce que vous faites dans le Majordome n’entraîne un modèle — ni le nôtre, ni celui de quiconque.
Le Majordome fonctionne-t-il hors ligne ?
La version complète, oui : elle calcule tout sur place et fonctionne même coupée de l’extérieur. L’abonnement et la version portable ont besoin d’une connexion vers la TU Wien.
Parlons de vos questions RGPD.
Venez avec votre DPO : nous vous montrons, sur les machines, où chaque donnée est traitée et comment elle est supprimée.