En partie, selon l'offre. OpenAI propose une résidence des données en Europe pour ChatGPT Enterprise et Edu (nouveaux espaces) et pour son API (nouveaux projets). Claude peut être utilisé avec un traitement régional dans l'UE via AWS Bedrock ou Google Vertex. Sinon, les transferts vers les États-Unis reposent sur le Data Privacy Framework, validé en 2025 mais contesté en appel.
Deux notions à ne pas confondre.
La résidence des données désigne l'endroit où vos données sont stockées (conversations, fichiers, journaux). Le lieu d'inférence désigne l'endroit où le modèle les traite pour produire une réponse. Anthropic les présente explicitement comme deux choix distincts. Une offre peut stocker en Europe et traiter ailleurs, ou l'inverse : lisez les deux lignes du contrat.
Ce que proposent les fournisseurs.
| Offre | Option européenne documentée |
|---|---|
| API OpenAI | Résidence des données en Europe pour les nouveaux projets, sans conservation des données (annonce du 5 février 2025) |
| ChatGPT Enterprise et Edu | Résidence en Europe pour les nouveaux espaces ; inférence en région (UE ou États-Unis) ajoutée en janvier 2026 pour les clients éligibles |
| ChatGPT Business | Non mentionnée dans l'annonce consultée |
| Claude via AWS Bedrock ou Google Vertex | Traitement régional UE/EEE possible ; Microsoft Foundry annoncé « bientôt » |
| Claude Team, Enterprise, API Anthropic directe | La page de conformité régionale consultée ne détaille pas d'option européenne pour ces offres |
Autrement dit : si l'hébergement européen est une exigence ferme, il faut choisir l'offre en conséquence (API OpenAI configurée en Europe, ChatGPT Enterprise, ou Claude via un cloud européen), et non supposer que l'abonnement d'équipe la couvre.
Et si les données vont aux États-Unis ?
Le transfert n'est pas interdit pour autant. Depuis 2023, il peut s'appuyer sur le Data Privacy Framework UE–États-Unis, auquel les entreprises américaines adhèrent. Le Tribunal de l'Union européenne l'a validé le 3 septembre 2025 (affaire Latombe), mais un pourvoi a été formé devant la Cour de justice le 31 octobre 2025. Le cadre est donc valable aujourd'hui, sans être définitivement acquis : c'est un point à suivre avec votre DPO.
Ce qui compte autant que le lieu.
- Le contrat : accord de traitement des données (DPA), engagement de non-entraînement par défaut, durée de conservation.
- La minimisation : la donnée qu'on n'envoie pas ne pose aucun problème de localisation. Pseudonymisez quand c'est possible.
- Les accès : qui, dans votre entreprise et chez le prestataire, peut consulter les conversations et les journaux.
- La documentation : votre registre doit indiquer le fournisseur, la localisation et le mécanisme de transfert.
Ce que je recommande.
Partez de la nature des données, pas du drapeau. Pour des documents internes non sensibles, une offre professionnelle avec DPA et transfert encadré suffit généralement. Pour des données sensibles ou une exigence contractuelle d'hébergement européen, choisissez une architecture qui le garantit : API configurée en Europe, Claude via un cloud européen, ou un modèle européen. Je conçois les agents pour que le fournisseur de modèle puisse être changé si vos contraintes évoluent, et je documente la localisation de chaque traitement pour votre registre. Je ne promets jamais un « 100 % souverain » : ce n'est presque jamais exact.
Questions associées.
Choisir un fournisseur européen règle-t-il la question ?
Pas entièrement. La nationalité de l'éditeur ne dit pas où les données sont stockées et traitées, ni ce que prévoit le contrat. Vérifiez ces points dans les conditions de l'offre choisie, comme pour un fournisseur américain (voir Mistral, une alternative française ?).
Faut-il une analyse d'impact (AIPD) ?
Pas systématiquement. La CNIL recommande d'associer le DPO et, le cas échéant, de réaliser une analyse d'impact, notamment quand le traitement porte sur des données sensibles ou à grande échelle. Pour un assistant qui manipule des documents internes non sensibles, une fiche dans le registre suffit souvent.
Sources
- Anthropic : Conformité régionale (traitement régional UE/EEE via AWS Bedrock et Google Vertex)consulté le 13 octobre 2026
- OpenAI : Introducing data residency in Europe (5 février 2025)consulté le 13 octobre 2026
- OpenAI : Enterprise privacy (page mise à jour le 8 janvier 2026)consulté le 13 octobre 2026
- WilmerHale : La CJUE va examiner le recours contre le Data Privacy Framework UE–États-Unis (1er décembre 2025)consulté le 13 octobre 2026
- CNIL : Questions-réponses sur l'utilisation d'un système d'IA générative (18 juillet 2024)consulté le 13 octobre 2026
Dernière vérification des informations : 13 octobre 2026. Les options de résidence évoluent vite et dépendent de votre contrat : vérifiez-les avec le fournisseur et votre DPO avant de vous engager.