# RGPD : où vivent vos données quand un agent les lit > Les quatre questions à trancher avant qu’un agent touche une donnée : où elle vit, qui y accède, combien de temps, et si elle sert à entraîner un modèle. Avec les réponses qu’on écrit dans nos devis. **Version HTML :** https://agence-intelligence-artificielle.eu/blog/rgpd-ou-vivent-vos-donnees-quand-un-agent-les-lit **Langue :** fr --- **Sur cette page** Où vit la donnée Est-ce que ça entraîne le modèle ? Minimiser : le geste qui règle la moitié du sujet Le registre et la trace IA responsable # RGPD : où vivent vos données quand un agent les lit « Est-ce que nos données partent chez un éditeur américain ? » C’est la bonne question, et elle se tranche avant d’écrire une ligne — pas au moment de la mise en service. 8 août 20266 min de lecturePar Sébastien Joumel **Quatre décisions, prises à l’atelier**Où vivent les données, qui y accède, combien de temps on les garde, et si elles servent à entraîner quoi que ce soit. Les quatre réponses sont écrites au devis. ## Où vit la donnée Trois montages existent, et on les choisit selon la sensibilité, pas selon la mode : - **Chez vous** : les documents et le modèle restent sur votre infrastructure. Le plus fermé, le plus coûteux, réservé à ce qui l’exige — dossiers d’un cabinet, données d’une mutuelle. - **Chez un hébergeur européen** : le cas le plus fréquent. Les documents restent dans un espace que vous contrôlez, dans l’Union, et seuls les extraits nécessaires sont envoyés au modèle. - **Chez l’éditeur du modèle** : acceptable pour des contenus non sensibles, à condition de savoir ce qui est envoyé et ce qui est conservé. Le montage intermédiaire suffit dans la grande majorité des cas, à une condition : savoir précisément quel extrait part, et pourquoi. ## Est-ce que ça entraîne le modèle ? C’est la question qui inquiète le plus, et la plus simple à régler : les offres professionnelles des principaux éditeurs prévoient contractuellement que les données envoyées par l’interface de programmation ne servent pas à entraîner leurs modèles. Encore faut-il être sur la bonne offre — l’abonnement grand public n’offre pas les mêmes garanties. > « On utilise déjà ChatGPT » et « on a un contrat qui interdit l’entraînement » sont deux phrases très différentes. Ce point se vérifie au contrat, se note au registre, et se dit aux équipes. Sans ça, elles continueront à coller des données clients dans l’outil qu’elles ont sous la main. ## Minimiser : le geste qui règle la moitié du sujet Un agent n’a presque jamais besoin de la donnée complète. Pour vérifier qu’un dossier est complet, il lui faut la liste des pièces reçues — pas leur contenu. Pour répondre sur l’état d’une commande, il lui faut un statut — pas l’historique d’achat. Concevoir en minimisant demande une heure de conception de plus et supprime des semaines de discussion. C’est aussi ce qui rend le système plus rapide et moins cher : moins de données envoyées, moins de jetons facturés. ## Le registre et la trace Chaque traitement mis en service est ajouté à votre registre : finalité, données concernées, base légale, durée de conservation, destinataires. Ce n’est pas une formalité de fin de projet — c’est ce qui oblige à répondre aux quatre questions du départ. Et le journal des exécutions garde qui a déclenché quoi, sur quelle donnée, avec quelle sortie. Le jour où un salarié ou un client exerce ses droits, la réponse se trouve en minutes au lieu de se reconstituer de mémoire. Un mot sur ce que nous ne faisons pas : nous ne rédigeons pas votre analyse d’impact et nous ne qualifions pas votre base légale. C’est le travail de votre délégué à la protection des données, et nous travaillons avec lui, pas à sa place. **À lire sur le site** - [IA pour les RH](https://agence-intelligence-artificielle.eu/ia-rh) — aucune donnée de santé, jamais - [IA pour la santé](https://agence-intelligence-artificielle.eu/ia-sante) — le périmètre décidé avant tout le reste - [IA pour les avocats](https://agence-intelligence-artificielle.eu/ia-avocat) — le secret professionnel, fermé par construction - [Mentions légales](https://agence-intelligence-artificielle.eu/mentions-legales) — l’éditeur, l’hébergeur, vos droits ## D’autres notes [IA responsable · 8 septembre 2026Règlement IA européen : ce qui vous concerne vraimentLes dates d’application du règlement (UE) 2024/1689, ce qu’il demande à une PME qui utilise l’IA sans en fabriquer, et les trois questions à trancher avant d’ouvrir un système.](https://agence-intelligence-artificielle.eu/blog/reglement-ia-europeen-ce-qui-vous-concerne)[IA responsable · 3 juillet 2026Un agent qui lit vos mails lit aussi ce qu’on lui écritDès qu’un agent lit du contenu venu de l’extérieur, ce contenu peut contenir des instructions. Les quatre règles de conception qui règlent la question, sans paranoïa.](https://agence-intelligence-artificielle.eu/blog/un-agent-qui-lit-vos-mails-lit-aussi-ce-quon-lui-ecrit)[IA responsable · 24 juillet 2026L’humain dans la boucle : où le mettre vraiment« Validation humaine » ne veut rien dire si la personne clique sans lire. Les quatre façons de placer un humain dans un circuit, et celles qui tiennent au bout de trois mois.](https://agence-intelligence-artificielle.eu/blog/lhumain-dans-la-boucle-ou-le-mettre-vraiment) [Tous les billets →](https://agence-intelligence-artificielle.eu/blog) Premier échange — quinze minutes ## On vous dira quel système ouvrir en premier. Décrivez le geste qui vous coûte le plus cher. Nous vous dirons ce qui est faisable, en combien de temps et à quel prix. Si la réponse est non, vous repartirez avec les deux raisons pour lesquelles c’est non. [Demander le relevé](https://agence-intelligence-artificielle.eu/contact) [Écrire à l’agence](https://agence-intelligence-artificielle.eu/contact)