À retenir
- Une IA hébergée aux États-Unis reste soumise au CLOUD Act américain, même si les données sont physiquement en Europe — un sous-traitant US peut être légalement contraint de les remettre à une autorité américaine.
- Pour un avocat, les données traitées sont structurellement couvertes par le secret professionnel : héberger chez un fournisseur non-européen sans garde-fou est difficilement compatible avec l'article 66-5 de la loi de 1971.
- Le RGPD (art. 44 à 50) encadre strictement les transferts hors UE et impose des clauses contractuelles types et des analyses d'impact — la plupart des cabinets ne les signent jamais explicitement avec leur fournisseur d'IA.
- Consia tourne sur Vertex AI hébergé à Paris (région europe-west9) avec une base Neon en europe-central — aucune donnée de conversation ne quitte l'UE.
Une question qui ne se posait pas en 2019
Il y a cinq ans, quand un cabinet choisissait un outil numérique, la question de l'hébergement relevait du bas de contrat, quelque part entre la durée de rétention des logs et la typographie des factures. En 2026, elle est redevenue centrale — pour trois raisons cumulatives.
D'abord, l'IA générative manipule des volumes de données bien plus intimes que les outils documentaires précédents. Quand vous posez une question à une IA juridique, vous décrivez souvent un cas réel : une stratégie contentieuse en cours, un client nommé, un montant, une date. Même anonymisé, le prompt reste sensible.
Ensuite, le contexte géopolitique s'est durci. Le CLOUD Act américain (2018), l'Executive Order 14117 (2024) sur les données sensibles, les tensions transatlantiques sur l'adéquation RGPD : tout converge vers une idée simple. Un fournisseur soumis à la juridiction américaine peut être contraint de remettre vos données, y compris si elles sont physiquement stockées en Europe.
Enfin, la CNIL, le CNB et l'Ordre de Paris ont multiplié depuis 2023 les mises en garde sur l'IA dans les cabinets. Sans position de principe contre l'IA — mais avec une vigilance renforcée sur la souveraineté des traitements.
Ce que disent réellement les textes
RGPD — les transferts internationaux (art. 44 à 50)
Le RGPD interdit par principe les transferts de données personnelles vers un pays tiers à l'UE, sauf si l'un de ces mécanismes s'applique :
- Décision d'adéquation (art. 45) — la Commission européenne reconnaît qu'un pays offre un niveau de protection équivalent. Le cas des États-Unis est particulièrement instable : l'adéquation actuelle (EU-US Data Privacy Framework de 2023) est contestée devant la Cour de justice et pourrait tomber à nouveau, comme l'ont fait Safe Harbor en 2015 et Privacy Shield en 2020 (arrêts Schrems I et Schrems II).
- Clauses contractuelles types (art. 46) — à signer entre le responsable de traitement (vous, l'avocat) et le sous-traitant hors UE.
- Règles d'entreprise contraignantes ou dérogations (art. 49) — plus rares.
En pratique, peu de cabinets lisent le contrat signé avec leur IA favorite. Et la plupart des outils grand public (ChatGPT, Gemini, Claude web) s'appuient sur le Data Privacy Framework pour tenir, ce qui rend leur conformité conditionnée à un cadre juridique instable.
Le CLOUD Act américain (2018)
C'est le texte qui change la donne. Le Clarifying Lawful Overseas Use of Data Act permet aux autorités américaines de demander à un fournisseur de services soumis à leur juridiction de communiquer des données, même si ces données sont stockées en dehors des États-Unis.
Soumis à leur juridiction signifie concrètement : toute entreprise enregistrée aux US, ou ayant une filiale US ayant un contrôle opérationnel sur le service concerné. Cela inclut Amazon Web Services, Microsoft Azure, Google Cloud, OpenAI, Anthropic — même quand ils utilisent des datacenters européens.
Secret professionnel de l'avocat — art. 66-5 de la loi de 1971
L'article 66-5 de la loi du 31 décembre 1971 dispose que toutes les correspondances entre l'avocat et son client, ainsi que les consultations adressées par l'avocat, sont couvertes par le secret professionnel. Le Conseil national des barreaux, dans sa délibération n° 2023-003 du 10 février 2023, rappelle que le traitement par un tiers de contenus couverts par le secret professionnel requiert des garanties équivalentes à celles que l'avocat lui-même offrirait.
Concrètement : si vous soumettez un prompt contenant le nom d'un client, le montant d'un contentieux, ou la stratégie d'une procédure en cours, à un outil hébergé aux États-Unis sans clauses renforcées, vous êtes en zone grise au regard de votre propre déontologie.
Les trois risques concrets pour un cabinet
Risque 1 — la réquisition légale étrangère. Peu probable pour un petit cabinet français, mais non nul. Le scénario typique : une procédure américaine concerne indirectement un de vos clients (filiale, litige commercial transatlantique), les autorités US demandent à un fournisseur cloud américain de remettre les interactions de certains utilisateurs.
Risque 2 — la fuite par défaut de sécurité du fournisseur. Les fournisseurs non-européens ont des obligations de notification différentes et parfois moins contraignantes. Une fuite chez un acteur basé en Europe vous est notifiée en 72 h (RGPD art. 33). Hors UE, les délais et obligations varient.
Risque 3 — le risque réputationnel et déontologique. Si un client découvre que ses informations ont été traitées par une IA dont il ne soupçonnait pas la localisation du fournisseur, le manquement au secret professionnel est un sujet disciplinaire. Même si aucune fuite réelle n'a eu lieu.
Ce que ça change selon la localisation
| Critère | IA hébergée en UE, opérée par entité UE | IA hébergée en UE, opérée par entité US |
|---|---|---|
| Juridiction applicable | Droit européen strict (RGPD, directives locales) | CLOUD Act + RGPD — conflit de lois possible |
| Notification de fuite | 72 h obligatoire | 72 h côté RGPD, mais régime additionnel US |
| Réquisition étrangère | Nécessite entraide judiciaire | Possible unilatéralement sous CLOUD Act |
| Clauses contractuelles types | Non requises (transfert intra-UE) | Requises, à vérifier individuellement |
| Compatibilité 66-5 | Standard, analyse d'impact recommandée | Analyse d'impact approfondie nécessaire |
Le cas Consia : trois niveaux d'hébergement européen
Chez Consia, l'ensemble de la chaîne de traitement d'une conversation est en Europe :
1. Le modèle d'IA — Vertex AI Paris. Nous utilisons Gemini 2.5 Flash
via Vertex AI en région europe-west9 (Paris). Le contrat avec Google
Cloud France SAS relève du droit français. Les prompts ne transitent ni
ne sont stockés hors de l'UE.
2. La base de données — Neon EU-central. Toutes les conversations,
les titres, les messages sont stockés dans une base Postgres Neon en
région eu-central-1 (Francfort). Les données sont chiffrées au repos
(AES-256-GCM applicatif en plus du chiffrement disque).
3. L'infrastructure applicative — Vercel Functions UE. Nos fonctions
Next.js tournent sur l'infra Vercel en région fra1 (Francfort) par
défaut. Aucun traitement ne déborde hors UE.
Nous n'utilisons aucun service d'analyse tiers américain (Google Analytics, Vercel Analytics) sur les parties connectées de l'application : tout le tracking est first-party et stocké dans notre propre base.
Comment vérifier pour votre outil actuel
Si vous utilisez déjà une IA dans votre cabinet, posez-vous les six questions suivantes — et demandez les réponses écrites à votre fournisseur :
- Où est localisée l'entité juridique qui me facture ? (nom social et numéro SIREN/équivalent local)
- Dans quel pays sont physiquement hébergés les prompts que j'envoie ? (région cloud précise, pas « UE » générique)
- Mon fournisseur est-il soumis au CLOUD Act ou à l'Executive Order 14117 ? (la réponse est oui pour toute entreprise de droit américain)
- Quelles clauses contractuelles types sont signées dans mon contrat ? (référence à la décision 2021/914 de la Commission européenne)
- Qui sont les sous-traitants ultérieurs ? (RGPD art. 28 — liste à jour)
- En cas de fuite, sous quel délai suis-je notifié et par quel canal ?
Si votre fournisseur ne peut pas répondre par écrit à ces six questions en moins de 48 h, c'est un signal important.
Pour aller plus loin
- Notre page sécurité détaille l'ensemble des mesures (chiffrement, anonymisation, secret professionnel, RGPD)
- Notre DPA-type — le modèle de convention de sous-traitance que nous signons avec les cabinets
- IA et secret professionnel : les 7 vérifications à faire — la checklist complète avant d'adopter un outil
- Le guide complet IA pour avocats en 2026
L'hébergement européen n'est pas un argument marketing de plus dans la liste des fonctionnalités. C'est une condition de possibilité pour qu'un avocat puisse utiliser une IA sans compromis sur son obligation de confidentialité. Nous avons pris le parti de ne pas faire de compromis sur ce point, dès le premier jour.
Sources citées
- 01.Règlement général sur la protection des données (RGPD) — Chapitre V, art. 44 à 50— EUR-Lex · consulté le 2026-05-31
- 02.Arrêt Schrems II (C-311/18) — invalidation du Privacy Shield— Cour de justice de l'Union européenne · consulté le 2026-05-31
- 03.CLOUD Act — Clarifying Lawful Overseas Use of Data Act (H.R.4943)— Congress.gov · consulté le 2026-05-31
- 04.Délibération n° 2023-003 du 10 février 2023 — IA et déontologie— Conseil national des barreaux · consulté le 2026-05-31
- 05.Loi n° 71-1130 du 31 décembre 1971, article 66-5— Légifrance · consulté le 2026-05-31
