IA de service client : quelle solution héberge les données en Europe ?

TL;DR
« Hébergé en Europe » ne veut pas dire « traité en Europe ». Le stockage au repos, l'inférence du modèle et les journaux se paramètrent séparément, et la plupart des éditeurs ne documentent que le premier. Au 26 août 2026, Zendesk et Fin proposent une région de stockage UE ; Gorgias, Yuma et Crescendo ne publient aucune option de résidence européenne, et leurs listes de sous-traitants IA sont majoritairement américaines. Le EU-US Data Privacy Framework est toujours en vigueur, mais sous pourvoi devant la CJUE et sous demande de réexamen du CEPD depuis le 31 juillet 2026. ISO 27001 et SOC 2 ne disent rien de la localisation : seul SecNumCloud pose des exigences explicites sur ce point.

Quelle IA de service client héberge réellement les données en Europe ?

Cet article ne traite pas du RGPD en général — nous l'avons fait dans RGPD et IA : concilier innovation, service client et conformité. Il traite d'une question plus étroite et plus opérationnelle : comment vérifier où vont réellement les données quand on choisit un fournisseur d'IA de service client, et quoi lui demander par écrit.

La réponse courte : la page marketing ne suffit jamais. Il faut lire trois documents — la page « régions d'hébergement », la liste des sous-traitants, et les annexes du DPA — et comprendre que ces trois documents ne parlent pas de la même couche.

Les trois couches qu'il faut distinguer

Couche 1 — le stockage au repos

C'est ce que les éditeurs documentent le mieux : la région du datacenter où sont conservées les conversations. C'est aussi la seule couche que couvre l'expression « hébergé en Europe ».

Couche 2 — l'inférence du modèle

C'est là où le prompt est effectivement traité par le LLM. Elle se paramètre séparément, et elle est très rarement documentée. Un workspace stocké à Dublin peut appeler un modèle exécuté ailleurs.

Couche 3 — les journaux et métadonnées

Logs de production, données d'analytics, transcriptions vocales, facturation, métadonnées d'usage. C'est la couche des exceptions, et elle est presque toujours listée dans une annexe plutôt que sur la page produit.

Exemple concret : la Regional Data Hosting Policy de Zendesk liste explicitement les catégories non couvertes par la région choisie — transcriptions vocales, données d'amélioration des filtres e-mail, logs de production, données ML et analytics — et précise que Zendesk QA, WFM et Ultimate sont hébergés sur GCP et peuvent ne pas être disponibles dans les régions listées. De son côté, Fin exclut la facturation, les données d'administration et les métadonnées d'usage de la résidence UE.

Où hébergent réellement les éditeurs d'IA de SAV

Relevés du 26 août 2026 sur les pages publiques de chaque éditeur. Quand l'information n'est pas publiée, nous écrivons « non public » — c'est en soi une information pour l'acheteur.

Fin (ex-Intercom)

• Stockage : États-Unis par défaut (AWS), options UE (AWS eu-west-1, Dublin) et Australie
• Résidence UE : oui, mais au moment de la création du workspace uniquement. Pas de migration directe US vers UE : il faut créer un nouveau workspace et reporter les réglages. Facturation, données admin et métadonnées d'usage restent traitées aux États-Unis
• Sous-traitants IA déclarés : selon la liste officielle mise à jour le 25/06/2026 — OpenAI (USA, EU), Google (USA, EU), Microsoft (USA, EU), Anthropic (USA uniquement), Eleven Labs, Cartesia, AWS Bedrock

Zendesk

• Stockage : 9 régions AWS, dont EEE (Irlande, Francfort)
• Résidence UE : oui, via l'add-on Data Center Location, gratuit à partir de Suite Professional
• Sous-traitants IA déclarés : OpenAI, Google Gemini, ElevenLabs, modèles servis via AWS Bedrock, Azure, Groq et Fireworks AI. Zendesk annonce des endpoints zero data retention et l'interdiction contractuelle d'entraînement sur les données client. La localisation géographique de l'inférence n'est pas publiée

Gorgias

• Stockage : Google Cloud Platform, listé « US, EU, Australie » dans la liste de sous-traitants. Le DPA ne fixe aucune localisation
• Résidence UE : non documentée publiquement comme engagement contractuel. Le DPA renvoie aux clauses contractuelles types pour les transferts hors EEE
• Sous-traitants IA déclarés : OpenAI L.L.C. (United States), seul fournisseur de LLM listé (liste mise à jour le 30/03/2026)

Yuma.ai

• Stockage : « We may process data in the United States and other jurisdictions » (politique de confidentialité, mise à jour juillet 2026). Aucune région précisée
• Résidence UE : aucune option mentionnée. L'éditeur met en avant son adhésion au EU-US Data Privacy Framework comme mécanisme de transfert
• Sous-traitants IA déclarés : non public. Aucune page sous-traitants trouvée. SOC 2 Type II annoncé, suppression des messages par défaut à 13 semaines

Klark

• Stockage : « toutes nos données en Europe » selon sa page sécurité. Fournisseur cloud non précisé
• Résidence UE : revendiquée comme configuration par défaut. Pas de page sous-traitants publique avec localisations
• Sous-traitants IA déclarés : GPT-5 (OpenAI), Mistral Large, Claude 4.5 (Anthropic). L'éditeur indique anonymiser systématiquement avant envoi aux LLM, avec une rétention annoncée « moins de 24 h »

Crescendo

• Stockage : non public. Infrastructure GCP
• Résidence UE : aucune option documentée
• Sous-traitants IA déclarés : tous listés aux États-Unis (liste mise à jour le 14/07/2026) — Google Gemini et Vertex AI, OpenAI, Microsoft Azure, Groq, Deepgram, Amazon Nova Sonic, ElevenLabs, Soniox

Onepilot

• Stockage et sous-traitants : non publics sur les pages consultées. Trust center : ISO/IEC 27001:2022 depuis juillet 2024

Achille

• Stockage : Europe, en configuration par défaut et non en option payante

Le cadre juridique qui s'applique au choix d'un fournisseur

Chapitre V du RGPD

Trois voies, dans cet ordre, selon la CNIL : la décision d'adéquation (art. 45), les garanties appropriées — clauses contractuelles types, BCR, codes de conduite (art. 46), et les dérogations pour situations particulières, d'interprétation stricte (art. 49).

Le jeu de clauses contractuelles types en vigueur reste la décision d'exécution (UE) 2021/914 du 4 juin 2021.

Le statut du EU-US Data Privacy Framework au 26 août 2026

C'est le point le plus mouvant du dossier, et il mérite d'être daté précisément.

• 10 juillet 2023 : décision d'adéquation (UE) 2023/1795 adoptée
• 3 septembre 2025 : le Tribunal de l'UE rejette le recours dans l'affaire T-553/23 (Latombe c/ Commission) et confirme l'adéquation en première instance
• 31 octobre 2025 : pourvoi formé devant la CJUE, affaire C-703/25 P
• 29 juin 2026 : la Cour suprême des États-Unis rend Trump v. Slaughter. noyb relève que la décision d'adéquation s'appuie 259 fois sur l'indépendance de la FTC et demande le retrait de l'adéquation
• 31 juillet 2026 : le CEPD écrit au commissaire Michael McGrath pour demander à la Commission d'examiner si cet arrêt affecte la validité continue du DPF
• 26 août 2026 : les États-Unis figurent toujours sur la liste officielle des décisions d'adéquation. Aucune suspension n'est mentionnée

Formulation prudente et exacte : le DPF est en vigueur, tout en étant simultanément sous pourvoi et sous demande de réexamen. Une organisation qui fonde aujourd'hui ses transferts sur le seul DPF assume un risque de continuité qu'il lui appartient d'évaluer. Personne ne peut dire à ce jour si le DPF tombera.

Le Cloud Act ne se raisonne pas en « où est le serveur »

La réponse conjointe du CEPD et du CEPD-EDPS à la commission LIBE du 10 juillet 2019 reste la référence. Deux points en ressortent :

• L'article 48 du RGPD prévoit qu'une décision de justice étrangère ne rend pas à elle seule un transfert licite : elle ne peut être reconnue que si elle est fondée sur un accord international
• Les deux autorités concluent qu'en l'absence d'un tel accord assorti de garanties procédurales fortes, la licéité de ces transferts ne peut pas être établie

Conséquence pratique : la question n'est pas seulement « où est le serveur » mais « qui contrôle l'entité ». Une filiale européenne d'un groupe américain, ou un fournisseur européen dont le sous-traitant cloud relève du droit américain, reste dans le champ. C'est exactement le raisonnement qu'applique l'ANSSI dans SecNumCloud.

Ce que « zero data retention » signifie — et ce qu'il ne dit pas

Le ZDR est souvent présenté comme une réponse à la question de la localisation. Ce n'en est pas une.

Chez OpenAI (documentation sur les contrôles de données, consultée le 26/08/2026), le ZDR est un contrôle optionnel soumis à approbation préalable, qui force le paramètre store à false et exclut le contenu des logs de surveillance des abus — normalement conservés jusqu'à 30 jours. Il n'est pas éligible aux endpoints qui stockent un état persistant : assistants, threads, conversations, vector stores.

Chez Mistral, le ZDR est disponible uniquement en pay-as-you-go, uniquement pour les appels API sans état, sur demande motivée. Il ne couvre ni les agents, ni le batch, ni les conversations, ni les librairies. L'éditeur précise explicitement que « ZDR et l'opt-out d'entraînement sont deux contrôles distincts ».

Trois pièges à retenir :

1. ZDR répond à « combien de temps », pas à « où ». Un endpoint ZDR aux États-Unis reste un traitement aux États-Unis pendant la durée de la requête
2. ZDR n'est pas l'absence d'entraînement. Ce sont deux clauses différentes, à obtenir séparément par écrit
3. ZDR est presque toujours conditionnel : plan tarifaire, approbation préalable, périmètre limité aux appels sans état. Un fournisseur de SAV qui utilise des agents, des threads persistants ou une base de connaissances vectorisée sort mécaniquement du périmètre ZDR standard

Certifications : ce qu'elles prouvent, ce qu'elles ne prouvent pas

• ISO/IEC 27001 — norme de management de la sécurité de l'information. Aucune exigence de localisation géographique. Un fournisseur certifié peut héberger n'importe où
• SOC 2 Type I / II — attestation d'un auditeur selon les Trust Services Criteria de l'AICPA, référentiel américain. Aucune exigence de localisation ni de nationalité de l'opérateur
• HDS — pertinent uniquement si votre SAV traite des données de santé : parapharmacie, optique, dispositifs médicaux, compléments. Hors sujet pour un e-commerce généraliste
• SecNumCloud v3.2 (ANSSI) — le seul des quatre à traiter frontalement la localisation et l'immunité juridique. Il exige la localisation UE du stockage et du traitement, un siège social dans un État membre, un actionnariat extra-européen minoritaire, avec pour objectif affiché « d'assurer la confiance en la résilience du service cloud qualifié face à une possible injonction d'un État non membre de l'UE ». Attention : c'est une qualification du prestataire cloud, pas de l'éditeur SaaS qui tourne dessus

La phrase à retenir : ISO 27001 et SOC 2 répondent à « les données sont-elles bien protégées ? ». Elles ne répondent jamais à « les données sont-elles en Europe ? » ni à « qui peut être contraint de les remettre ? ». Ces deux questions se règlent dans le DPA et dans la liste des sous-traitants.

Deux décisions récentes qui concernent directement un SAV automatisé

22 juillet 2024 — Uber, 290 M€ (autorité néerlandaise). Articles 44, 46 et 49 du RGPD : transfert de données de chauffeurs européens vers des serveurs américains pendant plus de deux ans après l'abandon des clauses contractuelles types, sans mécanisme de transfert valable (communiqué CEPD).

21 août 2026 — Uber, 824 990 000 € (autorité néerlandaise). Article 22 du RGPD : un logiciel a désactivé des comptes chauffeurs de 2018 à 2022 sans aucune revue humaine, sur signalement de fraude ou note basse. Uber a fait appel.

Ce second dossier est le plus directement transposable à un SAV piloté par IA. Remboursement refusé, compte bloqué, commande annulée automatiquement : ce sont des décisions individuelles automatisées. La question à se poser n'est pas « mon IA est-elle conforme », mais « quelles actions exécute-t-elle seule, et comment la supervision humaine est-elle tracée ? ».

À noter honnêtement : sur la liste publique des sanctions CNIL consultée le 26 août 2026, aucune sanction 2025-2026 ne porte explicitement sur des transferts hors UE, et aucune n'est spécifiquement liée à un système d'IA.

La checklist à envoyer à un fournisseur

Exigez des réponses écrites, annexées au contrat — pas des captures de page marketing.

Localisation du stockage

1. Dans quelle région et quel pays les conversations sont-elles stockées au repos ? Nommez le fournisseur cloud et la région exacte.
2. La région est-elle choisie à la souscription ou modifiable ensuite ? Une migration est-elle possible sans recréer le compte ?
3. Quelles catégories de données sortent de la région choisie ? Citez nommément : facturation, administration, métadonnées d'usage, logs de production, analytics, transcriptions vocales, sauvegardes.
4. Où sont les sauvegardes et les environnements de reprise d'activité ?

Localisation de l'inférence

1. Où l'inférence est-elle exécutée, région par région et modèle par modèle ?
2. Le routage peut-il basculer vers une autre région en cas de charge ou d'indisponibilité ? Suis-je notifié ?
3. Si vous passez par une place de marché de modèles, quel mode de déploiement est utilisé — in-region, geo ou global ?

Chaîne de sous-traitance

1. Fournissez la liste exhaustive et datée des sous-traitants ultérieurs : entité juridique, pays d'établissement, pays de traitement, finalité.
2. Quel préavis en cas de changement de sous-traitant, et puis-je m'y opposer ?
3. Un sous-traitant de la chaîne est-il soumis au CLOUD Act, y compris via une société mère ?
4. Quel mécanisme de transfert pour chaque flux hors EEE ? Avez-vous réalisé une analyse d'impact des transferts, et pouvez-vous me la communiquer ?
5. Si l'adéquation DPF venait à être suspendue, quel est votre plan de repli documenté ?

Conservation et entraînement

1. Durée de conservation par catégorie : conversations, pièces jointes, transcriptions, logs, index vectoriels.
2. Un mode zero data retention est-il activé chez vos fournisseurs de modèles, et sur quels endpoints ? Que se passe-t-il pour les fonctionnalités à état ?
3. Mes données servent-elles à entraîner vos modèles ? Opt-in ou opt-out ? Fournissez la clause.
4. Que devient l'index vectoriel de ma base de connaissances à la fin du contrat ?

Décision automatisée

1. Quelles actions l'IA exécute-t-elle seule — remboursement, annulation, blocage de compte, refus de garantie ? Lesquelles exigent une validation humaine ?
2. Comment la supervision humaine est-elle tracée et auditable, action par action ?
3. Comment le client final est-il informé qu'il interagit avec un système automatisé ?

Réversibilité

1. Format et périmètre de l'export : conversations, pièces jointes, base de connaissances.
2. Délai contractuel de suppression après résiliation, sauvegardes comprises ? Attestation fournie ?
3. Délai de notification d'une violation de données et des injonctions d'autorités étrangères ?

FAQ

« Hébergé en Europe » signifie-t-il que l'IA traite mes données en Europe ?

Non. Le stockage au repos et l'inférence du modèle se paramètrent séparément. Zendesk documente précisément ses régions de stockage mais ne publie rien sur la localisation de l'inférence. Fin héberge un workspace UE à Dublin mais liste Anthropic uniquement aux États-Unis dans ses sous-traitants. Demandez les deux réponses séparément.

Le Cloud Act s'applique-t-il à un serveur situé en Europe ?

La question ne se pose pas en termes de localisation du serveur mais de contrôle de l'entité. Une entreprise soumise au droit américain peut faire l'objet d'une injonction portant sur des données qu'elle contrôle, où qu'elles soient. C'est le raisonnement retenu par l'ANSSI dans le référentiel SecNumCloud.

Le EU-US Data Privacy Framework est-il toujours valable en 2026 ?

Au 26 août 2026, oui : les États-Unis figurent toujours sur la liste des décisions d'adéquation de la Commission. Mais la décision est sous pourvoi devant la CJUE (C-703/25 P) et le CEPD a demandé le 31 juillet 2026 à la Commission d'en réexaminer la validité après l'arrêt Trump v. Slaughter. Prévoyez un plan de repli contractuel.

ISO 27001 et SOC 2 garantissent-ils que mes données restent en Europe ?

Non. Ni l'une ni l'autre ne comporte d'exigence de localisation géographique. Elles portent sur la qualité des contrôles de sécurité, pas sur le lieu de traitement. Seul SecNumCloud pose des exigences explicites de localisation UE — et il qualifie le prestataire cloud, pas l'éditeur SaaS.

Peut-on migrer un compte Intercom des États-Unis vers l'Europe ?

Pas directement. La documentation de Fin indique qu'il faut créer un nouveau workspace dans la région souhaitée et transférer manuellement paramètres et données. Les conversations historiques ne sont pas migrées. C'est un argument de calendrier d'achat autant que de conformité.

Mon fournisseur d'IA peut-il entraîner ses modèles sur mes conversations ?

Cela dépend de ce que dit votre DPA, et c'est une clause distincte de la rétention. Posez la question en deux temps : vos modèles à vous, et ceux de vos fournisseurs de LLM. Demandez la clause contractuelle, pas la déclaration sur la page produit.

Une IA peut-elle refuser un remboursement sans intervention humaine ?

C'est une décision individuelle automatisée au sens de l'article 22 du RGPD, avec les obligations qui vont avec. La décision de l'autorité néerlandaise du 21 août 2026 contre Uber, portant sur des désactivations de comptes sans revue humaine, montre le niveau d'exigence attendu sur la traçabilité de la supervision. Cette décision est sous appel.

‍