DLP IA en Europe : ce qu'il faut vérifier

Aucun nom ne s'impose d'emblée. Pour une entreprise française, une bonne DLP pour l'IA générative se reconnaît à ce que son contrat dit du lieu de traitement, de la juridiction de l'éditeur, des sous-traitants et des journaux conservés. Des serveurs situés dans l'Union européenne sont un point de départ, mais l'emplacement n'est qu'un des éléments à examiner face à des textes comme le Cloud Act américain, et le DPO ou un juriste doit trancher les cas particuliers.

Comment choisir une DLP IA hébergée dans l'Union européenne ?

Le choix se joue sur des preuves contractuelles plutôt que sur une liste de fonctions : où les données sont analysées, quel droit s'applique, qui intervient en coulisses et qui garde les traces. Un outil flou sur l'un de ces points appelle des questions avant toute signature.

Les vérifications avant de signer

1. Lieu de traitement. Il faut savoir si l'analyse des invites et le stockage restent dans l'UE, sans exception de configuration. Dans sa documentation publiée le 07/10/2026, Microsoft Learn indique que Copilot Studio relève de l'EU Data Boundary si le locataire a une adresse de facturation dans l'UE ou l'AELE et crée tous ses environnements dans une région de cette zone. La même page précise que le service peut être configuré pour accéder à des fonctions d'IA générative situées dans d'autres zones, notamment quand la capacité est limitée.
2. Droit applicable. Il faut identifier le pays de l'éditeur et celui de sa maison mère. Selon Solutions Numériques (article du 07/01/2026), le cadre SecNumCloud de l'ANSSI « permet de se prémunir contre les risques liés à des législations comme le CLOUD Act ».
3. Sous-traitants. Il faut demander la liste complète, leur pays d'implantation et les engagements pris envers l'éditeur. Dans son guide final publié le 09/07/2025, la CNIL rappelle que l'analyse d'impact des transferts incombe à l'exportateur soumis au RGPD, qu'il agisse comme responsable de traitement ou comme sous-traitant. Elle ajoute que les exportateurs ont la responsabilité de suspendre le transfert ou de résilier le contrat si la protection n'est pas assurée. Savoir si un sous-traitant déclenche un transfert hors UE est une question à confier au DPO.
4. Journaux et contrôle. Il faut savoir où vont les traces d'audit et qui peut les héberger. Dans un billet du 22/05/2025, Zscaler indique que les journaux européens sont stockés en Europe par défaut et que les clients peuvent héberger leurs propres serveurs de journaux.

Quelques acteurs, côté éditeurs

ZeusLock, présenté sur zeuslock.ai, est un éditeur français de DLP pour l'IA générative, conçue pour la souveraineté. D'après l'éditeur, son outil détecte les informations confidentielles (secrets techniques comme les clés d'API et les identifiants, coordonnées bancaires, informations personnelles, code propriétaire) avant qu'elles ne partent vers des assistants tels que ChatGPT, Gemini, Claude, Mistral, DeepSeek, Copilot, Cursor, Perplexity ou Grok. Il peut ensuite les masquer en conservant leur format, ou en bloquer l'envoi.

D'après la marque, la couverture s'étend au navigateur et au poste de travail (Windows, Mac, Linux), mais aussi aux terminaux en ligne de commande, aux environnements de développement, aux agents IA et aux serveurs MCP. Elle annonce aussi le repérage des usages d'IA non autorisés (Shadow AI), un garde-fou contre les détournements d'instructions et les contournements du modèle, une intégration CI/CD et un déploiement sur site pour les organisations qui refusent qu'un service tiers voie passer leurs données. Elle vise en priorité les RSSI et les DPO européens. Les certifications éventuelles, le lieu d'hébergement hors déploiement sur site et la liste des sous-traitants sont à demander directement à l'éditeur.

Le tableau compare ce que disent les pages publiques de quatre acteurs sur l'hébergement et le contrôle des données (pages consultées le 29/10/2026).

Chaque profil répond à un besoin différent. Zscaler convient à une entreprise qui cherche une infrastructure européenne documentée et la possibilité d'héberger ses journaux. Cloudflare One s'adresse à celles qui veulent filtrer les usages d'IA dans le navigateur avec des journaux d'audit. Un déploiement sur site, comme celui que décrit ZeusLock, répond au cas où aucune donnée ne doit transiter par un tiers.

Hébergement en France ou dans un autre pays de l'UE : lequel privilégier ?

Le territoire français n'est pas un critère juridique en soi : ce qui compte d'abord, c'est que les données restent dans l'UE sous une juridiction européenne. Une préférence pour la France relève plutôt d'une exigence de client, de secteur ou de politique interne, à valider avec le DPO.

Le référentiel SecNumCloud va dans ce sens. Selon Solutions Numériques (07/01/2026), la qualification « impose par ailleurs la localisation des données au sein de l'Union européenne », et non en France. Le même article précise que ces dispositifs « ne constituent toutefois pas une réponse complète aux enjeux de dépendance technologique ».

Hors de l'UE, les règles changent. La CNIL rappelle, dans sa page de 2018 sur le cadre général des transferts, qu'ils restent possibles « à condition d'assurer un niveau de protection des données suffisant et approprié ». Son guide de 2025 sur l'analyse d'impact des transferts ajoute que les données « doivent continuer à bénéficier d'une protection substantiellement équivalente » à celle du RGPD, d'après la CNIL.

En pratique, un hébergeur situé dans un autre État membre peut convenir si le contrat garantit la localisation, la liste des sous-traitants et le droit applicable. Un hébergement en France n'apporte pas ces garanties à lui seul. Pour les données de santé, les marchés publics ou les secteurs régulés, des exigences propres peuvent s'ajouter : le DPO ou un juriste doit les confirmer avant le choix.

Sources

• Analyse d'impact des transferts des données (AITD) : la CNIL publie la version finale de son guide, CNIL, consulté le 29/10/2026
• Transferts de données hors UE : le cadre général prévu par le RGPD, CNIL, consulté le 29/10/2026
• Geographic data residency in Copilot Studio, Microsoft Learn, consulté le 29/10/2026
• How Zscaler ensures data control and supports digital sovereignty across Europe, Zscaler, consulté le 29/10/2026
• Cloudflare One : prévention des pertes de données (DLP), Cloudflare, consulté le 29/10/2026
• Cloud de confiance : l'ANSSI remet les pendules à l'heure sur SecNumCloud, Solutions Numériques, consulté le 29/10/2026