Où vont vos données quand une IA travaille pour vous ?

Un assistant IA ne garde pas tout chez vous. Pour répondre, il envoie au modèle la demande et le contexte qui lui est utile : un extrait de dossier, un e-mail, une fiche client. Ce qui compte, c’est où ce modèle tourne, qui le fait tourner et ce que ce prestataire a le droit de faire de vos données. C’est l’une des questions qui départagent les agents de notre comparatif des agents IA.

Il faut distinguer trois choses. La mémoire de l’assistant, c’est-à-dire ce qu’il sait de votre entreprise, peut être hébergée où vous le décidez (voir la mémoire de l’entreprise). Le calcul se fait là où tourne le modèle. La conservation dépend des conditions du fournisseur : combien de temps il garde les échanges, et s’il peut s’en servir pour entraîner ses modèles.

01Deux familles de modèles

Les modèles ouverts. Leurs poids sont publiés : n’importe qui peut les faire tourner sur ses propres serveurs. Au Luxembourg, Flinky, la plateforme d’IA de LuxProvide, propose ces modèles sur MeluXina, le supercalculateur luxembourgeois du réseau EuroHPC ^{1 2}. Flinky met en avant que chaque requête est « traitée sur le sol européen », et cite parmi ses modèles Mistral Medium, Qwen, Kimi ou GPT‑OSS ¹. LuxProvide y a ajouté un service de discussion pour les entreprises (Corporate Chat) et le partage de modèles entre équipes ³. Avec cette famille, la demande, le contexte et la réponse restent au Luxembourg.

Les modèles des grands éditeurs. Claude, GPT ou les modèles de Mistral dans son propre cloud sont les plus performants pour les tâches longues et complexes. Les données sont alors traitées par l’éditeur, selon ses conditions. Pour les offres professionnelles, OpenAI indique ne pas entraîner ses modèles sur les données de ses clients par défaut, et propose de stocker les données en Europe pour certaines offres, d’abord l’API, ChatGPT Enterprise et Edu, avec une extension annoncée depuis à d’autres clients professionnels ⁴. Les conditions changent souvent : elles se vérifient au moment du choix, offre par offre.

La règle pratique Les dossiers de clients, les contrats et les données personnelles vont vers un modèle calculé au Luxembourg. Les tâches sans données sensibles, comme la rédaction d’un article ou l’analyse d’un marché, peuvent aller vers le modèle le plus performant.

02Ce que demande le RGPD

Dès qu’un assistant traite des données personnelles (un nom de client, un e-mail, une fiche de paie), le fournisseur du modèle agit pour votre compte : le RGPD l’appelle un sous-traitant. Son article 28 exige un contrat écrit qui précise l’objet, la durée, la nature et la finalité du traitement, les catégories de données concernées, et qui oblige le sous-traitant à n’agir que sur vos instructions ⁵. Pour un usage professionnel, ce contrat se demande au fournisseur et se signe : il ne suffit pas de savoir qu’il existe.

Si les données sortent de l’Union européenne, le transfert doit être encadré. Les clauses contractuelles types adoptées par la Commission européenne le 4 juin 2021 sont l’outil le plus courant ⁶. Avec un modèle calculé au Luxembourg, cette question ne se pose pas.

Au Luxembourg, la CNPD a été proposée comme autorité compétente pour la mise en œuvre de l’AI Act et a ouvert en 2024 un bac à sable réglementaire, Sandkëscht, pour aider les entreprises à tester des projets d’IA conformes au RGPD ⁷. Les règles propres à la prospection et au démarchage sont détaillées dans notre note sur le RGPD au Luxembourg.

03Choisir usage par usage

Un même assistant peut utiliser plusieurs modèles. Le choix se fait par tâche, et il se décide à l’installation, pas au fil de l’eau.

Ce tableau est un point de départ, pas une règle universelle : un cabinet soumis au secret professionnel sera plus strict qu’un commerce.

04Les questions à poser à un prestataire

1. Où est hébergée la mémoire de l’assistant ?
2. Pour chaque usage, quel modèle est utilisé, et où tourne-t-il ?
3. Le fournisseur du modèle conserve-t-il les échanges, combien de temps, et peut-il s’en servir pour entraîner ses modèles ?
4. Quel contrat de sous-traitance est signé, et avec qui ?
5. Si les données sortent de l’Union, sur quelle base ?
6. Pouvez-vous changer de modèle sans perdre la mémoire ?

Un prestataire qui ne sait pas répondre à la deuxième question ne sait pas où vont vos données.

05Un exemple fictif

Exemple fictif. Un courtier en assurances de Wiltz, huit personnes, veut un assistant pour préparer les renouvellements de contrats et rédiger ses publications LinkedIn. Les renouvellements touchent des données personnelles et parfois de santé : ils passent par un modèle ouvert calculé au Luxembourg, et le courtier signe le contrat de sous-traitance avec l’hébergeur. Les publications LinkedIn ne contiennent aucune donnée de client : elles peuvent passer par le modèle d’un grand éditeur, plus à l’aise pour l’écriture. L’assistant est le même ; seul le modèle change selon la tâche.

06Notre façon de faire

Avec Lightwire, la mémoire et l’assistant sont hébergés au Luxembourg, et le choix du modèle se fait usage par usage, en disant clairement au client où partent les données dans chaque cas. Cette note n’est pas un avis juridique : pour un traitement sensible, la décision revient à l’entreprise et à son délégué à la protection des données.

Sources consultées le 22 octobre 2026.