Résidence des données

Data residency (résidence des données) désigne le lieu physique ou géographique où les données sont stockées, ainsi que les règles juridiques qui en découlent. Dans le traitement documentaire, cette notion détermine quelle législation nationale s'applique aux documents une fois qu'ils sont téléversés, analysés et stockés, y compris la question de savoir qui peut être contraint de les communiquer. Pour les secteurs régulés, c'est souvent la première question posée avant même le lancement d'un pilote.

Comment ça fonctionne

Lorsqu'un document entre dans un pipeline IDP, il traverse généralement plusieurs étapes : ingestion, OCR ou analyse par VLM, extraction, validation et stockage. Chacune de ces étapes peut s'exécuter sur des serveurs situés dans des pays différents, et chaque saut représente un événement potentiel de résidence des données. Un éditeur peut ainsi analyser des documents aux États-Unis même si son discours commercial affirme être "basé dans l'UE", simplement parce que le fournisseur de modèle sous-jacent ou un sous-traitant exploite son infrastructure ailleurs.

Une véritable résidence des données signifie que l'éditeur peut préciser, contractuellement et techniquement, quelle région héberge le stockage, le calcul, ainsi que les journaux (logs) ou les embeddings mis en cache. Cela inclut les sauvegardes et les copies de reprise après sinistre, que certains éditeurs situent parfois hors de la région principale sans le mentionner. Cela concerne également les données temporaires : les charges utiles des prompts envoyées à un grand modèle de langage, les résultats intermédiaires du découpage en chunks, et les métadonnées de score de confiance.

Certains éditeurs proposent des déploiements régionaux (uniquement dans l'UE, par exemple) qui maintiennent tout le traitement à l'intérieur d'un périmètre géographique défini. D'autres s'appuient sur des API de modèles globales, où la garantie de résidence des données s'arrête à l'appel API, et non à l'inférence sous-jacente elle-même. Pour le vérifier, il faut poser des questions précises : où sont hébergés les poids du modèle, où s'exécute l'inférence, et où et pendant combien de temps les journaux sont-ils conservés. Un accord de traitement des données (data processing agreement) signé doit nommer la région explicitement, et non se contenter de décrire une intention.

Pourquoi c'est important pour le traitement documentaire

Le traitement documentaire touche souvent à des données personnelles : noms, numéros d'identité nationale, coordonnées bancaires, informations de santé dans les dossiers de sinistres. Sous le RGPD, transférer ces données hors de l'UE sans garanties appropriées crée une exposition juridique, quelle que soit l'intention initiale. Les acteurs des services financiers et de l'assurance sont soumis à des règles sectorielles supplémentaires, parfois plus strictes que le RGPD lui-même.

La résidence des données influe également sur la responsabilité en cas de violation de données et sur les délais de réponse aux audits. Si un régulateur demande où se trouve physiquement les données contractuelles d'un client, répondre "quelque part dans le réseau mondial de notre fournisseur cloud" n'est pas acceptable. Les équipes achats qui évaluent des éditeurs d'IDP devraient traiter la résidence des données comme un critère éliminatoire, et non comme un simple avantage, en particulier pour des cas d'usage comme l'entrée en relation KYC ou l'analyse de contrats, où les documents source contiennent des données personnelles ou commerciales sensibles. Un éditeur incapable de nommer par écrit sa région de traitement doit être considéré comme un risque de conformité, et non comme une option d'économie.

Termes liés

• RGPD et traitement documentaire
• Sécurité et conformité
• Entrée en relation KYC
• Résidence des données RGPD pour l'extraction documentaire par LLM dans l'UE

FAQ

Utiliser un grand modèle de langage basé aux États-Unis rompt-il automatiquement la résidence des données dans l'UE ?

Pas automatiquement, mais cela accroît sensiblement le risque. Si le fournisseur du modèle traite les données sur une infrastructure américaine, ou met en cache les prompts à des fins d'entraînement, ces données ont quitté l'UE, quel que soit le siège de votre entreprise. Des garanties contractuelles comme les clauses contractuelles types (Standard Contractual Clauses) aident, mais un véritable déploiement dans l'UE évite tout simplement la question.

La résidence des données équivaut-elle à la conformité RGPD ?

Non. La résidence des données n'est qu'une composante de la conformité, celle qui concerne la localisation physique. La conformité RGPD exige aussi une base légale pour le traitement, la minimisation des données, des durées de conservation limitées, et le respect des droits des utilisateurs comme le droit à l'effacement. Un éditeur peut héberger toutes ses données dans l'UE et néanmoins enfreindre le RGPD par de mauvaises pratiques de conservation.