RGPD, souveraineté et données d’apprenants : ce qu’il faut vérifier
Où sont vos données, qui les traite, ce que change réellement un hébergement en France, et la liste des points à contrôler avant de déployer un outil auprès d'apprenants.
Les trois questions qui filtrent tout
Où sont les données ? Demandez la localisation physique des serveurs, pour les données de production comme pour les sauvegardes et les journaux. Les sauvegardes sont souvent oubliées, et parfois ailleurs.
Qui y a accès ? Exigez la liste des sous-traitants : hébergeur, support, outils d'analyse, prestataires d'IA. Chaque sous-traitant est un accès potentiel, et la chaîne est parfois longue.
Que se passe-t-il à la sortie ? Format d'export, délai de suppression effective, sort des sauvegardes. Une clause de réversibilité vague est un signal d'alerte.
Hébergement en France : ce que ça change, et ce que ça ne change pas
Un hébergement en France simplifie réellement les choses : pas de transfert hors Union européenne à justifier, et un argument solide face à une commande publique.
Mais l'hébergement ne détermine pas tout. Ce qui compte aussi, c'est la nationalité et la structure capitalistique de l'éditeur, parce qu'elles déterminent à quelles législations extraterritoriales il est soumis. Une filiale européenne d'un groupe non européen peut rester exposée à des demandes d'accès de son État d'origine.
En pratique : « hébergé en France » est un bon signal, pas une garantie. Regardez qui contrôle l'entreprise.
Le cas des données d’élèves mineurs
Les données scolaires concernent souvent des mineurs, ce qui appelle une vigilance renforcée : minimisation stricte, absence de finalité publicitaire, information des responsables légaux, durées de conservation courtes.
C'est ce qui rend problématiques plusieurs outils gratuits massivement adoptés en salle des profs : la gratuité s'y finance parfois par l'exploitation des données, et l'hébergement est fréquemment hors Union européenne. En France, la doctrine du ministère sur les suites bureautiques non européennes a conduit plusieurs académies à revoir leurs usages.
L'alternative existe : le paysage français compte des outils libres sans collecte, conçus par des enseignants, et des éditeurs hébergeant en France. Ils sont moins visibles, pas moins capables.
Le cas particulier de l’IA générative
Dès qu'un outil s'appuie sur un modèle de langage, deux questions s'ajoutent. Vos contenus servent-ils à entraîner le modèle ? Combien de temps les échanges sont-ils conservés, et par qui ?
Les offres destinées aux établissements répondent généralement « non » à la première question, et c'est précisément ce qui les distingue des versions grand public. Vérifiez-le noir sur blanc, pas dans une page marketing.
Point spécifique au scolaire : la supervision par l'enseignant des échanges entre élèves et IA est le vrai différenciant, à la fois pédagogique et juridique.
La liste à faire remplir par l’éditeur
Ne vous contentez pas d'un « nous sommes conformes RGPD ». Demandez des éléments vérifiables, par écrit, avant de signer.
- Localisation des serveurs : production, sauvegardes et journaux.
- Liste complète des sous-traitants, avec leur pays d’établissement.
- Accord de sous-traitance (DPA) fourni, et non « disponible sur demande ».
- Durées de conservation par type de données, et procédure de suppression.
- Structure capitalistique de l’éditeur et législations applicables.
- Pour l’IA : absence d’entraînement sur vos données, engagement contractuel.
- Certifications produites : ISO 27001, SOC 2, HDS selon le contexte.
- Historique des incidents de sécurité et politique de notification.
Un éditeur qui refuse de communiquer sa liste de sous-traitants vous demande de lui faire confiance sans moyen de vérifier. Pour des données d'apprenants, ce n'est pas acceptable.
Questions fréquentes
Un hébergement en France suffit-il à être conforme au RGPD ?
Non. L'hébergement en France supprime la question du transfert hors Union européenne, ce qui est un vrai avantage, mais la conformité dépend aussi de la base légale du traitement, de la minimisation des données, des durées de conservation, de l'information des personnes et de la chaîne de sous-traitance. Et la structure capitalistique de l'éditeur peut l'exposer à des législations extraterritoriales malgré des serveurs français.
Peut-on utiliser des outils américains gratuits avec des élèves ?
Techniquement oui, mais c'est le scénario le plus exposé : données de mineurs, hébergement souvent hors Union européenne, et modèle économique parfois fondé sur l'exploitation des données. Plusieurs académies françaises ont restreint ces usages sur ce fondement. Si vous les utilisez, documentez la base légale, informez les responsables légaux, et vérifiez qu'une alternative européenne ne couvre pas le besoin.
Que demander à un éditeur qui utilise de l’IA générative ?
Trois engagements écrits : que vos contenus et les échanges de vos utilisateurs ne servent pas à entraîner le modèle, la durée de conservation des échanges et qui peut y accéder, et le nom du fournisseur du modèle sous-jacent avec sa localisation. Dans le scolaire, ajoutez la capacité de l'enseignant à superviser les échanges des élèves.
Qu’est-ce qu’un DPA et pourquoi l’exiger ?
Un DPA (accord de sous-traitance au sens du RGPD) est le contrat qui encadre le traitement de vos données par l'éditeur : finalités, durées, mesures de sécurité, sous-traitants ultérieurs, sort des données en fin de contrat. Il est obligatoire dès qu'un prestataire traite des données personnelles pour votre compte. Un éditeur qui n'en a pas de modèle prêt n'a probablement pas traité le sujet.