Deux salariés utilisent le même assistant d’IA. Le premier passe par son abonnement personnel, le second par un compte d’entreprise traité en Europe. À l’écran, rien ne change. Pour les données de l’entreprise, ce sont deux situations différentes.

IndustryHub a publié une analyse détaillée, offre par offre. En voici l’essentiel, sans le jargon.

Trois questions suffisent

Trois questions : quel contrat, où vont les données, qui peut retracer.

Le nom du produit ne dit pas où partent les données. Trois questions le disent : quel contrat, quel lieu, quelle trace. La trace, c’est le journal des accès : un registre qui permet de savoir après coup qui a envoyé quoi.

Cinq formules, de la plus exposée à la plus maîtrisée

Cinq formules et les données à leur confier : compte personnel, données publiques ; compte d’entreprise, internes ; entreprise, Europe et registre, confidentielles ; cloud européen qualifié et modèle installé chez vous, critiques.
  • Compte personnel, gratuit ou payant. Payer ne change pas de catégorie : un abonnement cher reste un compte de particulier. L’utilisation des conversations pour entraîner le modèle dépend du réglage de chaque salarié, et l’entreprise n’a ni contrat d’entreprise, ni administration des comptes, ni registre.
  • Compte d’entreprise. Par défaut, les données ne servent plus à l’entraînement. Mais le traitement en Europe n’est pas garanti, et le registre dépend de l’offre.
  • Compte d’entreprise, traitement en Europe, registre activé. Les trois conditions comptent. Qu’une seule manque, et la formule retombe au niveau précédent.
  • Cloud européen qualifié. En France, la référence est SecNumCloud, la qualification de l’Agence nationale de la sécurité des systèmes d’information. Elle impose une protection contre les lois extra-européennes, et porte sur un service précis, pas sur une marque.
  • Modèle installé chez vous. Aucun fournisseur d’IA ne reçoit la donnée. En contrepartie : un serveur à dimensionner, des compétences internes, et des modèles souvent en retrait sur les tâches les plus difficiles.

Le piège : héberger en Europe règle le lieu, pas le droit. Un fournisseur américain reste soumis au CLOUD Act, une loi qui vaut aussi pour des données stockées à l’étranger. Une région européenne chez un tel fournisseur ne suffit donc pas pour les données les plus sensibles.

Un même logiciel, quatre réponses

Prenons un schéma électrique d’installation courante, classé confidentiel, et Claude Code, un assistant pour développeurs. Selon la façon dont il est branché, la réponse change.

Pour un schéma confidentiel avec Claude Code : compte Pro ou Max, non ; compte Team ou Enterprise, non ; Bedrock ou Google Cloud en Europe avec registre, oui ; modèle local, oui.

Ces réponses viennent d’une grille volontairement prudente. Une entreprise peut juger un compte d’entreprise suffisant pour ses schémas courants. C’est une décision à prendre et à écrire, pas à laisser à chaque salarié.

Un assistant voit ce que voit l’utilisateur

Microsoft 365 Copilot présente tout contenu que la personne a le droit de consulter. Un dossier partagé trop largement devient accessible par une simple question. Les droits d’accès aux fichiers sont donc à revoir avant de connecter un assistant.

À vérifier dans votre structure

  • Le compte est au nom de l’entreprise, pas d’un salarié.
  • Le contrat et son accord de traitement des données sont archivés.
  • L’entraînement est désactivé pour toute l’organisation.
  • Le lieu de traitement est écrit au contrat, pas seulement le lieu de stockage.
  • Le registre est activé, et quelqu’un sait le lire.
  • Les droits d’accès aux fichiers ont été revus.

Choisir une formule n’est pas une question réservée au service informatique : c’est une décision d’entreprise, qui dépend de la sensibilité des documents. Une petite structure n’a pas besoin de la solution la plus lourde pour tout. Elle a besoin de savoir quelles données vont où, et de l’écrire.

À retenir

  • Le nom de l’outil ne garantit rien : le contrat, le lieu et le registre font la différence.
  • Un abonnement payant reste un compte personnel.
  • L’Europe règle le lieu, pas le droit applicable au fournisseur.
  • Pour les données les plus sensibles, IndustryHub retient un cloud qualifié ou un modèle installé chez soi.
  • La règle se décide et s’écrit au niveau de l’entreprise, pas salarié par salarié.

Ces offres changent souvent : ce résumé reprend l’analyse d’IndustryHub, fondée sur les pages des fournisseurs consultées le 31 octobre 2026. Le contrat signé fait foi. Ce texte n’est pas un avis juridique. Source : IndustryHub, « Comptes et hébergement d’une IA : ce qui change vraiment entre les offres », qui détaille toutes les références des fournisseurs.