Prestataire IA français ou étranger : ce qui change vraiment

Vous avez deux devis sur la table. Même périmètre, même délai annoncé, deux prix qui n'ont rien à voir. L'un vient d'une équipe installée à Lyon, l'autre d'un prestataire sans établissement en France, parfois d'un éditeur ou d'une agence hors Union européenne. La question n'est pas de savoir lequel est le plus sérieux. Elle est de savoir ce que vous achetez en plus, ou en moins, quand vous signez.

Key Takeaways

• Le droit ne suit pas le drapeau : le RGPD et le règlement IA s'appliquent à un prestataire hors UE dès que son système est utilisé dans l'UE.
• Trois choses changent réellement : le chemin des données, la force du contrat, et la vitesse à laquelle vous pouvez sortir.
• Un prestataire établi hors UE reste votre sous-traitant. Contrat de l'article 28 et cadre de transfert du chapitre V sont obligatoires.
• Une décision d'adéquation, comme celle du 10 juillet 2023 pour les États-Unis, simplifie le transfert. Elle ne le supprime pas.
• Le tarif journalier n'est pas le coût. Jours de reprise, déplacement, change et sortie de contrat pèsent souvent plus lourd.

Ce qui ne change pas vraiment : le droit applicable

C'est le point que beaucoup de dirigeants inversent. Un prestataire installé hors de l'Union n'échappe pas au cadre européen. La Direction générale des Entreprises le formule sans détour : le règlement « concerne toute organisation, qu'elle soit une entreprise, une association ou une administration, qui fournit, importe, distribue ou déploie des systèmes ou modèles d'intelligence artificielle encadrés par le règlement. Cela inclut les entités établies dans l'Union européenne (UE), ainsi que celles situées en dehors de l'Union, dès lors que leurs produits sont utilisés ou distribués dans l'UE », selon la Direction générale des Entreprises (page mise à jour le 28 juillet 2025).

Même logique pour le RGPD. Si votre prestataire traite des données de vos clients ou de vos salariés pour votre compte, il agit comme sous-traitant, où qu'il soit installé. Le contrat de sous-traitance et les règles de transfert s'appliquent. La nationalité du prestataire ne le dispense de rien.

Le calendrier du règlement IA, tel que la DGE le publie : entrée en vigueur le 1er août 2024, interdiction des usages inacceptables le 2 février 2025, règles pour les modèles d'IA à usage général le 2 août 2025. Depuis le 2 août 2026, les obligations de transparence de l'article 50 s'appliquent, y compris pour les agents conversationnels, qui doivent signaler qu'ils sont des machines. Les systèmes à haut risque suivent un calendrier distinct, étalé sur plusieurs années.

Ce que cela veut dire pour vous : le droit ne vous protège pas différemment selon l'adresse du prestataire. Ce qui change, c'est votre capacité à faire respecter ce droit.

Premier point : le chemin des données

Un traitement qui reste dans l'Union ne déclenche pas de transfert. Un traitement qui part aux États-Unis, en Inde ou au Royaume-Uni en déclenche un.

La Cour de justice de l'Union a posé la limite en 2020, dans l'arrêt Schrems II. La CNIL en résume la portée : « Concernant les États-Unis, la Cour a estimé que le droit américain en matière d'accès aux données par les services de renseignement (en particulier la section 702 du FISA et l'Executive Order 12333) ne permet pas d'assurer un niveau de protection essentiellement équivalent », selon la CNIL (arrêt du 16 juillet 2020). Autrement dit, le lieu de stockage ne suffit pas. Ce qui compte, c'est qui peut légalement ordonner l'accès.

Depuis, la Commission européenne a adopté une décision d'adéquation pour les États-Unis, le 10 juillet 2023. Une adéquation signifie que les données peuvent circuler sans garantie supplémentaire, parce que le transfert est assimilé à une transmission intra-européenne, selon la Commission européenne. Concrètement, vous n'avez plus à signer de clauses pour un transfert vers un prestataire certifié au titre de ce cadre.

Mais l'adéquation n'est pas un blanc-seing. La CNIL rappelle la méthode : il vous reste à évaluer la législation du pays destinataire, à documenter les mesures supplémentaires, et à suspendre le transfert si le niveau de protection ne tient pas. Une adéquation peut aussi être retirée, comme l'ont été le Safe Harbor puis le Privacy Shield.

Si votre prestataire n'entre pas dans une décision d'adéquation, ce sont les clauses contractuelles types qui prennent le relais. Celles de 2021, seules utilisables depuis le 27 décembre 2022, couvrent quatre situations, dont les transferts entre un sous-traitant établi dans l'UE et un sous-traitant hors UE. C'est le cas typique d'une agence française qui fait héberger son modèle ou son support ailleurs. Le transfert existe, même si votre contrat est signé à Paris.

Deuxième point : le contrat et le recours

Un contrat de prestation se juge à ce qu'il permet de faire quand tout va mal.

Avec un prestataire établi en France, vous négociez un droit applicable, une juridiction, des pénalités de retard, un plafond de responsabilité et une clause de réversibilité. Le tout est opposable devant un tribunal français, dans une langue que vous lisez, avec des délais que vous connaissez.

Avec un prestataire hors UE, vous signez souvent ses conditions générales. Prendre ou laisser. Le droit applicable est celui de son siège. Le recours existe en théorie, il est en pratique inaccessible pour une PME : coût de l'arbitrage, distance, droit étranger. Votre seul levier réel devient le rapport de force commercial, c'est-à-dire presque rien une fois le projet livré.

Cette asymétrie n'est pas une question de sérieux. C'est une question de structure. Une petite équipe à l'étranger peut être excellente et parfaitement loyale. Elle n'a simplement pas les mêmes obligations de vous répondre.

Troisième point : le support, les délais et la langue

Une panne à 14 heures un mardi n'a pas le même coût selon l'endroit où se trouve la personne qui décroche. Un support à six heures de décalage, c'est une journée de production perdue avant le premier diagnostic.

Regardez trois choses dans l'offre : les horaires contractuels du support, le nom de la personne qui escalade, et la langue des livrables. Un audit livré en anglais se traduit en réunions internes, en désaccords de vocabulaire, en allers-retours. Ce coût n'apparaît dans aucun devis.

Ajoutez un point que l'on oublie : qui détient les accès. Si les clés du modèle, de l'hébergement et des journaux sont chez le prestataire, votre capacité à changer d'avis dépend entièrement de sa bonne volonté. C'est là que se joue la réversibilité d'un agent IA, bien avant la fin du contrat.

Quatrième point : le coût complet

Le tarif journalier est la ligne la plus visible, et la moins décisive.

Le vrai calcul inclut les jours de reprise, le déplacement si le prestataire est loin, le change si la facture est en dollars, la fiscalité de la prestation, la reprise des tests à votre charge et le coût de sortie. Une prestation deux fois moins chère qui exige trois semaines de plus de votre équipe interne n'est pas moins chère.

La bonne question n'est donc pas « combien coûte le jour ? » mais « combien coûte le résultat, et combien coûte l'erreur ? ». Deux montants que l'on ne compare bien qu'en écrivant noir sur blanc le périmètre, les livrables et les conditions de sortie. C'est exactement le travail d'un audit et conseil IA mené avant la signature, pas après.

Les six questions à poser dans les deux cas

1. Où sont hébergées les données, et où sont les sauvegardes ?
2. Qui peut accéder aux données, et sur quelle base légale ?
3. Quels sous-traitants ultérieurs intervenez-vous, et lesquels sont hors UE ?
4. Que se passe-t-il si je veux partir dans six mois ?
5. Quel est le délai contractuel de réponse en cas d'incident ?
6. Quels documents puis-je produire à un client qui m'audite ?

Si le prestataire répond à ces six questions par écrit, la nationalité devient un critère secondaire. S'il élude, elle devient un signal. Ce questionnaire recoupe ce que nous décrivons dans les signaux d'un prestataire IA peu sérieux et, en amont, dans les questions à poser avant de signer avec une agence IA.

FAQ

Un prestataire étranger est-il hors la loi en Europe ?

Non. Le RGPD et le règlement IA s'appliquent dès que le système est utilisé ou distribué dans l'UE, quel que soit le siège du prestataire. Ce qui change, c'est la facilité avec laquelle vous pouvez faire constater un manquement et obtenir réparation.

Puis-je travailler avec un prestataire hors UE sans clauses de transfert ?

Pas si des données personnelles sortent de l'Union. Il faut soit une décision d'adéquation couvrant le destinataire, soit des clauses contractuelles types, soit une dérogation prévue par le RGPD. Le contrat de sous-traitance de l'article 28 reste nécessaire dans tous les cas.

La décision d'adéquation avec les États-Unis suffit-elle ?

Elle simplifie le transfert pour les organisations certifiées. Vous devez vérifier que votre prestataire figure bien dans le cadre et conserver la trace de cette vérification. L'adéquation peut être annulée, comme l'ont été les deux cadres précédents.

Un prestataire français garantit-il que mes données restent en France ?

Non. Une agence française peut héberger aux États-Unis ou confier son support à une équipe hors UE. Le transfert existe alors, même si votre contrat est signé en France. Demandez la liste des sous-traitants ultérieurs, pas le siège.

Combien de temps faut-il pour changer de prestataire ?

Cela dépend de qui détient les accès et la documentation. Avec un modèle, des instructions et des journaux documentés, un changement se prépare en quelques semaines. Sans documentation, il faut souvent reconstruire. Pour cadrer les compétences attendues côté interne, voyez aussi les agents IA en entreprise.

Conclusion

La nationalité du prestataire n'est pas le bon critère de décision. Le bon critère tient en trois questions : où vont mes données, que puis-je opposer en cas de problème, et à quelle vitesse puis-je partir. Un prestataire français qui répond mal à ces trois questions est plus risqué qu'un prestataire étranger qui y répond par écrit.

Si vous voulez trancher ce choix avant de signer, notre page audit et conseil IA sert exactement à cela : périmètre, hébergement, contrat, conditions de sortie. Pour en parler, passez par la page contact.