Data Privacy Framework : ce qu'une PME doit vérifier avant d'utiliser une IA américaine
ChatGPT, Copilot, Gemini : la plupart des outils d'IA que vos équipes utilisent envoient vos données aux États-Unis. Le mécanisme qui autorise ce transfert existe, mais deux recours en cours pourraient le remettre en cause.
À jour au 19 septembre 2026 — RGPD & PME
Le RGPD interdit par principe qu'une donnée personnelle quitte l'Union européenne, sauf si un mécanisme précis l'autorise (articles 44 à 49). Depuis le 10 juillet 2023, la Commission européenne reconnaît que les entreprises américaines certifiées « Data Privacy Framework » offrent une protection suffisante (décision d'exécution (UE) 2023/1795). C'est ce mécanisme, et non l'AI Act, qui couvre aujourd'hui la plupart des outils d'IA généraliste utilisés en entreprise.
Check-list gratuite. Faites le point en 15 minutes sur les 10 points AI Act et RGPD à vérifier dans votre PME. Ouvrir la check-list →
Ce que couvre le Data Privacy Framework
Le Data Privacy Framework (DPF) n'est pas un texte européen : c'est un programme d'auto-certification tenu par le département du Commerce américain, sur lequel la Commission européenne s'est appuyée pour adopter sa décision d'adéquation. Une entreprise américaine qui adhère au programme et respecte ses principes est réputée offrir une protection « substantiellement équivalente » à celle du RGPD, ce qui autorise le transfert sans clause contractuelle supplémentaire.
Le point que beaucoup de PME ignorent : cette certification n'est ni automatique, ni permanente. Elle se renouvelle chaque année, et un éditeur peut l'annoncer sur son site sans que son inscription soit encore active. Avant de considérer un transfert comme couvert, il faut vérifier le statut « Active » de l'entreprise sur le registre officiel dataprivacyframework.gov — pas seulement lire sa page de conformité marketing.
Le document est gratuit. Vous n’avez pas à le rédiger. Le modèle de politique d’usage de l’IA reprend les neuf clauses d’une politique d’usage, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Essayer le modèle — remplir et voir le document →
ou recevoir le modèle complet, gratuitement
Gratuit. Une adresse email suffit pour le recevoir.
Un mécanisme sous double contestation
Le DPF a déjà survécu à un premier recours : le Tribunal de l'Union européenne l'a rejeté le 3 septembre 2025. Mais un pourvoi a été formé devant la Cour de justice de l'Union européenne le 31 octobre 2025 (affaire C-703/25 P), toujours pendant à la mi-septembre 2026.
Ce recours a pris un relief nouveau après un arrêt de la Cour suprême des États-Unis du 29 juin 2026, qui fragilise l'indépendance de la Federal Trade Commission — l'une des garanties sur lesquelles reposait la décision d'adéquation de 2023. Pour plusieurs spécialistes du sujet, cet arrêt américain crée un risque réel d'invalidation du DPF par la CJUE, sur le modèle des arrêts Schrems I et Schrems II qui ont déjà emporté les deux précédents mécanismes équivalents. Une décision de la CJUE n'est pas attendue avant fin 2026 ou début 2027, mais une PME qui bâtit toute sa conformité sur le seul DPF prend un risque qu'elle ne maîtrise pas.
La solution de repli : les clauses contractuelles types
Le RGPD prévoit un second mécanisme, indépendant du sort du DPF : les clauses contractuelles types (CCT) de la Commission européenne, un contrat-modèle que le responsable de traitement signe avec son prestataire (article 46). Depuis l'arrêt Schrems II de la CJUE (16 juillet 2020), les CCT ne suffisent plus seules pour les transferts vers les États-Unis : elles doivent être complétées par une analyse des lois locales susceptibles d'y faire obstacle — au premier rang desquelles le Cloud Act américain, qui permet aux autorités d'accéder à des données hébergées par une entreprise américaine où qu'elles se trouvent dans le monde. La CNIL a publié un guide pour réaliser cette analyse d'impact relative aux transferts de données (AITD).
En pratique, la plupart des grands éditeurs (Microsoft, Google, OpenAI notamment) proposent déjà les deux mécanismes dans leur contrat de traitement des données : le DPF comme base principale, les CCT en clause de repli si l'adéquation venait à tomber. Vérifier que ce filet existe — et pas seulement l'invoquer de mémoire — fait partie des points à contrôler avant de signer.
Ce qu'une PME doit vérifier, concrètement
-
Le prestataire figure-t-il sur dataprivacyframework.gov avec un statut « Active », à la date où vous vérifiez — pas à la date de signature du contrat ?
-
Le contrat de traitement des données (DPA) prévoit-il des clauses contractuelles types en clause de repli si l'adéquation était invalidée ?
-
Le transfert est-il documenté dans votre registre des traitements (article 30 du RGPD), avec le mécanisme retenu et sa base juridique ?
-
Pour un usage sensible (données de santé, profilage RH), une analyse d'impact relative au transfert (AITD) a-t-elle été envisagée ?
-
Les sous-traitants ultérieurs du prestataire — hébergement, support, sous-traitance de l'IA elle-même — sont-ils eux aussi identifiés et encadrés (article 28, paragraphe 2) ?
Ce contrôle ne dépend pas de l'AI Act : c'est une obligation RGPD qui existe depuis 2018, et qui s'applique à tout outil américain, IA ou non. Ce qui change avec l'IA, c'est le volume et la sensibilité de ce qui transite désormais par ces outils — un compte rendu de réunion, un CV, un e-mail client — sans que l'utilisateur pense toujours à se demander où ces données finissent hébergées.
Le modèle de politique d’usage — gratuit
Les neuf clauses d’une politique d’usage de l’IA, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Gratuit. Une adresse email suffit pour le recevoir.
Le kit de conformité — 199 €
Le kit vous permet de recenser, outil par outil, les transferts hors UE de votre entreprise dans votre registre des systèmes d'IA, et d'y noter le mécanisme retenu pour chacun.
Vous renseignez votre raison sociale et la liste de vos outils. Vous choisissez vous-même la catégorie de risque de chaque usage — interdit, haut risque, risque limité, risque minimal, ou « Je ne sais pas encore — à faire vérifier » — à l'aide d'un rappel des règles. Le kit met ensuite en forme votre politique d'usage de l'IA, dont les neuf clauses sont complétées avec les informations que vous avez saisies, votre registre des systèmes d'IA, votre journal des usages sensibles et votre note d'information au personnel.
Pas encore prêt ? Faites l'auto-diagnostic en 3 minutes ou commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.
La newsletter. Un numéro tous les quinze jours : une question de conformité IA traitée avec les textes applicables et leurs dates, chaque affirmation sourcée. Gratuite, sans publicité. Lire le premier numéro — « Le premier risque de l’IA en entreprise n’est pas européen ».
À lire ensuite
-
Vos données servent-elles à entraîner l'IA ? — ce que disent vraiment les conditions de vos outils.
-
ChatGPT, Copilot, Gemini : quelle offre pour vos données ? — ce que chaque offre fait de vos textes.
-
Vos prestataires utilisent l'IA : les clauses à prévoir — agence, développeur, comptable.
-
Registre des systèmes d'IA : modèle et mode d'emploi — recenser vos outils.
Sources
-
Règlement (UE) 2016/679 (RGPD), articles 44 à 49 (chapitre V, transferts vers des pays tiers).
-
Commission européenne, décision d'exécution (UE) 2023/1795 du 10 juillet 2023 relative au niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE-États-Unis.
-
CNIL, « Transférer des données hors de l'UE » et « Clauses contractuelles types », consultées le 19 septembre 2026.
-
Cour de justice de l'Union européenne, arrêt du 16 juillet 2020, Data Protection Commissioner contre Facebook Ireland et Maximillian Schrems (C-311/18, « Schrems II »).
-
Tribunal de l'Union européenne, décision du 3 septembre 2025 rejetant le recours contre la décision d'adéquation ; pourvoi formé le 31 octobre 2025 devant la Cour de justice de l'Union européenne (affaire C-703/25 P).
-
Registre officiel des entreprises certifiées, dataprivacyframework.gov, consulté le 19 septembre 2026.
Rédigé par Adrien Bano, fondateur d'IA en Règle. Nous ne sommes pas avocats : cet article a été préparé avec l'aide d'outils d'IA et vérifié sur les textes officiels cités.
Cet article a un but d'information générale, établi d'après les textes en vigueur au 19 septembre 2026 ; il ne constitue pas un conseil juridique.
