Hébergement des données et IA : ISO 27001, SecNumCloud, Cloud Act, ce que recouvre chaque mention

Avant de confier des documents à un outil d'IA, une PME ou un cabinet lit souvent trois arguments : « certifié ISO 27001 », « qualifié SecNumCloud », « hébergé dans l'Union européenne ». Ces mentions ne disent pas la même chose. Voici ce que recouvre chacune, d'après les textes et les référentiels officiels, et les questions à poser à un prestataire.

ISO 27001 : un système de management de la sécurité

ISO/CEI 27001 est la norme internationale des systèmes de management de la sécurité de l'information (SMSI). Sa version en vigueur date de 2022. Elle définit les exigences auxquelles ce système doit répondre.

Selon l'ISO, la conformité signifie que l'organisation « a mis en place un système pour gérer les risques liés à la sécurité de ses données ». C'est une garantie de méthode, vérifiée par un organisme de certification. Deux points à vérifier :

• le périmètre du certificat : il peut couvrir un centre de données sans couvrir le logiciel qui tourne dessus
• sa validité : un certificat a une date d'émission et d'expiration

La norme ne dit rien, en elle-même, du pays d'hébergement ni du droit applicable au prestataire.

SecNumCloud : la qualification de l'ANSSI

SecNumCloud est une qualification délivrée par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) à des offres de cloud. Elle identifie des offres « de confiance », recommandées pour les données sensibles, face à la menace cybercriminelle et aux lois extraterritoriales. L'ANSSI précise qu'elle ne préjuge pas de la sécurité des services que le client héberge lui-même sur l'offre.

Le référentiel d'exigences (version 3.2 du 8 mars 2022) ajoute aux exigences techniques des critères d'immunité aux droits non européens :

• le siège statutaire, l'administration centrale et le principal établissement du prestataire sont dans l'Union européenne
• les entités extérieures à l'Union ne détiennent pas plus de 24 % du capital et des droits de vote individuellement, ni plus de 39 % collectivement
• aucun tiers situé hors de l'Union ne doit avoir la possibilité technique d'obtenir les données
• les données sont stockées et traitées dans l'Union européenne
• le client est informé sous un mois de tout changement juridique, organisationnel ou technique qui pourrait remettre en cause ces garanties

Dans ses recommandations de sécurité pour un système d'IA générative, l'ANSSI conseille de privilégier une offre qualifiée SecNumCloud lorsqu'un système d'IA est déployé dans un cloud public et traite des données sensibles, a un impact métier critique ou s'adresse à des utilisateurs qui ne sont pas de confiance (recommandation R14).

Hébergement dans l'Union : nécessaire, pas suffisant

Héberger les données dans l'Union européenne évite un transfert au sens du chapitre V du RGPD. Cela ne règle pas la question du droit auquel le prestataire est soumis.

Le CLOUD Act américain, adopté en mars 2018, en est l'exemple le plus cité. D'après le livre blanc du ministère américain de la Justice, il oblige un fournisseur soumis au droit américain à communiquer les données en sa « possession, custody, or control », que ces données soient situées aux États-Unis ou ailleurs. Le texte permet aussi des accords bilatéraux entre États.

Le RGPD pose une règle inverse. Son article 48 prévoit qu'une décision d'une juridiction ou d'une autorité d'un pays tiers exigeant la communication de données n'est reconnue ou exécutoire que si elle se fonde sur un accord international, comme un traité d'entraide judiciaire. Un prestataire soumis aux deux droits peut donc se trouver face à des obligations contradictoires. C'est ce risque que traitent les critères de SecNumCloud.

Lorsque des données quittent l'Union, le Comité européen de la protection des données a publié des recommandations sur les mesures complémentaires à apporter aux outils de transfert, par exemple un chiffrement adapté.

Le cas particulier de l'IA

Un outil d'IA ne fait pas que stocker. Il envoie des extraits de documents à un modèle qui les traite pour produire une réponse. Les fichiers peuvent être stockés dans l'Union pendant que le modèle tourne ailleurs. La question de l'hébergement se pose donc deux fois : où sont stockées les données, et où sont traitées les requêtes.

Les questions à poser

Question	Ce qu'il faut obtenir
Où sont stockées les données ?	Le pays des centres de données
Où le modèle d'IA traite-t-il les requêtes ?	Le pays et le fournisseur du modèle
Quelle certification ?	Le certificat, son périmètre et sa date de validité
Le prestataire relève-t-il d'un droit hors de l'Union ?	Son siège et son actionnariat
Y a-t-il des transferts ?	L'outil juridique utilisé, décision d'adéquation ou clauses types
Les données de clients sont-elles isolées ?	La description du cloisonnement

Ce qu'EchoBrain prend en charge

EchoBrain héberge les données de ses clients sur des serveurs situés dans l'Union européenne, dans des centres de données certifiés ISO 27001, conformes au RGPD. Chaque client dispose d'un espace isolé, et l'agent Documents n'accède qu'aux dossiers autorisés. EchoBrain ne revendique pas la qualification SecNumCloud. Le modèle d'IA est choisi avec le client parmi plusieurs fournisseurs : le lieu de traitement des requêtes et les conditions de transfert dépendent de ce choix, et sont vérifiés ensemble avant la mise en service.

Cet article est une information générale et ne constitue pas un conseil juridique.

Sources

• ISO/IEC 27001:2022, Sécurité de l'information, cybersécurité et protection de la vie privée, systèmes de management de la sécurité de l'information, ISO
• SecNumCloud pour les fournisseurs de services cloud, ANSSI
• Prestataires de services d'informatique en nuage (SecNumCloud), référentiel d'exigences, version 3.2, ANSSI
• Recommandations de sécurité pour un système d'IA générative (avril 2024), ANSSI
• Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des données (RGPD), EUR-Lex
• Promoting Public Safety, Privacy, and the Rule of Law Around the World: The Purpose and Impact of the CLOUD Act (avril 2019), U.S. Department of Justice
• CLOUD Act Resources, U.S. Department of Justice
• Recommandations 01/2020 sur les mesures qui complètent les instruments de transfert, Comité européen de la protection des données