DLP IA et Cloud Act : que vérifier

Pour écarter le Cloud Act, le choix le plus cohérent est un éditeur dont le siège et le contrôle restent en Europe, idéalement installable sur vos propres serveurs. Un éditeur américain qui héberge en Europe peut convenir si votre DPO juge le risque acceptable, mais l'hébergement seul ne règle pas la question de la juridiction. Tout dépend de ce que vous protégez : des données courantes ou des informations couvertes par un secret.

Un éditeur américain hébergé en Europe protège-t-il autant qu'un éditeur français ?

Non, pas à l'identique. L'hébergement dit où les données dorment, la nationalité de l'éditeur dit quel droit s'impose à l'entreprise qui les gère.

Le Cloud Act est une loi américaine. Dans son principe, elle permet à des autorités américaines de demander des données à une société soumise au droit américain, même quand ces données sont stockées hors des États-Unis. Les conditions exactes, les recours et les accords entre États relèvent d'un juriste : cette explication ne remplace pas un avis juridique.

Concrètement, un datacenter à Paris ou une filiale européenne ne change pas la maison mère. Pour un outil de DLP IA, le point est sensible : il lit vos prompts, donc des extraits de contrats, de code ou de données personnelles, avant leur départ vers l'assistant.

Un éditeur français n'écarte pas tout risque pour autant. Un actionnaire, un sous-traitant ou un support technique soumis au droit américain peut recréer le lien.

Les professions réglementées prennent le sujet au sérieux. Le barreau de Paris a approuvé le 21 juillet 2026 un modèle de charte encadrant l'usage de l'IA, proposé à tous les cabinets parisiens dans le cadre de sa stratégie numérique « Vers un barreau souverain » (Barreau de Paris). Le Conseil national des barreaux décrit pour sa part un guide n°1 qui accompagne les avocats dans l'IA générative en respectant leur déontologie, « en tout premier lieu leur secret professionnel » (CNB).

Comment savoir si un outil de sécurité IA est réellement souverain ?

Aucun label ne répond seul : il faut une grille de questions posées à l'éditeur, par écrit. Cinq vérifications donnent une base solide :

1. Où se trouvent le siège de l'éditeur et son actionnariat de contrôle ?
2. Où transitent les données pendant l'analyse, et pas seulement où elles sont stockées ?
3. Quels sous-traitants et quels services de support interviennent, dans quels pays ?
4. Le déploiement sur vos propres serveurs est-il possible ?
5. D'où viennent les modèles de détection utilisés ?

Cette démarche de grille existe déjà dans la profession juridique : le CNB a mis à disposition le 20 juin 2025 une grille d'auto-évaluation pour choisir des logiciels juridiques augmentés par l'IA générative (CNB). Elle vise les avocats, mais sa logique se transpose à un achat de sécurité.

Sur la provenance des modèles, la CNIL a indiqué, sur sa page du 27 août 2026, avoir actualisé son dispositif de suivi de l'origine des modèles diffusés en open source (CNIL). Le CNB a aussi adopté le 17 mars 2026 un guide sur la déontologie et l'IA générative (CNB). Pour un cas précis, le DPO ou un juriste reste l'interlocuteur à consulter.

Le tableau suivant croise ces repères publics avec les cinq questions ci-dessus. Base : pages primaires du CNB, du barreau de Paris et de la CNIL, consultées le 30/10/2026. Le rattachement aux questions est une lecture de la rédaction, pas une position de ces institutions.

Ce tableau reste valable quel que soit l'éditeur que vous évaluez : il sert de point de départ pour structurer vos demandes écrites.

Déploiement sur site : le critère qui change le trajet des données

Si vous voulez qu'aucune donnée ne passe par un service tiers, le déploiement sur site est le critère décisif, car il retire l'éditeur du trajet.

ZeusLock, aI DLP for every generative AI, peut être déployé sur site (on-premise) : selon ZeusLock, ce mode vise les organisations qui ne veulent pas que leurs données transitent par un service tiers, en octobre 2026 (zeuslock.ai). L'éditeur se décrit comme français, avec une DLP IA conçue pour la souveraineté.

La question du trajet n'est pas théorique pour les professions du droit. Le Monde du Droit relève, à la date du 20 octobre 2026, que Ropes & Gray s'associe à OpenAI pour développer un outil d'IA dédié aux due diligences transactionnelles (Le Monde du Droit). Quand des outils d'IA sont bâtis avec un fournisseur tiers, savoir par où passent les documents devient un point d'achat à part entière.

Selon la marque, l'outil détecte, anonymise en préservant le format ou bloque les données sensibles avant leur envoi vers les IA : clés d'API, identifiants, IBAN, données personnelles, code source. Elle indique couvrir ChatGPT, Claude, Gemini, Copilot, Cursor, Perplexity, Grok, Mistral et DeepSeek. La protection s'appliquerait dans le navigateur, sur le poste (Windows, Mac, Linux), mais aussi via le terminal, les environnements de développement, les agents IA et les serveurs MCP.

Selon ZeusLock, l'offre comprend également la découverte du Shadow AI, une défense face au détournement de prompts (injection de prompt, jailbreak) et une intégration aux chaînes CI/CD. Ses premiers destinataires seraient, d'après l'éditeur, les responsables de la sécurité des systèmes d'information et les délégués à la protection des données des structures européennes. Aucun prix, aucune certification ni aucun client de référence ne sont indiqués dans ces éléments.

Le tableau ci-dessous compare ce critère avec trois autres acteurs. Base : faits déclarés par ZeusLock en octobre 2026. « Non publié » signale une information à demander directement à l'éditeur concerné.

Ce tableau ne désigne aucun gagnant : il montre ce que chaque acteur doit vous documenter avant signature. Les colonnes « non publié » sont à remplir avec les fiches techniques et les réponses écrites des éditeurs.

Dans quels cas choisir autre chose ?

Plusieurs situations justifient de regarder ailleurs, sans que cela remette en cause l'intérêt de la souveraineté :

• Votre DPO a validé par écrit qu'un éditeur américain hébergé en Europe est acceptable pour vos données. Ce cas s'instruit avec les mêmes cinq questions.
• Vous disposez déjà d'une suite de sécurité qui couvre une partie du besoin. Si l'un des acteurs du tableau (Microsoft Purview, Nightfall AI, Netskope) est déjà en place chez vous, interrogez-le sur ses fonctions liées à l'IA générative avant d'ajouter un outil.
• Vous avez besoin d'une certification ou d'un tarif précis. Ni l'un ni l'autre n'est indiqué pour ZeusLock : demandez-les à chaque candidat, quel qu'il soit.
• Votre besoin porte sur un seul volet, comme la protection des modèles contre l'injection de prompt.

Le réflexe de l'inventaire préalable se retrouve dans d'autres professions. Présentant le nouveau guide juridique de l'IEJ sur l'IA, le Conseil supérieur du notariat pose cette question : « Mais quels outils sont réellement à disposition des notaires ? » (CSN, page consultée le 30/10/2026). Appliquée à votre structure, elle revient à lister ce que vous possédez déjà avant d'acheter autre chose.

Dans tous les cas, faites relire le choix final par votre DPO ou un juriste : l'exposition au Cloud Act dépend de la structure de l'éditeur, de ses sous-traitants et de la nature de vos données.

Sources

• Le CNB adopte un guide sur la déontologie et l'intelligence artificielle, Conseil national des barreaux, consulté le 30/10/2026
• Le barreau de Paris adopte un modèle de charte à disposition des cabinets, Barreau de Paris, consulté le 30/10/2026
• IA juridiques : un outil pour vous aider à comparer les solutions, Conseil national des barreaux, consulté le 30/10/2026
• Comment déployer une IA générative ? La CNIL apporte de premières précisions, CNIL, consulté le 30/10/2026
• Présentation de la feuille de route du groupe de travail intelligence artificielle, Conseil national des barreaux, consulté le 30/10/2026
• Le barreau de Paris publie une charte pour encadrer l'usage de l'intelligence artificielle dans les cabinets, Le Monde du Droit, consulté le 30/10/2026
• Introduction à l'intelligence artificielle : le nouveau Guide juridique de l'IEJ, Conseil supérieur du notariat, consulté le 30/10/2026