Où sont mes données : six réponses, une seule concerne un pays

Une page de documentation Microsoft mise à jour le 30 mars 2026 donne deux réponses opposées à la même question. Quand un client autorise les modèles Anthropic dans les services d'IA générative Microsoft, ses données client restent stockées dans l'EU Data Boundary et sont traitées aux États-Unis. Le pays du datacenter répond exactement pour un des six états par lesquels passe une donnée dans un CRM à agents : celui où personne ne la lit.

Les cinq autres n'apparaissent dans aucun questionnaire d'achat. Un jeton délégué lit la boîte mail. Le CRM écrit dans un magasin dont le pays figure au contrat. Un moteur de récupération assemble quinze fragments. Un modèle infère, dans une géographie qui est un paramètre de déploiement. Un appel d'outil ouvre une connexion vers un service tiers. Une trace s'écrit, pour une durée que personne n'a négociée. Six détenteurs, six durées de conservation, six droits applicables.

Chacun de ces six états se vérifie par un document public et daté, que l'éditeur produit ou ne produit pas. Faits vérifiés au 15 août 2026.

« Hébergé en Europe » décrit exactement un état sur six

La case de résidence est exacte, auditable, parfois obligatoire. Elle décrit l'état où la donnée dort. Les lignes directrices 05/2021 du Comité européen de la protection des données, finales depuis février 2023, caractérisent pourtant le transfert par le fait de mettre à disposition, et l'accès à distance depuis un pays tiers suffit dès lors que les trois critères cumulatifs du transfert sont réunis. Le RGPD n'impose lui-même aucune localisation.

La symétrie penche même dans l'autre sens : la localisation est parfois du droit dur côté américain. La clause DFARS 252.204-7021 figure dans les contrats de la Défense depuis l'entrée en vigueur de la règle CMMC, le 10 novembre 2025. Ce que les agents changent n'est donc pas la règle de droit, c'est le nombre de mises à disposition déclenchées par un seul email. L'agent réinjecte même sa propre sortie, et les trois derniers états se répètent à chaque tour.

Une injonction ne vise pas un pays, elle vise un détenteur

Six mises à disposition, ce sont six détenteurs. Une injonction vise un détenteur, pas un pays. Le 10 juin 2025, devant la commission d'enquête du Sénat français sur la commande publique, Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, répond sous serment « Non, je ne peux pas le garantir » à la question d'une transmission aux autorités américaines sans accord français, en précisant que le cas ne s'est jamais présenté.

Le critère du CLOUD Act du 23 mars 2018 est le contrôle exercé par un fournisseur soumis à la juridiction américaine, où que soient stockées les données. Au second semestre 2025, Microsoft déclare 190 demandes d'autorités visant des comptes de clients entreprise, dont 51 % rejetées, retirées ou sans divulgation, et 45 divulgations de contenu. Sur la même période, Microsoft déclare 3 cas de divulgation de contenu à des autorités américaines concernant des clients non américains dont les données étaient stockées hors des États-Unis. Aucun cas public ne le documente dans l'Union, et le secret des procédures rend cette absence non concluante.

Ce qui se vérifie, ce sont des clauses, et l'article 32 du Data Act en donne le modèle depuis le 12 septembre 2025. L'extraterritorialité n'est la spécialité d'aucun pays : le 25 septembre 2025, la Cour de justice de l'Ontario a ordonné à OVHcloud, groupe français, de remettre à la police fédérale canadienne des données d'abonnés hébergées en France, au Royaume-Uni et en Australie.

Le document qui devait nommer les détenteurs ne les nomme plus

Encore faut-il pouvoir nommer ces six détenteurs. La liste de sous-traitants du contrat de traitement a été conçue pour cela, mais pour une chaîne stable révisée une fois par an. Elle échoue sur la couche IA : sur 2 400 fournisseurs analysés par DataGrail pour son rapport du 27 mai 2026, 63,6 % de ceux qui mettent en avant des capacités IA n'y nomment aucun sous-traitant IA tiers.

L'étude The Fourth-Party Map de SupplierShield, publiée le 8 juillet 2026 sur 163 éditeurs, ajoute que 92 % citent AWS, 52 % OpenAI et 40 % Anthropic, et qu'environ quatre sur dix ont retiré leur liste du web ouvert. S'y ajoutent des maillons réseau qu'aucune liste ne nomme, comme le cloudflared placé par Anthropic dans le chemin des tunnels MCP.

La topologie se croise dans les deux sens : Microsoft et Mistral AI ont annoncé le 21 juillet 2026 un accord plaçant les modèles Mistral dans Microsoft Foundry, pendant que l'AWS European Sovereign Cloud, ouvert le 15 janvier 2026, est opéré par une filiale à 100 % d'Amazon.com. Ce qui s'exige n'est donc pas une nationalité, c'est une liste versionnée, publique, nommant le fournisseur de modèle, son hébergeur et les composants réseau.

Le régime de traitement et de rétention se décide à l'appel

Une liste, même exemplaire, décrit la chaîne le jour de la signature, quand l'agent choisit modèle, région et endpoint à chaque appel. Dans la documentation d'Anthropic consultée le 15 août 2026, inference_geo n'accepte que « us » et « global », et le workspace geo qui régit le stockage au repos n'existe qu'en « us ». Une résidence européenne suppose donc un cloud tiers.

La rétention est un second réglage : depuis le 9 juin 2026, la politique d'Anthropic sur les Covered Models impose 30 jours de rétention et rend le zero data retention indisponible ; en appelant une fonctionnalité non éligible, rien ne bloque la requête, l'usage valant choix de sortir de l'accord. Chez OpenAI, le zero data retention exclut les endpoints à état, Assistants, Threads et Vector Stores compris, c'est-à-dire les primitives dont vit une architecture d'agent.

Le réglage par défaut décide à la place du contrat : Microsoft documente le 27 mars 2026 un flex routing qui laisse l'inférence de Microsoft 365 Copilot sortir de l'EU Data Boundary en période de pic, activé par défaut pour les tenants éligibles créés après le 25 mars 2026.

L'appel d'outil : le seul segment qu'aucun contrat ne décrit

Région, rétention et endpoint se lisent au moins dans une documentation. L'appel d'outil, lui, ne figure dans aucune. Entre le 8 et le 18 août 2025, des jetons OAuth de l'intégration Salesloft Drift ont servi à exfiltrer en masse des objets Salesforce. Le Google Threat Intelligence Group a attribué la campagne à l'acteur UNC6395 le 26 août 2025, plus de 700 organisations étaient potentiellement affectées, et Drift a été mis hors ligne le 3 septembre 2025. Aucune vulnérabilité de modèle n'a été exploitée.

Une fois que l'agent agit, le périmètre devient une propriété de l'appel, plus du contrat. La NSA écrit dans sa fiche du 20 mai 2026 sur le Model Context Protocol que le protocole ne définit pas comment une session se rattache à une identité vérifiable et que l'authentification y est optionnelle plutôt qu'obligatoire. Censys recense 12 520 serveurs MCP accessibles au 28 avril 2026, dont environ 40 % sans authentification, et Wiz publie le 28 juillet 2026 qu'environ 42 % des serveurs exposés renvoient des données réelles.

Aucune clause ne décrit ce que le protocole ne nomme pas. EchoLeak, la faille CVE-2025-32711 divulguée en juin 2025, permettait d'exfiltrer des contenus OneDrive et SharePoint à partir d'un email porteur d'instructions cachées, sans interaction utilisateur, en utilisant le modèle comme canal. Microsoft a corrigé côté serveur et indique n'avoir constaté aucune exploitation. Restent deux exigences : les droits de l'utilisateur réappliqués à la couche donnée, qu'Anthropic recommande d'obtenir par OAuth sur chaque serveur MCP, et un journal d'appels d'outils exportable. Aucun texte ne l'impose ici : l'article 50 du règlement européen sur l'IA, opposable depuis le 2 août 2026, oblige à informer la personne qu'elle interagit avec une IA et à marquer les contenus synthétiques, et l'obligation de journalisation de l'article 12 ne vise que les systèmes à haut risque. Ce journal est une exigence d'achat, pas une obligation légale.

Le critère qui survit quand les cinq autres changent de réponse

Ces cinq questions produisent un instantané, et trois réponses ont changé au premier semestre 2026 : la rétention chez Anthropic, le routage par défaut chez Microsoft, la disponibilité publique des listes de sous-traitants. Le socle juridique est lui-même stable en droit et contesté en fait : la décision d'adéquation (UE) 2023/1795 est en vigueur, confirmée par le Tribunal de l'Union le 3 septembre 2025, mais la Cour suprême des États-Unis a jugé le 29 juin 2026 inconstitutionnelles les protections « for cause » des commissaires de la FTC, et le Comité européen de la protection des données a demandé une évaluation à la Commission le 31 juillet 2026.

Le seul critère qui survit à cette incertitude est le coût de sortie. Le chapitre du Data Act sur le changement de fournisseur, applicable depuis le 12 septembre 2025, impose un préavis de deux mois maximum, une transition de 30 jours calendaires et l'interdiction de facturer le changement au 12 janvier 2027. L'équivalence fonctionnelle ne pèse toutefois que sur les fournisseurs d'infrastructure, et l'article 20 du RGPD ne couvre ni le scoring ni l'historique de pipeline.

Le coût réel se mesure sur un cas public : engagée par l'arrêté du 9 octobre 2020, la migration de la plateforme des données de santé française a été attribuée à Scaleway le 23 avril 2026, cinq ans et demi après la décision.

Six questions, six preuves, trois niveaux

Chaque section produit une question, et chacune se gradue : un critère que nul ne satisfait cesse de trier et moralise.

• La carte : la résidence ne couvrant qu'un état sur six, quelles entités touchent la donnée pendant une exécution de l'agent, et laquelle réalise l'inférence. Le contrôle DSP-19 du Cloud Controls Matrix impose déjà de documenter les localisations physiques des données, lieux de traitement et de sauvegarde compris.
• La contrainte : que fait le fournisseur face à une injonction étrangère. Promettre de refuser ne vaut rien, obliger à contester, notifier et minimiser se vérifie.
• La liste : est-elle datée, versionnée, publique, et nomme-t-elle la couche modèle et la couche réseau.
• La matrice : par endpoint, quelle région traite, quelle région stocke, quelle rétention s'applique, et par où l'on sort du régime négocié sans alerte.
• L'autorisation et la trace : les droits de l'utilisateur s'appliquent-ils à la couche donnée, et le journal d'appels d'outils est-il exportable et rattaché à une identité.
• La sortie : en combien de jours l'export complet est-il livré, dans quel format, que contient-il au-delà des données fournies par la personne, et bascule-t-il sans frais au 12 janvier 2027.

Trois niveaux suffisent à classer. Niveau haut : un document public daté. Niveau moyen : une réponse écrite et nominative. Niveau bas : rien d'écrit. En août 2026, le niveau haut suppose des documents que 63,6 % des éditeurs mettant en avant de l'IA ne publient pas, jeunes éditeurs AI-natifs compris.

Six questions et non 261 comme le CAIQ, parce que l'étude Sapio Research pour Vanta de juillet 2025, menée auprès de 3 500 dirigeants dans cinq pays, mesure 9 semaines de travail par an consacrées aux revues fournisseurs, contre 7 en 2024. Le baromètre du CESIN de janvier 2026 et le HECVAT américain, qui a ajouté un domaine de gouvernance de l'IA en février 2025, montrent que la question se pose des deux côtés de l'Atlantique.

Demandez la carte et le devis de sortie, pas le drapeau

Au terme de ces six questions, « où sont mes données » a reçu six réponses, et une seule concerne un pays. Le marché, lui, a déjà arbitré : IDC mesure en 2025 que 40 % des organisations européennes utilisent une offre de cloud souverain, et que 4 % seulement envisagent de quitter les fournisseurs mondiaux. La question n'est donc plus de choisir un camp, elle est de savoir ce que l'on peut prouver. Deux artefacts remplacent la case à cocher : le journal de ce que l'agent a fait de vos données hier, appel d'outil par appel d'outil, et le devis de sortie.

Kasar est un CRM AI-natif dont l'agent s'appelle Léo. Il capture les interactions par email, LinkedIn, WhatsApp, calendrier et appels, et il expose un serveur MCP : ce sont les objets qu'interrogent les questions 1, 4 et 5, et la grille vaut pour nous comme pour les autres. Un éditeur qui s'arrête à « nos serveurs sont en Europe » n'a décrit que l'état où personne ne lit la donnée. Rien n'oblige à nous croire avant d'avoir demandé ce journal et tenté un export. L'essai de Kasar dure 14 jours.