Points clés
- DeepSeek API présente le risque RGPD le plus élevé de tous les grands LLM car les serveurs sont soumis à la loi chinoise sur l'accès aux données (PIPL) ; Qwen et Llama locaux portent un risque équivalent plus faible
- Claude et les API GPT-5.6 avec résidence des données dans l'UE portent un risque moyen et nécessitent des clauses contractuelles types (CCT)
- Piles recommandées : startups (Claude + CCT), organisations sensibles aux données (Qwen 24 Go local), entreprises (Qwen multi-GPU + air-gap)
- La matrice de décision des risques couvre cinq vecteurs : résidence des données, juridiction des données d'entraînement, conservation des données ToS et exigence CCT/TIA
- Les modèles Qwen et Llama locaux satisfont les articles 44 (pas de transfert), 25 (protection des données dès la conception) et 32 (sécurité)
Quatre vecteurs de risque RGPD pour les LLM
Tous les déploiements de LLM ne portent pas le même risque RGPD. Le risque juridique et opérationnel de l'utilisation d'un LLM est déterminé par quatre facteurs indépendants :
Matrice de risque : comparaison modèle par modèle
Le tableau ci-dessous résume le profil de risque RGPD de chaque option de déploiement. Des scores plus élevés indiquent un risque juridique et opérationnel plus élevé.
Déploiement | Résidence des données | Juridiction des données d'entraînement | Risque de conservation ToS | CCT/TIA requis ? | Niveau de risque global |
|---|---|---|---|---|---|
| DeepSeek API | Chine (Alibaba Cloud) | Chine (PIPL) | Réserve explicitement le droit de partager avec les autorités | Oui, mais inefficace (pas d'adéquation UE-Chine) | 🔴 Le plus élevé |
| Claude API (US) | US (Virginie) | US | Anthropic s'engage à supprimer sur demande ; conservation par défaut 30 jours | Oui, CCT + TIA requis | 🟠 Moyen-Élevé |
| GPT-5.6 (US) | US (plusieurs régions) | US | OpenAI peut conserver pour l'amélioration du modèle ; politique opaque | Oui, CCT + TIA requis | 🟠 Moyen-Élevé |
| Claude (résidence UE) | UE (Irlande ou Allemagne) | US (Anthropic), données restent en UE | Anthropic s'engage à une résidence UE uniquement + conformité RGPD | Oui, CCT adéquate grâce au traitement UE | 🟡 Moyen |
| Llama 4 Scout (local) | Votre matériel (LAN) | Open-source, pas de conservation commerciale | Vous contrôlez la conservation via des logs locaux uniquement | Non | 🟢 Le plus faible |
| Qwen3 14B (local) | Votre matériel (LAN) | Open-source (Apache 2.0), pas de conservation commerciale | Vous contrôlez la conservation via des logs locaux uniquement | Non | 🟢 Le plus faible |
Verdict par modèle et utilisation recommandée
Utilisez cette section pour comprendre quand chaque déploiement est approprié pour votre posture de conformité RGPD.
Pile recommandée par type d'organisation
La bonne pile LLM dépend de la sensibilité des données, du budget et de la posture de conformité de votre organisation. Utilisez ces recommandations comme point de départ pour vos décisions d'achat.
DeepSeek est-il conforme au RGPD si je l'utilise avec une CCT ?
Non. Les CCT seules ne satisfont pas les transferts RGPD Article 44 vers la Chine continentale car : (1) il n'y a pas de décision d'adéquation UE-Chine post-Schrems II ; (2) la loi chinoise (PIPL) mandate que les entreprises partagent les données avec les autorités gouvernementales ; (3) les principaux fournisseurs refusent d'opérer avec des CCT en Chine. Pour les données personnelles des résidents de l'UE, n'utilisez pas DeepSeek API. Si vous avez besoin de DeepSeek, utilisez les poids locaux.
L'utilisation de Claude EU avec CCT satisfait-elle le RGPD ?
Essentiellement oui, avec des réserves. Claude EU garde vos données en Irlande ou en Allemagne pendant le traitement et les supprime dans les 30 jours. Anthropic a publié une CCT conforme au RGPD. Cependant, les données d'entraînement de Claude sont toujours basées aux États-Unis, et Anthropic est une entreprise américaine. Pour la conformité pratique, Claude EU + CCT est acceptable. Pour la position la plus solide (sans risque de transfert), utilisez Qwen ou Llama locaux.
Puis-je utiliser Llama 4 Scout comme remplacement pour Claude ?
Pour la conformité RGPD : oui. Llama est open-source et peut s'exécuter localement, il satisfait donc les articles 44, 25 et 32 complètement. Pour les capacités : peut-être. Testez sur votre charge de travail d'abord. Pour les tâches simples de questions-réponses et de résumé, Llama 4 Scout est compétitif.
Que se passe-t-il si j'enregistre mes prompts localement à des fins d'audit ?
L'enregistrement est encouragé pour la conformité Article 30. Enregistrez : nom du modèle, horodatage de la session, nombre de jetons d'entrée, nombre de jetons de sortie et un hash SHA-256 du prompt et de la réponse. N'enregistrez PAS le texte brut des prompts contenant des données personnelles. L'enregistrement basé sur le hash satisfait l'article 30 (registres des traitements) et l'article 32 (sécurité).
Faire tourner un LLM on-prem coûte-t-il plus cher que les API cloud ?
Au départ : oui. Le matériel (RTX 4070 Ti) coûte ~500–1 000 $. Mensuellement : non. L'électricité on-prem coûte ~5–10 $/mois. Les API cloud coûtent 0,001–0,01 $ par 1 000 tokens, ce qui pour un usage intensif (>1 M tokens/mois) dépasse 100 $. Le seuil de rentabilité est typiquement de 6 à 12 mois pour un usage moyen à élevé. Si vous utilisez <100 000 tokens/mois, les API cloud sont moins chères. Si vous utilisez >1 M tokens/mois, l'on-prem est moins cher. La conformité RGPD constitue un argument commercial supplémentaire : l'on-prem signifie zéro coût juridique CCT/TIA.