Souvent oui, mais la réponse dépend de quatre décisions, pas de la marque du modèle : où les données sont stockées, où s'exécute l'inférence, qui agit en tant que sous-traitant, et si des données personnelles franchissent une frontière en chemin. Prenez ces décisions workflow par workflow, consignez-les par écrit et faites-les valider par vos juristes. Ceci n'est pas un conseil juridique.
#À retenir
- Le nom du modèle ne détermine pas la conformité ; ce sont le stockage, l'inférence, le sous-traitant et le transfert qui la déterminent.
- Le lieu d'inférence compte autant que le stockage, car chaque appel au modèle traite les données là où le modèle s'exécute.
- Les modèles qu'un fournisseur propose dans chaque pays changent souvent : obtenez la liste actuelle des régions par écrit, datée.
- Choisissez d'abord l'hébergement, ensuite le modèle, sinon le pilote risque de ne jamais être autorisé en production.
- Rien de tout cela n'est un conseil juridique : vos juristes confirment la base légale avant toute utilisation de données clients.
#Que couvrent les lois émiratie et saoudienne sur la protection des données ?
Aux Émirats arabes unis, les données personnelles sont régies par le décret-loi fédéral n° 45 de 2021 relatif à la protection des données personnelles (portail du gouvernement des Émirats). En Arabie saoudite, la loi sur la protection des données personnelles (PDPL) est pleinement applicable depuis le 14 septembre 2024, et la SDAIA en est le régulateur (Clyde & Co, septembre 2024).
Ces deux lois encadrent la manière dont les données personnelles sont traitées et déplacées. Ce qu'elles exigent pour votre workflow précis, et la façon dont elles traitent un appel au modèle effectué depuis un autre pays, sont des questions pour vos juristes. Cet article vous donne les décisions à apporter à cette discussion. Il ne constitue pas un conseil juridique : faites donc valider chaque point par vos juristes.
#Pourquoi le lieu d'inférence compte-t-il, et pas seulement le stockage ?
Beaucoup d'équipes vérifient où se trouve la base de données et s'arrêtent là. Mais chaque fois qu'un workflow envoie une fiche client à un modèle, cette fiche est traitée là où le modèle s'exécute. Si le stockage est dans le pays et que l'inférence a lieu dans une autre région, des données personnelles ont tout de même voyagé. Demandez au fournisseur la région d'inférence par écrit, pour chaque modèle, avec la date de sa confirmation.
Il en va de même pour les journaux, les caches de prompts, les copies d'évaluation et l'accès du support de l'éditeur. Chacun est un endroit où des données clients peuvent être stockées ou lues. Listez-les à côté de la base de données principale, pas après.
#Quels modèles d'IA peuvent être hébergés aux Émirats arabes unis ou en Arabie saoudite ?
Nous ne citerons pas ici de modèle ni de pays, car la disponibilité par région est fixée par chaque fournisseur cloud et chaque éditeur de modèles, et change avec les nouvelles versions. Demandez au fournisseur sa liste de régions actuelle pour la version exacte du modèle que vous comptez utiliser. Obtenez-la par écrit, conservez la date et revérifiez-la avant chaque nouveau workflow.
Les options à comparer comprennent généralement un modèle proposé dans la région locale d'un fournisseur cloud, un modèle open-weight exécuté sur une infrastructure que vous contrôlez, et l'API propre d'un éditeur. Chacune apporte une réponse différente aux décisions ci-dessous : comparez-les sur ces décisions plutôt que sur des scores de benchmark.
#Que faut-il consigner pour chaque workflow ?
- Stockage : où se trouvent les données sources, les journaux et les éventuelles copies, et qui peut les lire.
- Inférence : la région où le modèle s'exécute pour ce workflow, confirmée par écrit par le fournisseur, avec une date.
- Sous-traitant : qui traite les données pour votre compte, l'éditeur du modèle, le fournisseur cloud ou les deux, et ce que prévoit le contrat.
- Transfert transfrontalier : si une étape envoie des données personnelles hors du pays, et quelle base légale vos juristes ont confirmée pour cela.
- Minimisation : les champs dont le modèle a réellement besoin. Les noms, identifiants et numéros de compte peuvent souvent être masqués avant l'appel.
Nous avons traité en détail la question du sous-traitant dans qui est le sous-traitant quand l'IA tourne sur votre cloud. Traitez aussi le texte des clients comme une entrée non fiable : l'injection de prompt est le premier risque du Top 10 OWASP pour les applications LLM.
We are
Stennir cartographie le stockage, l'inférence, le sous-traitant et le transfert pour chaque workflow, héberge là où vos règles l'exigent, et vous laisse propriétaire des comptes, des données et de l'interrupteur.
We aren't
Stennir n'est pas un cabinet d'avocats et ne rend pas d'avis juridique. Vos juristes confirment la base légale avant que quoi que ce soit ne tourne sur des données clients.
#Peut-on automatiser un workflow sans transférer de données vers un cloud américain ?
Souvent, oui, en choisissant l'hébergement avant le modèle. Partez du workflow et des données qu'il touche, choisissez un déploiement qui garde le stockage et l'inférence là où vos règles l'exigent, puis choisissez un modèle disponible à cet endroit. Choisir le modèle en premier, c'est ainsi que des équipes se retrouvent avec un pilote que le service juridique refuse de laisser passer en production.
Les acheteurs posent aussi la question en arabe : «هل يجوز استخدام ChatGPT مع بيانات العملاء في السعودية حسب نظام حماية البيانات الشخصية؟». Le cadre est le même, et Stennir le parcourt avec votre équipe en arabe et en anglais.
#Que doit faire ensuite un responsable conformité ou opérations ?
Choisissez un workflow qui touche des données clients et renseignez les cinq décisions ci-dessus. Apportez la fiche à vos juristes. Le conseil en IA inclut la région d'hébergement dans sa recommandation de construction, et la mise en œuvre de l'IA fait tourner le workflow là où vos règles l'exigent. Consultez l'IA pour la conformité, faites l'évaluation de maturité gratuite ou réservez un appel de 30 minutes.
#Questions fréquentes
Est-il légal d'utiliser ChatGPT avec des données clients en Arabie saoudite ?
Cela dépend de la manière dont les données sont traitées, stockées et transférées, pas du nom du produit. La PDPL est appliquée par la SDAIA, et vos juristes doivent confirmer la base légale de chaque workflow. Ceci n'est pas un conseil juridique. Apportez à vos juristes les décisions de stockage, d'inférence, de sous-traitance et de transfert pour l'usage concerné.
Où restent nos données ?
Là où vous le décidez, workflow par workflow. Stennir consigne la région de stockage, la région d'inférence et chaque endroit où une copie peut se trouver, comme les journaux et les caches. Les comptes sont à votre nom : vous pouvez donc voir les paramètres vous-même, et les modifier ou les fermer sans nous demander.
De quoi avez-vous besoin de notre part pour démarrer ?
Du workflow envisagé, des champs qu'il touche, de vos contrats cloud et fournisseurs actuels, et d'un contact au service juridique ou conformité. Avec ces éléments, la décision d'hébergement peut être prise avant le choix de tout modèle, et c'est cet ordre qui permet à un pilote d'atteindre plus tard la production.
Qu'est-ce qui pourrait mal tourner ?
La défaillance courante consiste à vérifier le stockage en oubliant l'inférence : la base de données reste dans le pays tandis que chaque appel au modèle part ailleurs. D'autres risques : des journaux conservés dans une autre région, un support éditeur capable de lire les prompts, et un fournisseur qui modifie sa liste de régions après la signature. Revérifiez la liste avant chaque nouveau workflow.
