Frontière européenne des données : Microsoft réécrit la clause sur les modèles d'IA tiers

L'EU Data Boundary est l'engagement de Microsoft à stocker et traiter en Europe les données de ses clients européens pour ses services en ligne, dont Azure, Microsoft 365, Dynamics 365 et Power Platform. Cet engagement comporte des exceptions, listées dans une documentation publique. C'est cette liste qui a bougé le 9 octobre 2026, sur un point qui concerne directement l'IA.

Ce qui a changé

Depuis le 9 juillet 2026, la documentation contenait un paragraphe propre aux modèles opérés par OpenAI dans les services d'IA générative de Microsoft. Il indiquait qu'OpenAI, en tant que sous-traitant, stockait aux États-Unis un identifiant d'utilisateur pseudonymisé, et que tout le reste était traité dans la frontière européenne sans être conservé par OpenAI.

Ce paragraphe a été retiré et remplacé par une clause générale sur les sous-traitants IA tiers approuvés. Elle cite, à titre d'exemples non limitatifs, les modèles opérés par OpenAI ou par SpaceXAI. Elle dit trois choses :

• quand le client configure un service de sous-traitant IA assorti d'engagements EU Data Boundary, les données du client et les données personnelles sont traitées dans la frontière européenne ;
• le sous-traitant peut traiter et stocker hors de cette frontière, y compris aux États-Unis, un identifiant d'utilisateur pseudonymisé ou un identifiant de session, pour le dépannage, le débogage et la sécurité ;
• il ne stocke pas les requêtes, les réponses ni les autres données du client hors de la frontière, sauf mention contraire dans la documentation du produit concerné.

Les quatre différences à relever

En comparant les deux textes, tels que le journal des modifications les reproduit :

• la clause ne vise plus un seul fournisseur mais une catégorie ouverte ;
• un identifiant de session s'ajoute à l'identifiant d'utilisateur ;
• la destination n'est plus seulement les États-Unis : le texte parle de l'extérieur de la frontière, États-Unis compris ;
• une réserve apparaît, qui renvoie à la documentation de chaque produit.

Rien n'annonce que les requêtes quittent l'Europe. Mais la garantie dépend désormais de deux conditions : que le service choisi soit bien assorti d'engagements EU Data Boundary, et que sa documentation ne prévoie pas d'exception.

Les autres exceptions qui touchent l'IA

La même page et son journal rappellent trois points :

• Copilot. Pour les locataires qui autorisent le « flex routing », les requêtes, les réponses et les données d'ancrage de Copilot peuvent être traitées hors de la frontière pour l'inférence en période de pointe, notamment aux États-Unis, au Canada et en Australie.
• Types de déploiement dans Foundry. Le journal signale depuis 2024 que le déploiement « global » peut faire traiter des données hors de la frontière, et il classe aussi les déploiements par zone de données parmi les capacités optionnelles susceptibles d'entraîner un transfert.
• Claude. Les modèles d'Anthropic font l'objet d'une rubrique distincte depuis le 7 janvier 2026, dans la page consacrée aux transferts communs à tous les services. Nous ne l'avons pas relue pour cet article.

Ce que cela ne dit pas

Un identifiant pseudonymisé reste une donnée personnelle au sens du RGPD. La documentation ne précise ni la durée de conservation de ces identifiants, ni la liste complète des sous-traitants approuvés. Elle ne remplace pas non plus les conditions contractuelles, qui seules engagent Microsoft.

Notre lecture

Pour une petite entreprise française qui utilise des modèles d'IA via Azure, trois vérifications suffisent le plus souvent :

• le type de déploiement de chaque modèle, en repérant ceux qui sont en mode global ;
• pour chaque modèle tiers, la présence explicite d'un engagement EU Data Boundary dans sa documentation ;
• le réglage du flex routing de Copilot.

Inscrivez ensuite dans votre registre des traitements le transfert d'identifiants pseudonymisés hors de l'Union. Enfin, abonnez-vous au flux RSS que Microsoft propose pour ce journal : la clause a été ajoutée en juillet puis réécrite en octobre, et rien n'indique qu'elle soit figée.