# IA conforme au RGPD au Luxembourg

## Notre recommandation n° 1
- Faire pointer les outils que vous utilisez déjà (construits sur OpenAI
  ou Anthropic) vers un fournisseur d'inférence européen sans conservation
  des données. Nous recommandons Melious (Allemagne) : plus de 60 modèles
  open-weight dans des centres de données européens, aucune journalisation
  du contenu des invites ni des réponses, un accord de sous-traitance (DPA)
  et des prix abordables à l'usage. Nous l'utilisons nous-mêmes pour les
  travaux qui touchent à des données personnelles.
- Melious accepte les formats d'API d'OpenAI et d'Anthropic : changer
  revient souvent à modifier une adresse et une clé. Nous vous accompagnons
  pour remplacer l'adresse d'API dans chacun de vos outils actuels.

## Pour qui
- Les petites entreprises, ONG et professionnels indépendants au Luxembourg
  qui utilisent des outils d'IA touchant à des données personnelles : fichiers
  clients, CV, tickets de support, dossiers individuels.
- Les équipes dont le personnel utilise déjà des agents conversationnels grand
  public au travail, sans règle écrite sur ce qui peut y être saisi.
- Les organisations qui prévoient un agent conversationnel face aux clients ou
  un assistant documentaire.
- Toute structure à qui un client, un bailleur ou la CNPD demande d'expliquer
  où vont ses données d'IA.

## Problème
- Le RGPD s'applique à l'IA exactement comme à tout autre logiciel : base
  légale, minimisation des données, transparence, durées de conservation et
  responsabilité. Le dossier thématique de la CNPD sur l'IA le dit
  explicitement.
- Le risque est rarement le modèle. C'est la tuyauterie : des outils grand
  public qui s'entraînent sur les invites, des services hébergés aux
  États-Unis sans accord de sous-traitance, et des assistants qui indexent des
  fichiers que personne ne voulait conserver.
- Tout fournisseur qui traite des données personnelles pour votre compte
  exige un contrat au titre de l'article 28 ; toute donnée qui quitte l'UE
  exige un mécanisme de transfert du chapitre V. Les offres d'IA grand public
  échouent aux deux tests.
- Un agent conversationnel face aux clients relève à la fois du RGPD (où vont
  les conversations, ce que dit la notice de confidentialité, combien de temps
  les historiques sont gardés) et de la règle de transparence du règlement IA.
- Le RGPD et le règlement IA posent des questions différentes : protection des
  données d'un côté, risque produit de l'autre. La CNPD devrait superviser les
  deux au Luxembourg, selon le projet de loi n°8476.

## Ce que nous faisons
- Recenser les données personnelles que votre équipe fait réellement passer
  aujourd'hui par des outils d'IA.
- Choisir entre trois voies d'hébergement : SaaS hébergé aux États-Unis (à
  éviter pour les données personnelles), modèles open-weight gérés et hébergés
  dans l'UE sous un accord de sous-traitance sans entraînement (proportionné
  pour la plupart des PME), ou modèles open source auto-hébergés (pour les
  données sensibles et les organisations sous menace).
- Mettre en place l'architecture choisie pour que la conformité soit la
  valeur par défaut : infrastructure européenne, contrats qui interdisent
  l'entraînement sur vos données, conservation automatique, un humain dans la
  boucle pour les décisions concernant des personnes.
- Rédiger la note interne d'une page sur l'usage de l'IA, qui sert à la fois
  de preuve de responsabilité et de maîtrise de l'IA au sens du règlement IA.

## Résultats
- Une réponse à « où vont mes données » que vous êtes heureux de donner.
- Aucune question de transfert international, puisque les données ne quittent
  jamais l'UE.
- Un registre de traitement, une règle de conservation et une note d'usage de
  l'IA courts et à jour.
- Un agent conversationnel ou un assistant dont la notice de confidentialité et
  l'information sur l'IA sont en place dès le premier jour.
- Des coûts d'exploitation inférieurs à ceux d'un SaaS étranger facturé par
  utilisateur, une fois la mise en place faite.

## Notre façon de travailler
- Cela commence par un appel gratuit de 20 minutes pour recenser ce que vous
  utilisez déjà.
- Mise en place à périmètre fixe ; un accompagnement continu seulement si la
  gouvernance l'exige réellement.
- Il s'agit d'une aide pratique et d'un travail d'architecture, pas de conseil
  juridique : Crystallized Intelligence n'est pas un cabinet d'avocats, et
  travaille aux côtés de votre avocat quand une question en relève.
- Sources : dossier thématique de la CNPD sur l'IA et la protection des
  données, avis 28/2024 du CEPD sur les modèles d'IA, rapport du groupe de
  travail ChatGPT du CEPD, règlement (UE) 2016/679. Contenu réglementaire revu
  pour la dernière fois le 29 septembre 2026.
- Voir aussi : [Conformité au règlement IA](/fr/reglement-ia-luxembourg/index.md),
  [Pour les ONG](/fr/pour-les-ong/index.md),
  [Pour les PME](/fr/pour-les-pme/index.md),
  [L'IA au Luxembourg](/fr/ia-au-luxembourg/index.md).

## Prochaine étape
Réservez un appel de pré-découverte pour recenser où vont vos données
aujourd'hui et quelle voie d'hébergement fait disparaître la question.

Page canonique : https://www.crystallized.lu/fr/rgpd-ia-luxembourg/