Data Privacy Framework et API d'IA américaine en 2026

Oui, le cadre tient au 15/11/2026, mais il reste contesté. Le Data Privacy Framework (DPF), ou cadre de protection des données entre l'Union européenne et les États-Unis, repose sur une décision d'adéquation de la Commission européenne adoptée le 10/07/2023. Le Tribunal de l'Union européenne a rejeté le 03/09/2025 le recours qui en demandait l'annulation (affaire T-553/23, Latombe contre Commission). Un pourvoi contre ce jugement a été formé le 31/10/2025 devant la Cour de justice, selon une analyse publiée par le cabinet WilmerHale le 01/12/2025. Nous n'avons pas trouvé, dans les sources officielles lisibles à cette date, d'arrêt de la Cour sur ce pourvoi : vérifiez sur curia.europa.eu avant toute décision structurante.

Pour une équipe qui appelle l'API (interface de programmation) d'un fournisseur de modèles établi aux États-Unis, la question pratique n'est pas seulement « le cadre est-il valide ? », mais « mon fournisseur, et l'entité précise qui reçoit mes données, y sont-ils inscrits ? ».

Ce que couvre le cadre

D'après les questions-réponses de la CNIL (Commission nationale de l'informatique et des libertés) du 17/07/2024 :

• seuls les transferts vers des entités américaines certifiées sont couverts, sans autre outil d'encadrement ;
• la liste est tenue par le département du Commerce des États-Unis, sur dataprivacyframework.gov ;
• il faut vérifier que l'entité destinataire, filiales comprises, et les catégories de données concernées sont couvertes (la certification distingue notamment les données de ressources humaines des autres) ;
• vers une entité non certifiée, il faut un autre outil, comme les clauses contractuelles types ou des règles d'entreprise contraignantes ;
• la décision reste en vigueur tant qu'elle n'est pas modifiée ou abrogée ; une première revue était prévue un an après son entrée en application, les suivantes à quatre ans d'intervalle au plus.

Pourquoi le Tribunal l'a maintenu

Le communiqué du Tribunal rappelle que la Cour de justice avait invalidé les deux cadres précédents (arrêts Schrems I et Schrems II). Depuis, les États-Unis ont adopté le 07/10/2022 un décret présidentiel renforçant les garanties encadrant leurs services de renseignement, complété par un règlement du procureur général qui encadre la création et le fonctionnement d'une cour de contrôle de la protection des données (Data Protection Review Court). Le requérant contestait l'indépendance de cette cour et la collecte en vrac de données ; le Tribunal a confirmé qu'à la date de la décision, les États-Unis assuraient un niveau de protection adéquat.

La vérification, pas à pas

1. Identifier l'entité contractante : la société qui signe vos conditions d'API n'est pas toujours celle qui traite les données. Lisez l'accord de traitement des données.
2. Chercher l'entité sur la liste officielle et vérifier que sa certification est active.
3. Vérifier le périmètre : données hors ressources humaines, ressources humaines, ou les deux.
4. Lister les sous-traitants ultérieurs du fournisseur (hébergeur, supervision) et leur pays : chaque maillon a son propre fondement de transfert.
5. Prévoir un plan B : savoir quel outil prendrait le relais (clauses contractuelles types déjà signées ou signables) si la décision était remise en cause.
6. Documenter : l'article 30 du RGPD (règlement général sur la protection des données) demande d'inscrire au registre les transferts vers un pays tiers et leurs garanties ; l'article 28 exige que le sous-traitant n'opère ces transferts que sur instruction documentée.

Réduire ce qui part

La CNIL, pour l'usage d'une API d'IA générative, attire l'attention sur les conditions contractuelles, « en particulier » les transferts hors de l'Union, et recommande d'éviter autant que possible d'envoyer des données personnelles. Deux leviers techniques, cumulables avec le DPF :

• pseudonymiser les requêtes avant l'appel, la table de correspondance restant chez vous (voir la méthode) ;
• choisir une région de traitement dans l'Union quand le fournisseur la propose, en vérifiant dans le contrat ce qu'elle couvre réellement (traitement, stockage, support).

Le cas des transferts en cascade dans une offre revendue sous la marque d'un partenaire est développé dans les transferts hors de l'Union dans la chaîne d'un assistant IA.

Et l'omnibus numérique ?

Le volet « données » de l'omnibus numérique, qui modifierait le RGPD, n'est pas adopté au 15/11/2026 (voir AI Act et RGPD). Les règles de transfert s'appliquent donc dans leur version actuelle.

Cette page fait le point sur l'état du droit à une date donnée. L'analyse d'un transfert précis se fait avec votre délégué à la protection des données ou un avocat.