ChatGPT
Claude
Perplexity
Gemini
GrokUn chatbot d'admission « hébergé en UE » répond à une seule question : où les données sont stockées. Il ne dit rien de qui peut y accéder, ni de ce que font les sous-traitants qui l'entourent, à commencer par le modèle d'IA. Pour une école, une alternative européenne à un chatbot américain se juge sur quatre points : le lieu de stockage, l'entité juridique qui contrôle le service, la liste des sous-traitants et les accès à distance. Cet article donne la grille pour les vérifier, état des sources au 12 octobre 2026.
Nous n'évaluons aucun éditeur nommé : les comparatifs de marque exigent des preuves publiques datées pour chaque cellule, et ce n'est pas l'objet ici. Les données de volume et de difficulté du mot-clé ne sont pas disponibles ; l'angle vient d'une lecture des sources officielles.
Pourquoi la question se pose pour une école
Un chatbot d'admission recueille des données de candidats, souvent des lycéens : nom, e-mail, téléphone, filière visée, parfois situation familiale ou financière. Ces données arrivent avant tout contrat, donc avant toute relation établie avec l'école.
Le RGPD fixe le cadre. Son considérant 81 demande au responsable du traitement de ne recourir qu'à des sous-traitants offrant des garanties suffisantes (RGPD, texte officiel sur EUR-Lex). L'école reste responsable du traitement, même quand l'éditeur du chatbot fait tout le travail technique.
En France, le contrôle relève de la CNIL, et la question revient dans les dossiers d'audit des groupes, des écoles reconnues par l'État ou visées par la CEFDG et la CTI. Nous traitons le contenu d'un audit dans notre checklist d'audit RGPD.
Hébergement UE, transfert hors UE : ce que dit le droit
Stocker en UE ne supprime pas tout transfert. Un transfert hors de l'UE existe dès que des données sont rendues accessibles à une entité située dans un pays tiers, y compris pour une opération de support à distance. C'est la lecture des lignes directrices du CEPD sur l'articulation de l'article 3 et du chapitre V (CEPD, lignes directrices 05/2021, en anglais). Un ingénieur américain qui consulte une conversation pour dépanner peut donc déclencher les règles du chapitre V.
Pour la CNIL, la décision d'adéquation est le premier outil juridique d'encadrement d'un transfert hors UE (CNIL, cadre général des transferts). À défaut, il faut des garanties appropriées, comme les clauses contractuelles types, et une analyse des risques propre à chaque destination.
Où en est le Data Privacy Framework
Le 10 juillet 2023, la Commission a adopté sa décision d'adéquation pour le EU-US Data Privacy Framework (DPF). Selon la Commission, les données personnelles peuvent circuler librement vers les entreprises américaines qui participent au cadre (Commission européenne, transferts UE-États-Unis). L'accord ne couvre que les entreprises américaines qui participent au Data Privacy Framework ; un éditeur non certifié reste hors du dispositif.
Le Tribunal de l'Union européenne a rejeté le recours de M. Latombe le 3 septembre 2025 (affaire T-553/23), ce que l'autorité espagnole a salué dans un communiqué de l'AEPD (en espagnol). Un pourvoi serait, à notre connaissance, pendant devant la Cour de justice : le cadre est valide aujourd'hui, mais son avenir n'est pas fixé. Le précédent Privacy Shield avait été invalidé en 2020 par l'arrêt Schrems II.
| Situation de l'éditeur | Base de transfert probable | À vérifier avant de signer |
|---|---|---|
| Éditeur européen, hébergement UE, sous-traitants UE | Aucun transfert hors UE | Liste des sous-traitants, accès de support |
| Éditeur européen, sous-traitant d'IA hors UE | Décision d'adéquation ou clauses types | Pays du sous-traitant, nature des données envoyées |
| Éditeur américain certifié DPF, région UE | Adéquation si la certification est active | Statut actif sur la liste DPF, accès depuis les États-Unis |
| Éditeur américain non certifié | Clauses contractuelles types et analyse des risques | Mesures supplémentaires, documentation du transfert |
Quatre familles d'alternatives européennes
Il n'existe pas une « alternative européenne » unique, mais quatre architectures aux compromis différents. Nous ne chiffrons pas leur coût : les prix dépendent des devis, et aucun barème public ne permet de les comparer honnêtement.
| Famille | Avantage principal | Point de vigilance |
|---|---|---|
| Éditeur européen sur cloud européen | Contrôle juridique et technique dans l'UE | Vérifier le modèle d'IA et le support |
| Éditeur non européen avec région UE | Produit souvent mature | Accès à distance, maison mère hors UE |
| Logiciel libre auto-hébergé | Maîtrise totale des données | Charge d'exploitation et de sécurité pour l'école |
| Développement interne sur cloud UE | Sur mesure | Maintenance, qualité des réponses, compétences |
Skolbot est un éditeur français de chatbot d'admission. Appliquez-lui la même grille qu'aux autres : contrat de sous-traitance, liste des sous-traitants, lieu des traitements.
La couche IA : le maillon oublié
Le modèle de langage est un sous-traitant à part entière. Un chatbot hébergé en UE qui envoie chaque conversation à une API située hors UE ne tient pas sa promesse. Demandez à l'éditeur quel modèle répond, depuis quelle région, et si les messages servent à entraîner un modèle.
Ce point prime sur le reste quand le candidat saisit des informations libres : situation personnelle, santé, difficultés financières. Notre article sur l'hébergement des données de prospects hors UE détaille les cas de figure.
Dix questions à poser à l'éditeur
- Dans quels pays sont stockées les conversations, les sauvegardes et les journaux ?
- Quelle entité juridique signe le contrat et où est-elle établie ?
- Qui peut accéder aux données à distance, depuis quels pays, pour quel motif ?
- Quelle est la liste complète des sous-traitants, modèle d'IA compris ?
- L'éditeur est-il certifié DPF, et quel est son statut sur la liste officielle ?
- Les messages servent-ils à entraîner un modèle ?
- Quelle durée de conservation par défaut, et comment supprimer sur demande ?
- Comment les incidents sont-ils notifiés, dans quels délais ?
- Le contrat de sous-traitance contient-il les clauses de l'article 28 ?
- Quelles sont les conditions de réversibilité en fin de contrat ?
Exigez les réponses par écrit, annexées au contrat. Une réponse commerciale à l'oral ne protège pas l'école en cas de contrôle de la CNIL.
Ce que l'hébergement UE ne règle pas
L'hébergement ne remplace ni la base légale, ni l'information du candidat, ni la minimisation des données. Le chatbot ne doit demander que ce qui sert l'admission, afficher une mention claire et permettre l'exercice des droits. Notre guide sur la collecte de données par un chatbot d'école précise ces points.
Pour situer l'offre dans le marché, voyez le comparatif des agents IA pour le recrutement étudiant, la grille pour choisir un agent IA et le guide chatbot RGPD : critères et fournisseurs. Le panorama général est dans le guide du chatbot IA pour le recrutement étudiant.
