Zero Data Retention : est-ce suffisant pour la protection des données ?

Que signifie le Zero Data Retention ?

Le Zero Data Retention (ZDR, « aucune conservation des données ») est un engagement d’un fournisseur de modèles : les entrées et les réponses ne sont pas conservées après le traitement, pas même dans des journaux de détection des abus. Sans ZDR, de nombreux fournisseurs conservent les contenus pendant un certain temps. Chez OpenAI par exemple, selon sa propre documentation (état octobre 2026), l’interface de programmation prévoit par défaut une conservation jusqu’à 30 jours pour la détection des abus ; le ZDR n’y est disponible qu’après validation préalable par OpenAI et seulement pour certains points d’accès.

Quelles exceptions sont les plus courantes ?

Les engagements diffèrent d’un fournisseur à l’autre. On trouve typiquement :

• Uniquement après validation : le ZDR doit être demandé et accordé, souvent seulement pour les clients professionnels.
• Uniquement pour certaines fonctionnalités : les conversations enregistrées, les fichiers téléversés ou les index de recherche chez le fournisseur restent conservés jusqu’à ce que quelqu’un les supprime.
• Obligations légales : conservation lorsqu’une loi ou une injonction l’exige.
• Protection contre les abus : réserves permettant de conserver malgré tout des contenus en cas de soupçon d’abus.

Lisez donc la documentation de chaque point d’accès et de chaque fonctionnalité qu’utilise votre application, et faites-vous confirmer la validation par écrit.

Pourquoi le ZDR ne suffit-il pas ?

Le ZDR ne règle que ce qui se passe après la réponse. Le RGPD intervient plus tôt : le transfert et le traitement chez le fournisseur constituent déjà un traitement au sens de l’art. 4, point 2, du RGPD.

Question	Le ZDR la résout-il ?
Les données quittent-elles votre établissement ?	Non, elles sont traitées chez le fournisseur.
Avez-vous besoin d’une base légale et d’un accord de traitement des données ?	Oui, sans changement.
Vos données servent-elles à l’entraînement ?	Engagement distinct, à vérifier séparément.
Un fournisseur américain est-il impliqué ?	Non. Le Cloud Act américain s’applique aux entreprises américaines même dans des centres de données européens, et pendant le traitement, les données se trouvent chez le fournisseur.
Le secret professionnel est-il préservé ?	Non, un traitement sans conservation reste une divulgation au sens du § 203 StGB.
Quelles fonctionnalités sont couvertes ?	Seulement celles que nomme le fournisseur.
Que conserve votre propre plateforme ?	Non couvert : les conversations, documents et journaux dans l’application ont besoin de leurs propres règles de suppression.

La Conférence allemande des autorités de protection des données (DSK) distingue donc les systèmes fermés, dans lesquels les données restent dans un environnement délimité, des systèmes ouverts, dans lesquels les entrées quittent l’espace protégé. Elle considère les systèmes techniquement fermés comme préférables.

Que faut-il vérifier à la place ?

1. Lieu : où le modèle d’IA fonctionne-t-il, dans quel centre de données, chez qui ?
2. Rôle : le fournisseur du modèle est-il votre sous-traitant ou sous-traitant ultérieur, avec un accord de traitement des données ?
3. Entraînement : est-il exclu par contrat ?
4. Conservation : combien de temps, dans quel but, qui y a accès ? C’est ici que le ZDR a sa place.
5. Pays tiers : décision d’adéquation, clauses contractuelles types, Cloud Act américain (Cloud Act américain et IA).
6. Protection des secrets : accord selon le § 203 StGB, et pour les données sociales le § 80 SGB X (Code social allemand, livre X).
7. Votre propre plateforme : combien de temps les conversations et les journaux restent-ils chez vous ? (Journalisation et conservation)

Comment cela fonctionne-t-il avec basebox ?

Avec le serveur, le modèle d’IA fonctionne sur votre matériel ; les entrées ne vont à aucun fournisseur de modèles, la question du ZDR ne se pose donc pas. Dans le cloud, le modèle d’IA fonctionne sur nos serveurs dans le centre de données de Munich (München-Ost) ; basebox est une entreprise allemande, le Cloud Act américain ne s’y applique pas. Vos données n’entraînent aucun modèle.

Un modèle externe n’existe que sous forme d’app avec un modèle externe dédiée, dans un centre de données situé dans l’UE. Le fournisseur n’utilise pas les entrées pour l’entraînement et les journalise pendant 30 jours au maximum pour détecter les abus. Comme il s’agit d’une entreprise américaine, le Cloud Act américain s’y applique. Votre administrateur ne partage une telle app qu’avec des groupes choisis, et vous décidez avec votre délégué à la protection des données (DPO) pour quelles données.

Si basebox utilise une capacité de calcul supplémentaire chez d’autres fournisseurs, par exemple STACKIT, les entrées n’y sont pas conservées du tout. Chacun de ces fournisseurs figure dans la liste des sous-traitants ultérieurs.

Pas un conseil juridique : les engagements des fournisseurs évoluent ; seuls le contrat et la documentation actuelle font foi. L’évaluation pour vos données incombe à votre organisation avec son délégué à la protection des données. État des recherches : 11 octobre 2026.