IA coréenne : l’adéquation RGPD ne remplace pas le contrat

Le 23 juillet 2026, la Commission européenne a confirmé que la Corée du Sud continue d’offrir un niveau adéquat de protection des données personnelles. Une PME belge peut donc transférer des données vers les destinataires coréens couverts sans ajouter un mécanisme de transfert comme les clauses contractuelles types.

La nouvelle est utile pour les entreprises qui testent un moteur de recherche agentique, un outil de traduction, un service industriel ou une autre solution IA fournie depuis la Corée. Elle retire une étape juridique du trajet. Elle ne valide pas le service lui-même.

L’adéquation ne dit pas si le fournisseur utilise les requêtes pour entraîner un modèle, combien de temps il garde les fichiers, quels salariés peuvent les consulter ou vers quels autres pays ses sous-traitants les envoient. Ces questions restent dans le choix du fournisseur, le contrat et le contrôle du pilote.

Commission européenne, première revue périodique, vérifiée le 24 juillet 2026.

L’adéquation répond à une question précise

Une décision d’adéquation repose sur l’article 45 du RGPD. Elle permet de traiter un transfert vers le pays reconnu comme une transmission comparable, sur ce point, à un échange au sein de l’Espace économique européen. La page officielle de la Commission le formule clairement : aucune garantie supplémentaire n’est nécessaire pour le transfert couvert.

Le périmètre compte. La décision vise les entités en Corée soumises à la loi coréenne sur la protection des informations personnelles, complétée par les garanties décrites dans la décision européenne. Elle ne transforme pas chaque entreprise qui possède un bureau à Séoul en destinataire couvert.

Un fournisseur peut aussi vendre depuis une société européenne, traiter dans une région cloud japonaise et appeler un modèle exploité par une autre entité. Son adresse commerciale ne suffit donc pas. La première question à poser n’est pas « votre entreprise est-elle coréenne ? », mais « quelle entité reçoit quelles données, dans quel pays et pour quelle opération ? ».

Le contrat garde presque tout le travail

L’entreprise belge reste responsable de la finalité de son traitement et du choix d’un sous-traitant présentant des garanties suffisantes. Les articles 28 et 32 du RGPD ne disparaissent pas lorsque le pays de destination est adéquat.

Pour un service IA, le contrat doit transformer les promesses de la démonstration en règles vérifiables. Une phrase comme « vos données sont protégées selon les normes internationales » ne décrit ni le traitement ni sa fin.

Point à fermer	Question à poser	Preuve attendue
Entités	Qui contracte, reçoit, héberge et assiste ?	Noms juridiques, rôles et pays
Finalités	Les entrées servent-elles uniquement à fournir le service ?	Clause d’usage et règle d’entraînement
Conservation	Quand disparaissent fichiers, requêtes, sorties et journaux ?	Durée par catégorie et procédure de suppression
Accès	Qui peut voir les données en support ou en incident ?	Contrôles d’accès et journalisation
Sous-traitants	Quels tiers participent au stockage, au modèle ou au support ?	Liste à jour et préavis de changement
Sortie	Comment récupérer puis effacer les données à la fin ?	Format d’export, délai et attestation

RGPD, notamment articles 28, 32 et 45, vérifié le 24 juillet 2026.

Le mot « entraînement » mérite une ligne propre. Un fournisseur peut exclure les données du réentraînement général tout en les conservant pour la sécurité, l’évaluation ou l’amélioration du service. Demandez la finalité de chaque copie, pas seulement une réponse binaire à « entraînez-vous sur nos données ? ».

Le transfert suivant reste visible

La revue européenne relève que la loi coréenne a été renforcée depuis 2021, notamment pour les transferts internationaux. Certaines garanties ajoutées lors de la décision initiale sont désormais inscrites dans le droit coréen de manière générale.

La Commission conserve pourtant trois recommandations pratiques. Elle encourage des contrôles aléatoires sur le respect des garanties supplémentaires. Elle demande aussi que les futurs guides coréens rendent les mécanismes de transfert plus accessibles et précisent que les certifications APEC CBPR ne constituent pas, à elles seules, un mécanisme reconnu sous les règles coréennes.

Ce détail concerne directement un achat logiciel. Le premier transfert de Bruxelles vers Séoul peut être couvert par l’adéquation, puis le fournisseur peut envoyer certaines données à un sous-traitant dans un autre pays. Ce second trajet doit avoir sa propre base et rester compréhensible.

Demandez une liste qui relie chaque sous-traitant à une fonction : hébergement, inférence, surveillance, assistance, traduction ou sauvegarde. Ajoutez le pays et les catégories de données. Une liste de logos sans rôle ni localisation ne permet pas de suivre le transfert suivant.

Un pilote doit révéler le trajet

Le meilleur test ne commence pas avec la base clients complète. Choisissez cinq dossiers synthétiques ou correctement pseudonymisés qui reproduisent les formats réels : un document, une requête longue, une pièce contenant une donnée personnelle, une demande au support et un cas à supprimer.

Suivez ensuite chaque étape :

• identifier l’entité qui reçoit la requête et celle qui héberge le fichier ;
• vérifier si le modèle ou un composant externe traite le contenu ;
• déclencher une demande d’assistance et observer les accès nécessaires ;
• exporter les entrées, sorties et journaux utiles ;
• supprimer le dossier et obtenir la règle appliquée aux sauvegardes ;
• conserver le schéma, les réponses et la version du contrat testée.

Une démonstration réussie prouve que l’outil sait produire une sortie. Ce parcours prouve que l’entreprise sait où sont parties ses données et comment elle peut les reprendre.

La décision à prendre lundi matin

Prenez le fournisseur IA non européen le plus avancé dans vos essais. Dessinez quatre cases : entreprise belge, fournisseur contractuel, service qui exécute le modèle, sous-traitants. Reliez-les avec les données réellement envoyées.

Si une case ou un pays reste inconnu, ne chargez pas de données personnelles supplémentaires. Demandez l’entité destinataire, la localisation, la finalité, la durée et la base du transfert suivant. Vérifiez ensuite si le premier destinataire coréen entre bien dans le champ de la décision d’adéquation.

La revue du 23 juillet simplifie une partie réelle du dossier : le transfert couvert vers la Corée du Sud n’a pas besoin d’un mécanisme supplémentaire. Le gain doit rester à sa place. Il enlève une pièce au contrat ; il ne remplace ni le contrat, ni la sécurité, ni la carte des sous-traitants, ni la décision de confier ces données à cette IA.