Traduction et RGPD : où partent vos textes traduits

Traduire est devenu un geste banal : on colle un paragraphe, on récupère la traduction. Ce geste envoie pourtant le texte à une entreprise tierce, sur des serveurs qu’on ne voit pas, avec des conditions qu’on a rarement lues. Pour une fiche produit ou un article de blog, l’enjeu est faible. Pour la réponse à une réclamation, un dossier de candidature ou un contrat, c’est une question de conformité.

Cet article aide à faire le tri, du point de vue de l’entreprise qui fait traduire. Il ne remplace pas l’avis de votre délégué à la protection des données ou de votre juriste, qui restent ceux qui tranchent. Il complète notre guide pour traduire un site web.

Quand une traduction devient un traitement de données personnelles

Tout dépend de ce que contient le texte. Une description de produit, une page d’offre, un article : rien de personnel, et le RGPD ne s’en mêle pas. Un e-mail de client, un ticket de support, un CV, un contrat de travail, un compte rendu de réunion nominatif : le texte contient des données personnelles, et les envoyer à un outil de traduction est un traitement au sens du RGPD.

L’article 28 du règlement demande alors deux choses : ne faire appel qu’à des sous-traitants qui présentent des garanties suffisantes, et encadrer le traitement par un contrat (souvent appelé DPA, de l’anglais Data Processing Agreement). Les offres professionnelles des grands fournisseurs en proposent un ; les versions grand public, utilisées avec un compte personnel ou sans compte, n’offrent en général pas ce cadre à l’entreprise.

Où part un texte quand vous le traduisez

Chaque étape a sa question, et la réponse se lit dans les conditions de l’offre que vous utilisez réellement. Quelques exemples, relevés le 19 octobre 2026, montrent à quel point elle varie.

DeepL. La politique de confidentialité du traducteur sans abonnement indique que les textes soumis et leurs traductions sont traités « pendant une durée limitée afin d’entraîner et d’améliorer » ses réseaux neuronaux. Pour les offres Pro, la page sur la sécurité des données affirme que les textes ne sont jamais stockés ni utilisés pour l’entraînement sans consentement.

Google. Pour l’API Cloud Translation, Google indique ne pas utiliser le contenu envoyé pour entraîner ses fonctions de traduction, et le garder brièvement en mémoire le temps de la traduction. Pour l’API Gemini, sa grille distingue le niveau payant, dont les contenus ne servent pas à améliorer ses produits, du niveau sans paiement, dont les contenus y servent.

Les API des modèles généralistes. OpenAI indique que les données envoyées à son API ne servent plus à entraîner ses modèles depuis le 1er mars 2023, mais conserve par défaut des journaux de contrôle des abus jusqu’à 30 jours, et propose un traitement en Europe sur validation. Anthropic indique supprimer les entrées et sorties de son API sous 30 jours, avec des exceptions. Chaque autre fournisseur, européen compris, publie ses propres règles, à lire offre par offre.

Ces conditions évoluent : relisez-les quand vous changez d’offre, et au moins une fois par an.

Et si le texte sort de l’Union européenne ?

Un fournisseur dont les serveurs sont hors de l’Union européenne ou de l’Espace économique européen fait sortir les données. Le RGPD le permet, rappelle la CNIL, à condition d’assurer un niveau de protection suffisant : une décision d’adéquation de la Commission européenne pour le pays, ou des garanties comme les clauses contractuelles types, mises à jour par la Commission le 4 juin 2021.

Pour les États-Unis, la Commission a adopté le 10 juillet 2023 une décision d’adéquation : les transferts vers les organisations américaines inscrites au cadre de protection des données UE-États-Unis peuvent s’effectuer sans encadrement spécifique. Vérifiez que votre fournisseur y figure, ou qu’il propose un traitement dans l’Union. Pour les autres pays, la question se pose fournisseur par fournisseur, et la réponse revient à votre délégué à la protection des données.

Trier les textes par sensibilité

Le plus simple n’est pas de chercher un outil parfait pour tout, mais de ranger les textes, puis d’affecter à chaque catégorie les outils qui conviennent.

Le niveau le plus sensible a une réponse technique : un modèle installé sur un serveur que l’entreprise contrôle, dont aucune donnée ne sort. Les différents degrés de maîtrise, du fournisseur cloud au serveur interne, sont détaillés dans IA privée : les quatre niveaux de maîtrise, et les obligations générales dans AI Act et RGPD : ce qu’une PME qui utilise l’IA doit faire.

Les cinq questions à poser avant de choisir un outil

1. 01Que contiennent les textes ?

   Publics, internes ou personnels : la réponse dit quelles offres sont possibles.

2. 02Quelle offre exactement ?

   Version grand public, offre professionnelle ou API : lisez les conditions de celle que vous utilisez.

3. 03Où le texte est-il traité ?

   Dans l’Union, ou ailleurs avec quel encadrement.

4. 04Combien de temps est-il gardé, et pour quoi faire ?

   Durée de conservation, entraînement des modèles, journaux de contrôle.

5. 05Quel contrat ?

   Un accord de sous-traitance signé par l’entreprise, pas des conditions acceptées par un salarié avec son compte personnel.

Ces questions s’ajoutent à celles de la qualité, traitées dans DeepL, Google ou un LLM : qui traduit le mieux votre métier et mesurer la qualité d’une traduction. Une offre conforme qui traduit mal ne sert à rien ; une offre excellente qui n’offre aucun cadre ne convient pas aux textes personnels.

Les textes qui demandent le plus d’attention

Le support client. C’est le cas le plus courant : chaque message contient un nom, une adresse, un numéro de commande. Le circuit complet est dans traduire ses e-mails et son support client sans recruter.

Les contrats et documents juridiques. Ils cumulent données personnelles et secrets d’affaires, et leur traduction engage l’entreprise : voir traduire un contrat avec l’IA : où elle s’arrête.

Les données d’une application. Les chaînes de l’interface ne posent pas de problème, les contenus saisis par les utilisateurs si : traduire un logiciel en traite la partie technique.

Les nouveaux marchés. Ouvrir un pays hors de l’Union, c’est souvent travailler avec des outils et des prestataires locaux : la question des données se pose dès le départ, comme le montre vendre en Chine ou en Asie du Sud-Est.

Le reste du site, lui, ne contient en général aucune donnée personnelle : pages, fiches produit et articles se traduisent avec l’outil choisi pour sa qualité et son coût, selon traduction automatique ou relue, traduire ses fiches produit pour l’export et traduire un blog entier, avec un glossaire de marque et une mémoire de traduction, qui restent chez vous. Le budget de chaque option est dans traduire un site : le coût au mot, à la page, au marché, et les choix de marché dans mots-clés à l’étranger, localiser plutôt que traduire, ouvrir un marché anglophone et quel marché européen ouvrir d’abord.

Par où commencer

Faites l’inventaire des outils de traduction réellement utilisés dans l’entreprise, y compris ceux que les équipes ont adoptés seules, et notez pour chacun l’offre, le compte (personnel ou entreprise) et les textes qui y passent. Les textes personnels qui passent par une version grand public sont le premier chantier.

Pour mettre en place une traduction qui range chaque texte au bon endroit, du modèle auto-hébergé à l’API au meilleur prix, décrivez-nous vos textes et vos outils actuels : nous partons de votre inventaire, votre délégué à la protection des données garde la décision.

Questions fréquentes

Sources

1. Règlement (UE) 2016/679, texte officiel sur EUR-Lex (nouvel onglet)eur-lex.europa.eu
2. DeepL, politique de confidentialité (nouvel onglet)deepl.com
3. DeepL, sécurité des données Pro (nouvel onglet)deepl.com
4. Google Cloud Translation, utilisation des données (nouvel onglet)docs.cloud.google.com
5. Google, tarifs de la Gemini API (nouvel onglet)ai.google.dev
6. OpenAI, données envoyées à l’API (nouvel onglet)developers.openai.com
7. Anthropic, centre de confidentialité (nouvel onglet)privacy.claude.com
8. CNIL, transferts de données hors UE (nouvel onglet)cnil.fr
9. CNIL, nouvelle décision d’adéquation pour les États-Unis (nouvel onglet)cnil.fr