Le ZDR est-il obligatoire pour être conforme RGPD ?

Non, pas directement. Le RGPD impose la minimisation des données et le droit à l'effacement, mais pas la rétention zéro. Cela dit, le ZDR simplifie énormément la mise en conformité parce qu'il rend le droit à l'effacement automatique. Pour les données sensibles de l'article 9 RGPD, le ZDR est presque toujours requis pour défendre le sous-traitement.

Quelle différence entre ZDR et hébergement européen ?

L'hébergement européen garantit que vos données restent physiquement sur le territoire de l'UE. Le ZDR garantit que vos données ne sont pas conservées du tout. Ce sont deux dimensions différentes et complémentaires. Idéalement, vous voulez les deux pour les usages sensibles.

Le ZDR coûte combien plus cher ?

Variable selon le fournisseur. Anthropic facture le ZDR contractuel uniquement aux Enterprise Agreements, ce qui implique généralement un engagement minimum de volume. Mistral et les providers européens ZDR ont un premium de 20 à 50% versus leur offre standard. Sur OpenRouter, certains modèles open source ZDR sont au même prix que la version standard du même modèle.

Peut-on faire du ZDR en self-hosting ?

Oui, et c'est l'option la plus radicale. Faire tourner un modèle open source (Llama, Mistral, DeepSeek) sur vos propres serveurs garantit le ZDR par construction, puisque rien ne sort de votre infra. Inconvénient : les modèles puissants ont besoin de hardware coûteux, et la maintenance est lourde. À envisager si vous avez un volume conséquent et des données ultra sensibles.

Comment vérifier qu'un fournisseur respecte vraiment son engagement ZDR ?

Trois leviers. Demandez un contrat ZDR signé, pas une simple politique publique. Demandez un rapport SOC 2 Type II ou ISO 27001 qui audite la politique de rétention. Si vous êtes vraiment exposé, demandez un pentest tiers sur la non-rétention. Les Enterprise Agreements sérieux acceptent ces demandes sans broncher.

Zero Data Retention (ZDR) : votre entreprise en a-t-elle vraiment besoin pour utiliser l’IA ?

Dernière mise à jour : 19 mai 2026 par Sophie.

TL;DR

Le Zero Data Retention (ZDR) garantit que vos données ne sont jamais stockées par le fournisseur d’IA après le traitement de votre requête. C’est devenu un critère décisionnel pour quatre cas : données de santé, NDA stricts, secteurs régulés, et données personnelles RGPD sensibles. Pour le reste, ça reste du confort. Cet article donne le framework pour décider, les providers qui proposent un vrai ZDR en 2026, et pourquoi le ZDR seul ne suffit pas à garantir la souveraineté de vos données.

Le ZDR, c’est quoi exactement ?

Le Zero Data Retention est un engagement contractuel et technique du fournisseur d’IA : vos données passent par ses serveurs pour générer une réponse, et elles sont effacées immédiatement après. Aucun stockage, aucune copie, aucun log persistant.

Trois niveaux de confidentialité coexistent dans le marché, et beaucoup d’entreprises les confondent.

Niveau 1 : opt-out training. Le fournisseur n’utilise pas vos données pour entraîner ses modèles, mais il les conserve dans ses logs pour la durée standard (souvent 30 jours). C’est le défaut chez OpenAI Business, Anthropic API, Mistral La Plateforme. Utile mais insuffisant si vous manipulez des données sensibles.

Niveau 2 : pas de log applicatif. Le fournisseur ne garde pas vos prompts dans ses logs, sauf cas d’abus détecté. C’est ce que propose Anthropic par défaut sur l’API commerciale depuis 2024.

Niveau 3 : ZDR contractuel. Aucune donnée n’est conservée, même pas en mémoire transitoire au-delà du traitement de la requête. Engagement contractuel signé, généralement réservé aux Enterprise Agreements ou aux providers européens qui en font leur positionnement.

Le ZDR vrai est rare et payant. Beaucoup d’acteurs marketent du Niveau 1 en l’appelant ZDR. Lisez toujours la politique de rétention officielle, pas la page produit.

Comment ça marche techniquement

Sans ZDR, le cycle de vie d’une requête IA ressemble à ça :

Vous envoyez un prompt à l’API
Le prompt est routé vers un serveur GPU
Le modèle génère une réponse
Le prompt et la réponse sont écrits dans des logs (sécurité, debug, abus)
Les logs sont conservés 30 à 90 jours
Certaines requêtes peuvent être revues par des humains pour améliorer la qualité

Avec ZDR strict :

Vous envoyez un prompt à l’API
Le prompt est traité en mémoire vive uniquement
La réponse est générée
Le prompt et la réponse sont effacés dès la réponse retournée
Aucun log applicatif n’est conservé

La nuance importante : même en ZDR, certains fournisseurs gardent des métadonnées techniques (timestamp, nombre de tokens, identifiant d’organisation). Ce n’est pas un problème pour le RGPD, mais il faut le savoir.

Le ZDR n’efface pas non plus l’historique de vos propres conversations dans l’interface que vous utilisez. Si vous passez par une app desktop ou web qui stocke vos chats localement, ces données restent chez vous. Le ZDR concerne uniquement ce qui se passe côté serveur du fournisseur du modèle.

Quand votre entreprise en a vraiment besoin

Voici le framework décisionnel à appliquer.

Vous devez exiger du ZDR si vous répondez OUI à une de ces quatre questions.

1. Manipulez-vous des données de santé identifiables ?

Dossier médical, identifiant patient, antécédents, résultats d’analyses. La conformité HIPAA aux US et la directive RGPD spéciale “données sensibles” en Europe imposent une rétention minimale chez le sous-traitant. Sans ZDR, vous transférez la responsabilité juridique vers un sous-traitant que vous ne contrôlez pas.

2. Avez-vous signé des NDA stricts avec vos clients ?

Beaucoup de contrats enterprise B2B contiennent une clause “no third-party processing without prior consent”. Si votre client n’a pas signé un Data Processing Agreement avec OpenAI, et que vous envoyez ses données dans ChatGPT pour écrire un email, vous êtes en breach. Le ZDR documenté contractuellement permet de défendre le sous-traitement.

3. Travaillez-vous dans un secteur régulé ?

Banque, assurance, juridique, défense, recherche pharma, services aux administrations publiques. Les régulateurs imposent une chaîne de sous-traitance traçable. ACPR, AMF, CNIL, EBA, EMA, FDA, tous regardent la rétention des sous-traitants IA depuis 2025.

4. Manipulez-vous des données personnelles sensibles RGPD ?

Origine raciale, opinions politiques, religion, orientation sexuelle, données biométriques, données pénales. L’article 9 du RGPD interdit le traitement par défaut. Le ZDR contractuel est l’un des rares moyens de prouver que le sous-traitant ne conserve pas ces données.

Si vous répondez NON aux quatre questions, vous n’avez probablement pas besoin du ZDR. Voici les cas où c’est de la paranoïa qui coûte du temps et de l’argent :

Brainstorming marketing sur des produits déjà publics
Génération de descriptions e-commerce
Aide à la rédaction d’articles blog
Traduction de contenu public
Réponses standards au service client sans données client sensibles

Pour ces usages, un opt-out training simple suffit. Vous payez souvent 30 à 50% plus cher pour du ZDR strict, sans bénéfice réel.

Quels providers proposent du vrai ZDR en 2026

Le marché a beaucoup évolué en 2025. Voici l’état au moment où on écrit, sachant que les politiques changent vite. Vérifiez toujours la politique officielle avant signature.

Anthropic (Claude API) propose du ZDR sur Enterprise Agreement et sur les comptes Commercial Organization avec contrat signé. La politique par défaut sur l’API commerciale est déjà “no training, logs supprimés 30 jours”. Le ZDR contractuel pousse à zéro log.

OpenAI propose du ZDR uniquement via Azure OpenAI Service avec un Enterprise Agreement Microsoft. Pas de ZDR direct sur ChatGPT Plus ou Business standard. Le contrat est lourd à négocier sous 500K USD de volume annuel.

Mistral AI propose du ZDR sur abonnement Enterprise via La Plateforme. C’est l’option européenne la plus mature, hébergée en France, et conforme RGPD by design. Recommandé si vous cherchez une solution européenne sans Big Tech.

OpenRouter route les requêtes vers une centaine de providers tiers. Filtrer sur “ZDR providers” donne accès à plusieurs modèles open source (Llama, DeepSeek, GLM, Qwen) hébergés sur des serveurs ZDR. Solution pragmatique pour qui veut tester sans engagement.

LLM Bay (France) et Infomania (Suisse) sont deux providers européens 100% hébergement local avec ZDR par défaut. Pertinents pour les secteurs sensibles francophones (juridique, santé, secteur public).

Vercel AI Gateway propose du ZDR sur ses plans Pro et Enterprise, qui route lui-même vers les providers ZDR. Utile si vous construisez une app et que vous voulez abstraire le choix du provider.

À éviter pour des données vraiment sensibles : les interfaces grand public (ChatGPT Free et Plus, Claude Free et Pro, Gemini standard). Aucune ne propose du ZDR sur l’abonnement utilisateur. Pour ces cas, il faut passer par les API commerciales avec contrat dédié.

Le ZDR seul ne suffit pas

Le ZDR couvre uniquement la rétention côté fournisseur du modèle. La souveraineté de vos données dépend d’une chaîne complète, et le maillon faible casse toute la sécurité.

La checklist à parcourir avant un déploiement IA en environnement sensible :

Le fournisseur du modèle a-t-il un ZDR contractuel signé ? Le contrat, pas la page marketing.

L’interface utilisée stocke-t-elle des chats localement ou dans son cloud ? ChatGPT Plus stocke tout par défaut. Claude Pro aussi. Une interface comme OpenCode Desktop ou Prisma Workspace garde tout en local sur votre ordinateur.

Les outils connectés (MCPs, plugins, intégrations) respectent-ils la même politique ? Beaucoup de plugins tiers envoient les prompts à leurs propres serveurs avant de les router au modèle.

Vos équipes ont-elles été formées au tri des données ? La meilleure stack ZDR du monde ne protège pas contre un collaborateur qui copie-colle un contrat client confidentiel dans ChatGPT Free pour se faire un résumé.

Y a-t-il un système de logs internes côté entreprise ? Pour pouvoir auditer en cas de fuite, vous devez savoir quel collaborateur a envoyé quelle donnée à quel modèle, et quand. Indépendamment du ZDR du fournisseur.

Le ZDR est un prérequis nécessaire mais pas suffisant. La vraie souveraineté est une politique d’entreprise, pas un bouton à activer.

Comment Kreante aborde la question

Chez Kreante, agence low-code et IA basée à Miami, on commence toujours un projet IA sensible par un audit de maturité IA. C’est la Phase 01 de notre framework AI-Native, construit à partir de centaines de projets clients.

L’audit pose trois questions concrètes : quelles données vont passer dans l’IA, quel niveau de confidentialité contractuel l’entreprise s’est engagée à respecter, et quels outils sont déjà utilisés en interne sans contrôle (Shadow AI).

Sur la base de cet audit, on définit la stack adaptée. Un cabinet d’avocats parisien qui manipule des dossiers contentieux n’a pas le même besoin qu’un e-commerce qui veut générer des descriptions produits. Le premier va sur Mistral Enterprise ou LLM Bay avec ZDR signé. Le second peut rester sur ChatGPT Business avec opt-out training.

On voit trop d’entreprises sur-payer pour du ZDR enterprise dont elles n’avaient pas besoin, et trop d’autres pousser des données ultra sensibles dans des outils grand public sans s’en rendre compte. Le ZDR n’est pas une réponse binaire. C’est un curseur à positionner en fonction de la réalité de vos données.

Conclusion

Le ZDR est un outil puissant pour les entreprises qui en ont besoin, et un coût inutile pour celles qui n’en ont pas besoin. Avant de vous engager, posez-vous les quatre questions du framework. Si vous répondez OUI à une, exigez du ZDR contractuel. Sinon, un opt-out training standard suffit.

Et n’oubliez pas que le ZDR n’est qu’un maillon de la chaîne. La souveraineté de vos données dépend autant de vos interfaces, de vos équipes et de vos process internes que du fournisseur de modèle.

Pour faire le point sur votre usage IA actuel et savoir où vous vous situez en termes de souveraineté, Kreante propose un audit AI maturity gratuit. 60 minutes, en français, sans engagement.

Zero Data Retention (ZDR) : votre entreprise en a-t-elle vraiment besoin pour utiliser l'IA ?