Où vont mes données si je modernise ? PDPL et plan 90 jours

En modernisant avec l'IA, l'outil lit votre code et parfois des copies de votre base, le plus souvent hors du Royaume. AWS Transform n'a aucune région au Moyen-Orient selon sa page des régions, et la région saoudienne d'AWS est prévue en décembre 2026 selon la Saudi Press Agency. Avant tout envoi : séparez le code des données personnelles, envoyez le minimum et appliquez le règlement sur le transfert des données hors du Royaume.

La sixième partie a préparé la bascule sans arrêt. Cette dernière partie répond à la question des données et transforme les exercices de la série en plan de 90 jours. Pour les bases de la loi, voir notre guide pratique de la PDPL.

Ce qui sort réellement de votre entreprise pendant la modernisation

Le mot données recouvre ici 4 choses différentes, chacune avec son propre risque :

• Le code lui-même : le logiciel écrit par vos développeurs. Il ne contient généralement pas de données clients, mais il peut contenir des mots de passe écrits en dur, les adresses de vos serveurs ou des noms de clients dans les commentaires des développeurs.
• Des copies de la base de données : nécessaires à l'analyse et aux tests, et ce qu'il y a de plus dangereux à envoyer, car elles contiennent les noms, numéros d'identité et numéros de mobile des clients, ainsi que les salaires des employés.
• Vos questions et échanges avec l'outil : tout ce que votre équipe tape dans la fenêtre de discussion, où quelqu'un peut coller un enregistrement réel pour expliquer un problème.
• Les résultats : le nouveau code, la documentation et les règles métier extraites dans la quatrième partie, qui décrivent le fonctionnement interne de votre entreprise.

La règle pratique : le code est nettoyé avant de sortir, et les données réelles ne sortent que s'il n'existe aucune autre solution. Dans la plupart des projets de conversion, une copie masquée suffit pour les tests, c'est-à-dire des données dans lesquelles les vrais noms et numéros ont été remplacés par des valeurs fictives de même forme.

Où un outil comme AWS Transform traite vos données

Nous prenons AWS Transform comme exemple parce qu'Amazon en a publié les détails, et les mêmes questions valent pour tout autre outil. Ce que disent aujourd'hui les pages officielles d'Amazon :

• Lieu de stockage : vos données sont conservées dans la région où vous avez créé l'espace de travail, selon la page sur la protection des données. La page des régions en liste 11, dont Francfort, Londres, Mumbai, Tokyo et la Virginie, certaines pour des fonctions précises uniquement, et aucune au Moyen-Orient.
• Lieu de traitement : la page sur le traitement interrégional explique que l'outil fonctionne avec les modèles d'Amazon Bedrock et que les requêtes et leurs résultats peuvent être traités dans une autre région de la même zone géographique ; une requête partie de Francfort, par exemple, peut être traitée dans 6 régions européennes. La même page annonce qu'à partir du 7 octobre 2026, les requêtes de discussion provenant de Mumbai et de Séoul sont réparties sur toutes les régions commerciales d'AWS, le stockage restant dans la région d'origine.
• Amélioration du service : Amazon indique sur sa page sur l'amélioration du service qu'elle peut utiliser vos questions et le code généré par l'outil pour améliorer le service, y compris pour entraîner des modèles, et que le refus passe par une politique de désactivation des services d'IA dans AWS Organizations, configurée par l'administrateur de votre compte.

Et la région saoudienne d'AWS attendue en décembre 2026 ne signifie pas automatiquement que cet outil y fonctionnera. Ouvrez vous-même la page des régions au lancement de votre projet ; la liste évolue.

Ce que la PDPL exige avant que les données sortent

Si des données personnelles quittent le Royaume, vous les transférez au sens de la loi sur la protection des données personnelles et du règlement sur les transferts, tous deux publiés sur la plateforme nationale de gouvernance des données de la SDAIA. Ce qui compte pour un projet de modernisation, en langage pratique plutôt que juridique :

• Le niveau de protection du pays destinataire : l'autorité compétente publie une liste des pays offrant un niveau de protection adéquat et la révise tous les 4 ans ou au besoin. Sachez où vos données seront traitées, puis vérifiez la liste.
• Les garanties alternatives : dans les cas d'exemption définis par le règlement, le transfert est soumis à des garanties appropriées, au nombre de 3 : les clauses contractuelles types, les règles communes contraignantes au sein d'un groupe de sociétés, ou un certificat d'accréditation du destinataire.
• L'évaluation des risques : le règlement impose au responsable du traitement, c'est-à-dire votre entreprise, une évaluation des risques avant le transfert dans les cas qu'il précise.
• Les données sensibles : certains cas d'exemption excluent expressément les données sensibles, comme les données de santé et les données financières personnelles ; traitez-les avec une prudence accrue.

La plateforme nationale de gouvernance des données propose des services pratiques pour cette étape, dont une analyse d'impact sur le traitement des données personnelles, un outil qui indique si vous devez désigner un délégué à la protection des données et une auto-évaluation de conformité. Nous sommes une entreprise technologique, pas un conseiller juridique : soumettez la décision de transfert à votre délégué à la protection des données ou à votre conseil juridique. Et si vous envisagez d'attendre la région locale, nous avons expliqué ce qu'elle change réellement dans Une région cloud dans le Royaume.

6 questions à poser à tout outil ou prestataire avant d'envoyer quoi que ce soit

1. Dans quelle région nos données sont-elles stockées, et dans quelles régions peuvent-elles être traitées ? Demandez la réponse par écrit avec un lien vers la page officielle.
2. Nos questions ou notre code servent-ils à entraîner des modèles, et comment l'empêcher ?
3. L'analyse peut-elle porter uniquement sur le code, sans copie de la base de données ?
4. Qui, dans notre équipe et chez le prestataire, peut accéder à l'espace de travail, et chaque accès est-il journalisé ?
5. Quand nos données sont-elles supprimées à la fin du projet, et comment vérifier cette suppression ?
6. L'étape sensible peut-elle se dérouler dans le Royaume ou sur nos propres serveurs si nécessaire ?

Si un prestataire refuse de répondre par écrit à l'une de ces questions, c'est déjà une réponse. Pour les options d'hébergement elles-mêmes, consultez notre guide de migration vers le cloud.

Un plan de 90 jours construit à partir des exercices de la série

Ce plan ne modernise pas votre système en 90 jours. Il vous amène à une décision écrite et à un module pilote prêt pour une exploitation en parallèle, et il reprend les exercices des six parties précédentes :

Au 90e jour, vous savez ce que vous ignoriez : ce que vous possédez, ce qui mérite d'être modernisé, et comment les outils d'IA se comportent avec votre propre code plutôt qu'avec les exemples des fournisseurs. C'est seulement alors que toute discussion sur le coût et la durée repose sur votre réalité.

Le regard d'Origami

Nous commençons les projets de modernisation par la carte des données avant celle du code : ce qui sort, vers où et pourquoi. Nous préférons que l'analyse porte sur du code nettoyé et des données masquées, et que les données réelles restent dans votre environnement autant que possible, pour que la rapidité technique ne devienne pas plus tard un problème de conformité.

Nous utilisons les outils d'IA là où ils raccourcissent vraiment le travail, mais la décision de ce qui leur est envoyé reste la vôtre, écrite et signée. Pour voir comment nous travaillons, consultez nos services.

Fin de la série

Nous avons commencé il y a 7 parties avec une seule question : comment moderniser mon ancien système avec l'IA ? La réponse à laquelle nous sommes arrivés : l'IA accélère la lecture, la conversion et les tests, mais les décisions importantes restent entre les mains de ceux qui dirigent l'entreprise : quel système le mérite, quelle règle est juste, qui signe et où vont les données. Vos anciens systèmes ont fait tourner l'entreprise pendant des années, et les moderniser calmement et avec un plan est ce que vous pouvez faire de mieux pour eux. Toutes les parties de la série se trouvent dans le centre de connaissances.

Sources

• Amazon : régions prises en charge par AWS Transform — la liste des régions, sans aucune au Moyen-Orient.
• Amazon : traitement interrégional dans AWS Transform — les régions de traitement et le changement du 7 octobre 2026.
• Amazon : protection des données dans AWS Transform — le lieu de stockage des données.
• Amazon : amélioration du service AWS Transform — l'usage du contenu pour améliorer le service et la manière de le refuser.
• Saudi Press Agency : région AWS en Arabie saoudite en décembre 2026 — 1er septembre 2026.
• SDAIA, plateforme nationale de gouvernance des données : loi sur la protection des données personnelles.
• SDAIA, plateforme nationale de gouvernance des données : règlement sur le transfert des données personnelles hors du Royaume — la liste des pays, les garanties appropriées et l'évaluation des risques.
• Plateforme nationale de gouvernance des données : services et outils.