Accueil / Conformité RGPD

IA RH et RGPD : ce que chaque éditeur publie

Avant d'acheter une IA qui lira des données de salariés, votre DPO posera quatre questions : où sont hébergées les données, quel accord de sous-traitance encadre le traitement, une analyse d'impact est-elle fournie, quelles certifications l'éditeur peut-il produire. Voici ce que les 76 éditeurs de la base publient sur ces points.

Tableau classé par note de conformité ia-rh (hébergement, page sécurité, DPA, AIPD, certifications), du plus haut au plus bas. « Non communiqué » signifie que l'éditeur ne publie pas l'information, pas qu'elle n'existe pas. Définition complète. Vérifié le 4 novembre 2026

Hébergées en France ou dans l'UE: 42
Hébergées hors UE ou au choix: 12
DPA téléchargeable: 13
DPA sur demande: 14
Certifications publiées: 49
AIPD fournie: 1

Le tableau complet

Solution	Hébergement	DPA	AIPD	Certifications	Note conformité
Swiftask	FranceHébergement en France chez DRI, modèles auto-hébergés ou déploiement sur site possibles en formule Tailored	Public	Non communiqué	SOC 2	85
Jimini	FranceScaleway, France ; requêtes traitées dans l'UE par les fournisseurs de modèles, sans conservation ni entraînement	Sur demande	Non communiqué	ISO 27001:2022	78
Ordalie	FranceS3NS (groupe Thales), offre PREMI3NS qualifiée SecNumCloud ; déploiement sur site ou privé possible en Enterprise	Sur demande	Non communiqué	SOC 2 Type II, ISO 27001	78
Deel Compliance Hub	UEInfrastructure AWS, opérations principales en Irlande et site de reprise après sinistre en France	Public	Non communiqué	ISO 27001, SOC 1, SOC 2, SOC 3	75
Juro	UEAWS région Europe (Irlande, eu-west-1) ; certains sous-traitants hors EEE avec garanties de transfert	Public	Non communiqué	SOC 2 Type II	75
Leapsome	UEPlateforme hébergée en Allemagne ; certaines fonctions IA passent par un prestataire hors UE sous clauses contractuelles types	Public	Non communiqué	ISO 27001, SOC 2 Type II	75
Oneflow	UEAWS, centres de données en Irlande et en Suède ; sous-traitants IA optionnels Legly (Allemagne) et OpenAI (États-Unis)	Public	Non communiqué	ISO 27001, ISO 9001, ISO 14001	75
Personio	UEFrancfort, instance AWS de Personio, données sans sortie de l'UE	Public	Non communiqué	ISO 27001, ISO 27017	75
AgentRH	UEMicrosoft Azure, Europe de l'Ouest	Sur demande	Oui	Non communiqué	73
360Learning	FranceMicrosoft Azure France Central (Paris) pour les clients français, secours en North Europe (Irlande) ; Central US pour les clients américains	Non communiqué	Non communiqué	ISO 27001, SOC 2 Type II	70
Eurécia	FranceDonnées stockées en France ; Zelkia hébergé en France sans transfert hors UE	Non communiqué	Non communiqué	Cyblex	70
PayFit (PayFit AI)	FranceAWS, trois centres de données en France	Non communiqué	Non communiqué	ISO 27001	70
Silae	FranceMicrosoft Azure en France ; solutions de dématérialisation sur un datacenter TIER 3+ d'Orange Business	Non communiqué	Non communiqué	ISO 27001, NF Z42-013, NF Z42-020, AFAQ VP2 (AFNOR, RGPD)	70
Tomorro	FranceAWS eu-west-3 (Paris), sauvegardes AWS eu-central-1 (Francfort)	Non communiqué	Non communiqué	ISO 27001	70
Zola IA	FranceDonnées hébergées en France sur des serveurs certifiés, traitements de Zola IA hébergés en France	Non communiqué	Non communiqué	ISO 27001	70
Aoria RH	FranceOVHcloud à Roubaix ; génération des réponses par OpenAI et embeddings par Voyage AI, aux États-Unis, sous clauses contractuelles types	Sur demande	Non communiqué	Non communiqué	68
HiBob (Bob)	UEAWS Irlande (principal), Allemagne en secours, reprise d'activité sur AWS Francfort	Sur demande	Non communiqué	ISO 27001, ISO 27018, ISO 42001, SOC 1 Type 2, SOC 2 Type 2	68
Lucca (Ask Lucca)	UEOVH à Roubaix (France) et Limburg (Allemagne) pour la production hors Suisse ; Azure Zurich et Genève pour les clients suisses	Sur demande	Non communiqué	ISO 27001:2022	68
Microsoft 365 Copilot	UEService EU Data Boundary pour les clients UE, données au repos stockées dans l'EU Data Boundary ; le flex routing (activé par défaut pour les tenants créés après le 25/03/2026, désactivable par l'administrateur) peut envoyer l'inférence aux États-Unis, au Canada ou en Australie en période de pic. Modèles Anthropic exclus de l'EU Data Boundary	Sur demande	Non communiqué	ISO 27001, ISO 42001	68
Siit	UEAWS région eu-west-1 (Europe), séparation logique des clients	Sur demande	Non communiqué	SOC 2 Type II	68
Witivio AI Desk Pro	UEMicrosoft Azure, données stockées dans des centres UE ou Suisse : France Central, West Europe ou Switzerland North au choix (page confiance) ; North Europe ou France Central (page sécurité d'AI Desk Pro)	Sur demande	Non communiqué	ISO 27001	68
Deel (Engage et AI Workforce)	UEAWS, opérations principales en Irlande, site de reprise après sinistre en France	Non communiqué	Non communiqué	ISO 27001, SOC 1, SOC 2, SOC 3	60
Factorial (Factorial One)	UETraitements de l'agent One en Suède via Azure OpenAI	Non communiqué	Non communiqué	ISO 27001, SOC (badge AICPA, type non précisé)	60
Lexis+ avec Protégé (ex Lexis+ AI)	UEMicrosoft Azure et AWS Bedrock, hébergement intégralement en Europe sans transfert vers les États-Unis ; échanges effacés après 90 jours	Non communiqué	Non communiqué	ISO 27001, SOC 2 Type II	60
OBBOT	Francecomptes, conversations et documents hébergés en France, chiffrés en transit et au repos ; hébergeur non nommé	Non communiqué	Non communiqué	Non communiqué	60
Workday HCM	UEOffre EU Sovereign Cloud disponible, hébergée dans le Brandebourg (Allemagne) sur AWS	Non communiqué	Non communiqué	ISO 27001, ISO 27017, ISO 27018, ISO 27701, ISO 42001, SOC 1 Type II, SOC 2 Type II, SOC 3, CSA STAR niveau 1, EU Cloud Code of Conduct, TISAX	60
Heeya	Francedocuments, conversations et embeddings stockés chez OVH en France ; messages traités par Google et OpenAI, transferts sous clauses contractuelles types ou Data Privacy Framework	Sur demande	Non communiqué	Non communiqué	58
LamyLia (Lamy Liaisons)	UEcloud privé européen réservé au groupe, données stockées aux Pays-Bas	Sur demande	Non communiqué	Non communiqué	58
Magic RH	Francedonnées hébergées en France selon l'éditeur ; site hébergé par AWS EMEA	Sur demande	Non communiqué	Non communiqué	58
Cegid HR	UEHébergement en Europe ; solutions Cegid déployées sur Microsoft Azure	Non communiqué	Non communiqué	ISO 27001	50
Dydu	Francedonnées hébergées en France selon la page IA générative de l'éditeur	Non communiqué	Non communiqué	Non communiqué	50
LégiPilot	FranceDonnées hébergées en France, chiffrées ; site hébergé chez Scaleway (Paris)	Non communiqué	Non communiqué	Non communiqué	50
LégiSocial	FranceDeux centres de données en France exploités par la filiale NetLEGIS Labs	Non communiqué	Non communiqué	Non communiqué	50
Lexbase Intelligence	FranceAWS Paris, prompts et documents chiffrés sur des serveurs en France (hébergeur certifié ISO 27001, 27017, 27018 et 9001)	Non communiqué	Non communiqué	Non communiqué	50
Neocase HR	UEEurope pour les clients EMEA, États-Unis pour l'Amérique du Nord ; instance d'agent dédiée par client, données non utilisées pour l'entraînement	Non communiqué	Non communiqué	ISO 27001	50
Freshservice pour les RH (Freddy AI Agent)	MondeAWS, régions au choix : États-Unis, Union européenne, Australie, Inde, Moyen-Orient	Public	Non communiqué	ISO 27001, ISO 27701, SOC 1 Type II, SOC 2 Type II, SOC 3, CSA STAR niveau 1, Cyber Essentials Plus	45
Ironclad	USGoogle Cloud Platform aux États-Unis, sur plusieurs zones	Public	Non communiqué	SOC 1, SOC 2 Type II, CSA STAR niveau 1	45
SpotDraft	MondeCentres de données aux États-Unis, dans l'UE, en Inde et au Moyen-Orient	Public	Non communiqué	ISO 27001:2022, SOC 2 Type II	45
Zendesk pour les RH (Employee Service)	MondeOption payante de choix de localisation des données : États-Unis, APAC, Espace économique européen ou Royaume-Uni	Public	Non communiqué	ISO 27001, ISO 27017, ISO 27018, ISO 27701, ISO 42001, SOC 2 Type II, HDS, FedRAMP LI-SaaS, CSA STAR	45
AskRH Copilot	UEEurope, Francfort	Non communiqué	Non communiqué	Non communiqué	40
Chatbot RH mpleo	UEDonnées clients stockées en France et dans l'Union européenne, sur des infrastructures certifiées ISO 27001	Non communiqué	Non communiqué	Non communiqué	40
GenIA-L (Lefebvre Dalloz)	UEinfrastructure, application et modèle de langage hébergés exclusivement en Europe selon l'éditeur	Non communiqué	Non communiqué	Non communiqué	40
Laboris	UEDonnées hébergées dans l'Union européenne, prestataire non communiqué ; auto-hébergement possible sur l'offre Enterprise ; données clients non utilisées pour entraîner les modèles	Non communiqué	Non communiqué	Non communiqué	40
Microsoft Employee Self-Service Agent	UEAgent exécuté dans Microsoft 365 Copilot, service EU Data Boundary pour les clients UE, et dans un environnement Copilot Studio (Power Platform) : couvert par l'EU Data Boundary seulement si l'adresse de facturation est dans l'UE ou l'AELE et si tous les environnements sont créés dans une région de l'UE. L'IA générative peut être configurée pour traiter des données hors de la zone en cas de capacité limitée (flex routing, désactivable par l'administrateur)	Non communiqué	Non communiqué	Non communiqué	40
Tissot CSE IA	UEInfrastructure européenne, sans réutilisation des données clients pour l'entraînement	Non communiqué	Non communiqué	Non communiqué	40
Workelo	UEPages produit (plateforme et Insights) : données hébergées et traitées en France ; page IA : données hébergées en Europe. Zone retenue : UE, la plus prudente des deux	Non communiqué	Non communiqué	Non communiqué	40
Agentforce for HR Service	Non communiqué	Public	Non communiqué	ISO 27001, SOC 2	35
Rezolve.ai (Sidekick)	Non communiqué	Public	Non communiqué	SOC 2 Type II, ISO 27001	35
Workativ	Non communiqué	Public	Non communiqué	SOC 2 Type II, ISO 27001, ISO 27701	35
Docusign IAM	MondeCinq régions au choix (États-Unis, Canada, Europe, Australie, Japon), IAM disponible dans les cinq ; migration des transactions vers Microsoft Azure	Non communiqué	Non communiqué	ISO 27001, ISO 27017, ISO 27018, SOC 1 Type II, SOC 2 Type II, PCI DSS, C5, FedRAMP, CSA STAR, BCR	30
Espressive Barista (BaristaGPT pour les RH)	USAWS GovCloud aux États-Unis, région non précisée	Non communiqué	Non communiqué	SOC 2 Type 2, ISO 20243, CSA STAR niveau 1	30
Moveworks for HR	MondeAWS, régions au choix dont EU Commercial	Non communiqué	Non communiqué	ISO 42001, ISO 27001, ISO 27017, ISO 27018, ISO 27701, SOC 2 Type 2, CSA STAR Level 2, FedRAMP	30
Rippling	USAWS, centres de données aux États-Unis sur plusieurs zones de disponibilité	Non communiqué	Non communiqué	ISO 27001, ISO 27018, ISO 42001, SOC 1 Type II, SOC 2 Type II, SOC 3, CSA STAR niveau 2	30
SAP SuccessFactors	MondeCentres de données dans le monde, dont en Europe Amsterdam (colocation et Google Cloud), Francfort (SAP Cloud Infrastructure et Google Cloud), St. Leon-Rot (SAP) et Zurich (Azure)	Non communiqué	Non communiqué	C5 Type 2	30
ServiceNow HR Service Delivery	MondeCentres de données ServiceNow organisés en paires haute disponibilité dans plusieurs régions du monde. Hébergement dans l'UE possible au choix du client (sites ServiceNow situés dans l'UE ou environnements AWS, GCP, Azure en région UE), non garanti par défaut. L'option ServiceNow Protected Platform EU (SPP EU), à souscrire par avenant contractuel au niveau du compte, ajoute un support assuré depuis l'UE. La paire Dublin et Amsterdam annoncée en 2020 n'est pas nommée dans la documentation actuelle.	Non communiqué	Non communiqué	ISO 27001, ISO 27018, SOC 1, SOC 2 Type 2	30
eesel AI	USAWS en Virginie du Nord par défaut ; espaces UE stockés sur AWS en Irlande, résidence UE complète sur l'offre Enterprise	Sur demande	Non communiqué	Non communiqué	28
G-P Gia	Non communiqué	Non communiqué	Non communiqué	SOC 2 (niveau G-P, certification formelle de Gia en cours), ISO 27001, ISO 42001	20
HeyTeam	Non communiqué	Non communiqué	Non communiqué	ISO 27001	20
Inbenta Employee Agent	Non communiquéAWS, région non précisée	Non communiqué	Non communiqué	ISO 27001, ISO 27017, ISO 27701, TISAX	20
Leena AI	Non communiquéAWS, région non précisée	Non communiqué	Non communiqué	ISO 27001, ISO 27017, ISO 27018, ISO 27701, SOC 1, SOC 2 Type II, CSA STAR	20
UKG Pro	Non communiquéRégion d'hébergement non communiquée ; Google Cloud est choisi comme fournisseur principal pour l'IA et l'analyse de données	Non communiqué	Non communiqué	ISO 27001, ISO 27017, ISO 27018, SOC 2, SOC 3	20
Zucchetti HR (Infinity)	Non communiqué	Non communiqué	Non communiqué	ISO 27001, ISO 27017, ISO 27701, ISO 9001, ISO 22301, ISO 20000-1, ISAE 3402 Type II, UNI/PdR 125:2022	20
Sesame HR	Non communiqué	Sur demande	Non communiqué	ISO 27001	18
Doctrine	Non communiqué	Non communiqué	Non communiqué	ISO 27001	10
IBM watsonx Orchestrate pour les RH	MondeService managé multicloud sur IBM Cloud ou AWS, ou déploiement sur site ; régions non précisées sur la page tarifs	Non communiqué	Non communiqué	Non communiqué	10
Oracle Fusion Cloud HCM	Non communiquéOracle Cloud Infrastructure (OCI), région nc	Non communiqué	Non communiqué	SOC 1, SOC 2	10
Predictice (Assistant Predictice)	Non communiqué	Non communiqué	Non communiqué	ISO 27001	10
UPDF générateur de contrat de travail IA	Non communiqué	Non communiqué	Non communiqué	ISO 27001	10
ADP Lyric HCM	Non communiqué	Non communiqué	Non communiqué	Non communiqué	0
Afluence	Non communiquéprestataire d'hébergement non nommé dans la politique de confidentialité	Non communiqué	Non communiqué	Non communiqué	0
Hello AI Assistant RH	Non communiquéfonctionne dans les systèmes du client, sans stockage dans un cloud externe selon l'éditeur	Non communiqué	Non communiqué	Non communiqué	0
Omnisian Copilote RH	Non communiquédéploiement au choix en SaaS souverain, cloud privé ou sur site ; traitement en mémoire sans rétention ; localisation et hébergeur non précisés	Non communiqué	Non communiqué	Non communiqué	0
RF AlterEgo RH	Non communiqué	Non communiqué	Non communiqué	Non communiqué	0
Solution RH Lefebvre Dalloz	Non communiqué	Non communiqué	Non communiqué	Non communiqué	0
Talentia HCM	Non communiqué	Non communiqué	Non communiqué	Non communiqué	0
WEKA Assistant IA	Non communiqué	Non communiqué	Non communiqué	Non communiqué	0

Questions fréquentes

Faut-il une AIPD pour déployer une IA dans un service RH ?

L'article 35 du RGPD impose une analyse d'impact quand un traitement est susceptible d'engendrer un risque élevé pour les personnes. Une IA qui traite des données de salariés à grande échelle, ou qui intervient dans des décisions qui les concernent, entre souvent dans ce cas. La décision revient au responsable de traitement, avec l'avis du DPO.

Quelle différence entre un DPA public et un DPA sur demande ?

Le DPA est l'accord de sous-traitance prévu par l'article 28 du RGPD. Public, il est téléchargeable avant toute discussion commerciale et votre DPO peut l'analyser en amont. Sur demande, il est transmis pendant la négociation ou annexé au contrat.

Un hébergement dans l'Union européenne suffit-il ?

C'est un critère important mais pas suffisant : il faut aussi regarder où le modèle d'IA est exécuté, qui sont les sous-traitants ultérieurs et si des transferts hors UE restent possibles, par exemple pour le support ou le traitement des requêtes.

Que change l'AI Act pour les outils RH ?

Le règlement européen sur l'IA classe à haut risque certains usages liés à l'emploi, notamment le recrutement et les décisions qui affectent la relation de travail. Ces systèmes sont soumis à des obligations renforcées de documentation, de supervision humaine et de gestion des risques.