Tous les grands clouds disposent désormais d’infrastructures en Afrique du Sud. Cela ne signifie pas que votre IA s’exécute ici, et cette différence est la première chose que vérifie un acheteur sérieux dans la région.
Une phrase revient dans de nombreuses propositions commerciales dans cette région, y compris certaines des nôtres par le passé, et elle en dit moins qu’il n’y paraît. Elle ressemble toujours peu ou prou à ceci : la plateforme s’exécute dans une région sud-africaine, donc vos données restent en Afrique du Sud.
Les acheteurs d’ici ont commencé à la décortiquer.
Les trois grands clouds ont une présence physique en Afrique du Sud. Les régions Microsoft de Johannesburg et du Cap ont été ouvertes au public (disponibilité générale) en mars 2019. AWS a ouvert sa région du Cap en avril 2020. La région Google de Johannesburg a ouvert ses portes aux clients en janvier 2024.
Les services d’IA relèvent d’une autre question, et les réponses varient.
La documentation de Microsoft sur la prise en charge par région indique qu’Azure AI Foundry, qui couvre les modèles de la famille OpenAI, est pris en charge dans South Africa North mais pas dans South Africa West. Microsoft précise aussi que la présence d’une région dans cette liste ne garantit pas que chaque modèle y soit disponible : la vérification se fait donc modèle par modèle, la région ne suffit pas.
AWS a rendu Amazon Bedrock disponible pour ses clients dans la région du Cap en novembre 2025. En janvier 2026, AWS a publié une description de son fonctionnement, et c’est le paragraphe le plus utile qu’un fournisseur ait écrit sur le sujet. Les requêtes partent du Cap, mais l’inférence elle-même s’exécute selon un routage interrégional mondial, ce qui signifie que le calcul du modèle a lieu dans d’autres régions AWS. Les journaux, la configuration et le contenu stocké des bases de connaissances restent en local. AWS indique clairement que les clients doivent évaluer si cette approche est compatible avec leurs obligations réglementaires, et cite POPIA à cette occasion.
C’est un fournisseur qui vous dit, dans sa propre documentation, que le raccourci marketing ne tient pas.
Lors du lancement de la région de Johannesburg, la communication de Google évoquait l’arrivée de capacités d’IA générative pour les clients de la région. Nous n’avons pas pu confirmer, à partir de la documentation de Google sur la prise en charge par région, quels modèles génératifs sont servis depuis Johannesburg même : nous classerions donc ce point dans la colonne « à vérifier avant de s’y fier ».
L’article 72 n’interdit pas d’envoyer des informations personnelles hors d’Afrique du Sud. Il l’autorise sur cinq fondements : le destinataire est soumis à une loi, à des règles d’entreprise contraignantes ou à un accord offrant une protection substantiellement similaire, assortie de restrictions sur les transferts ultérieurs ; la personne concernée y consent ; le transfert est nécessaire à l’exécution d’un contrat avec la personne concernée ; il est nécessaire à un contrat conclu dans l’intérêt de la personne concernée ; ou il sert l’intérêt de la personne concernée lorsque son consentement est impossible à obtenir en pratique.
Relisez cette liste à la lumière d’une architecture d’inférence interrégionale. Un centre de données à Johannesburg ne figure pas parmi les cinq fondements. Ce que ces fondements exigent, c’est une réponse documentée sur la partie destinataire et sur la protection contractuelle en place, un travail tout autre que le choix d’une région dans une liste déroulante.
L’Information Regulator n’a pas publié la note d’orientation sur les flux transfrontaliers attendue depuis longtemps, si bien qu’aucun raccourci n’est disponible. Entre-temps, le Regulator s’est montré actif sur d’autres plans : signalement obligatoire des violations de données via son propre canal depuis avril 2025, règlements modifiés le même mois et, en novembre 2025, un rapport conjoint des régulateurs financiers sur les risques et les opportunités de l’IA, document d’orientation sans force obligatoire.
Pour quiconque opère au-delà des frontières, et en particulier sur les marchés francophones et d’Afrique de l’Est, la divergence compte davantage que la position sud-africaine.
Le Data Protection Act du Kenya est globalement un régime de transfert encadré par des garanties, mais son article 50 exige que les données personnelles d’intérêt stratégique pour l’État, notamment l’état civil, les élections, les finances publiques, l’enseignement de base et les soins de santé primaires, soient traitées sur un serveur situé au Kenya, ou qu’au moins une copie de service soit conservée dans le pays. C’est une exigence ferme, et elle touche de plein fouet les projets du secteur public.
Le Data Protection Act du Nigeria n’impose pas de localisation générale. La directive d’application publiée par sa Commission en mars 2025 lie les exigences de consentement à l’absence de décision d’adéquation et impose que les accords de traitement précisent où le traitement a lieu : une obligation de rédaction discrète, mais lourde de conséquences.
L’Égypte applique un modèle de licence, qui exige une licence de transfert transfrontalier et la désignation d’un délégué à la protection des données sur place. Ses détracteurs estiment que le niveau des redevances revient à imposer la localisation par un autre moyen.
Maurice, où nous sommes également présents, suit le modèle européen de plus près que l’Afrique du Sud. Les transferts reposent sur la preuve de garanties appropriées fournie au Commissioner, sur un consentement explicite ou sur des motifs de nécessité. Il n’existe pas de liste blanche de pays approuvés : chaque dispositif est donc évalué selon ses propres termes.
À l’échelle continentale, la Convention de Malabo est entrée en vigueur en juin 2023, lorsque la Mauritanie est devenue le quinzième État à la ratifier, et comptait au moins seize ratifications à la mi-2024. Ni l’Afrique du Sud ni le Kenya n’en font partie. La stratégie continentale de l’Union africaine en matière d’IA a été approuvée par les ministres en juin 2024. Les deux textes indiquent une direction. Un responsable de la conformité ne peut encore s’appuyer ni sur l’un ni sur l’autre.
Rien de ce qui suit n’est exotique.
Nous établissons où l’inférence a physiquement lieu avant que l’architecture soit arrêtée, et nous consignons la réponse par écrit. Notre source est la documentation du fournisseur ; ses supports commerciaux n’entrent pas en ligne de compte.
Pour les catégories de données où la réponse juridique est défavorable ou incertaine, nous gardons la possibilité d’un traitement qui ne quitte pas du tout l’environnement. Tout ne nécessite pas les modèles les plus avancés, et un modèle plus modeste qui lit des connaissances locales bien gouvernées est souvent, de toute façon, la meilleure réponse.
Nous nommons le fondement du transfert dans le document de conception. Si la réponse est le consentement, quelqu’un doit le recueillir. Si c’est la protection contractuelle, quelqu’un doit produire le contrat. Trancher la question pendant la conception coûte un après-midi. La trancher pendant la revue de sécurité d’un client coûte un trimestre.
Sur nos propres missions, cela devient une section fixe du document de conception pour toute charge de travail Azure ou IA, remplie avant la validation de l’architecture, et notre chaîne de livraison nomme déjà le régime de protection des données applicable et dimensionne le travail en conséquence dès le premier découpage. Les contenus sensibles des clients restent sur notre locataire, conformément à notre politique d’IA responsable, et les contrôles que nous appliquons sont résumés sur la page confiance et sécurité. Pour les clients qui migrent des charges de travail, la même question de résidence constitue la première étape d’une mission de migration et modernisation cloud.
Une fois établi où les choses s’exécutent, le prochain article porte sur la façon dont elles sont construites, et sur les raisons qui nous font préférer l’extension de ce qui fonctionne déjà à un départ depuis un dépôt vide.
Fait partie de la série Insights. Recevez les nouvelles analyses par e-mail ou suivez le flux RSS.
La SARS a soumis à consultation un modèle de TVA numérique. Ce n’est pas une obligation et aucune date n’est confirmée, mais l’orientation est assez nette pour que la finance et l’informatique s’y penchent dès maintenant, sans attendre 2029.
Dernier de trois articles. Un processus peut devenir spectaculairement plus rapide sans que l’entreprise avance vraiment. Le chiffre le plus modeste impressionnait beaucoup moins et servait beaucoup plus.
Deuxième volet sur trois. Nous avons comparé ce que nous avions produit à ce qui nous avait réellement été demandé. Une grande part ne correspondait à aucune question, et cela a changé notre façon de choisir sur quoi travailler.
