Le RGPD interdit-il d’utiliser l’IA sur des données clients ?
Non. Le RGPD n'interdit pas l'IA, il encadre la façon dont les données personnelles sont traitées. Un outil d'IA qui lit vos mails est un traitement comme un autre : il doit avoir un but précis, ne traiter que les données utiles, et être confié à un prestataire qui offre des garanties.
Point 1
Où les données sont-elles hébergées ?
C'est la première question à poser. Des données traitées dans l'Union européenne restent sous le régime du RGPD. Un transfert hors de l'Union est possible mais demande des garanties supplémentaires : autant le savoir avant de signer.
Point 2
Y a-t-il un contrat de sous-traitance ?
Quand un prestataire traite des données personnelles pour votre compte, le RGPD impose un contrat qui fixe ce qu'il a le droit d'en faire (article 28). Ce contrat doit exister avant le premier accès aux données, pas après la mise en service.
Point 3
Mes données servent-elles à entraîner le modèle ?
Vérifiez-le noir sur blanc. Les offres professionnelles des grands services d'IA permettent en général d'exclure vos données de l'entraînement, ce n'est pas toujours le cas des versions gratuites grand public. Un salarié qui colle un mail client dans un outil gratuit pose exactement ce problème.
Point 4
Qui a accès, et peut-on couper ?
Chaque accès doit être nominatif, limité à ce qui est nécessaire, et révocable à tout moment. Si le prestataire s'arrête ou si vous changez d'avis, vous devez pouvoir récupérer l'outil et fermer ses accès.
Point 5
Faut-il prévenir les clients ?
Votre politique de confidentialité doit décrire les traitements réalisés, y compris ceux confiés à un outil d'IA. Et si un client échange directement avec une IA, par exemple un assistant qui répond à sa place, il doit le savoir : c'est aussi ce que prévoit le règlement européen sur l'IA.
- Mettre à jour la politique de confidentialité
- Inscrire le traitement au registre des traitements
- Signaler clairement tout échange direct avec une IA
Comment on applique ces règles chez nos clients
Hébergement en Europe, contrat de traitement des données signé avant tout accès, aucune donnée utilisée pour entraîner un modèle, accès nominatifs et révocables. Et on commence toujours en lecture seule : l'outil observe et propose, il ne modifie rien tant que vous n'avez pas validé.