Agents IA et RGPD : peut-on confier ses données clients à une IA ?

C'est la question qui revient dans presque tous nos rendez-vous, souvent dès les cinq premières minutes : « et le RGPD, vous en faites quoi ? ». Elle est saine — un employé IA branché sur votre boîte mail, votre agenda et votre facturation manipule par définition des données personnelles : celles de vos clients, de vos prospects, de votre équipe. Cet article explique ce que le règlement exige réellement dans ce cas, pourquoi les outils d'IA grand public posent problème, et comment vérifier qu'un prestataire est sérieux — le nôtre compris.

Ce que dit le RGPD, sans jargon

Le RGPD ne dit nulle part « interdit d'utiliser l'intelligence artificielle ». Il dit trois choses simples, qui s'appliquent à un agent IA comme à n'importe quel logiciel qui touche des données personnelles.

Vous restez responsable. Les données de vos clients — noms, emails, téléphones, historiques — sont sous votre responsabilité de dirigeant. C'est vous, le « responsable de traitement ». Confier une tâche à un outil ne transfère pas cette responsabilité : elle vous suit.

Votre prestataire est votre sous-traitant. Celui qui traite ces données pour votre compte — l'éditeur de votre agent IA, donc — est un « sous-traitant » au sens de l'article 28 du règlement. Concrètement : il doit s'engager par contrat sur ce qu'il fait des données, où il les stocke, qui y accède, et ce qu'il en advient si vous partez.

Les données ne doivent servir qu'à la tâche. C'est le principe de minimisation : l'agent qui relance vos factures a besoin de vos factures, pas de l'intégralité de votre boîte mail depuis 2015. Et ce qu'il lit pour travailler ne doit pas servir à autre chose — surtout pas à entraîner un modèle d'IA.

Rien d'insurmontable. Mais rien d'automatique non plus : tout dépend de la façon dont l'outil est construit et contractualisé.

Le vrai risque : l'IA grand public utilisée avec des données clients

Le danger, dans les TPE, n'est généralement pas l'agent IA déployé par un prestataire — c'est le réflexe ChatGPT sur un compte gratuit. Coller l'email d'un client dans un outil grand public pour rédiger une réponse, c'est envoyer des données personnelles vers des serveurs le plus souvent situés hors d'Europe, sous des conditions d'utilisation qui, selon la formule choisie, autorisent la réutilisation des contenus pour améliorer les modèles.

Trois problèmes s'empilent : vous ne savez pas où vont les données, vous ne savez pas ce qu'elles deviennent, et il n'existe aucun contrat de sous-traitance entre votre entreprise et l'éditeur. En cas de contrôle ou de plainte d'un client, vous n'avez rien à présenter.

La réponse n'est pas de renoncer à l'IA — c'est de l'utiliser dans un cadre construit pour ça : des conditions commerciales qui excluent l'entraînement sur vos données, un hébergement localisé, un contrat qui nomme les responsabilités.

Les cinq questions à poser à tout prestataire d'agents IA

Que ce soit à nous ou à n'importe qui d'autre, posez ces cinq questions. Les réponses doivent être claires, écrites, et sans « ça dépend ».

1. Où sont hébergées les données ? La réponse attendue nomme un pays et un hébergeur — pas « dans le cloud ».
2. Mes données servent-elles à entraîner des modèles d'IA ? La seule bonne réponse est non, appuyée sur les conditions du fournisseur de modèles utilisé.
3. Êtes-vous mon sous-traitant au sens de l'article 28 ? Le contrat doit le dire explicitement, et le prestataire doit pouvoir lister ses propres sous-traitants avec leurs accords de traitement (DPA).
4. Qui valide les actions sensibles ? Un email en votre nom, un engagement commercial : si l'outil peut le faire sans validation humaine, demandez comment c'est encadré.
5. Que se passe-t-il si je résilie ? Délai de suppression des données et des accès, procédure écrite. L'absence de réponse est une réponse.

Comment Proxia répond à ces cinq questions

Nous avons publié le détail de nos engagements sur une page dédiée — Conformité RGPD — mais voici l'essentiel, dans l'ordre des questions ci-dessus.

Les données sont hébergées exclusivement dans l'Union européenne, en Allemagne. Les modèles d'IA sont utilisés via une API commerciale dont les conditions excluent l'entraînement sur les données envoyées. Proxia agit comme sous-traitant au sens de l'article 28, et chacun de nos propres sous-traitants est lié par un DPA — la liste est publique. Les actions sensibles passent par votre validation : sur Gmail, par exemple, l'agent prépare un brouillon dans votre boîte et c'est vous qui envoyez. Enfin, les accès à vos services sont révocables à tout moment et supprimés sous trente jours en cas de résiliation.

Un point d'architecture compte particulièrement : les « clés » qui relient l'agent à vos outils (Google, facturation…) sont chiffrées en base de données. Même en cas d'accès illégitime au serveur, elles ne se lisent pas en clair.

Le contrôle humain n'est pas un gadget, c'est de la conformité

On présente souvent la validation humaine comme une option de confort. C'est en réalité l'un des mécanismes les plus solides de conformité pratique : un agent qui soumet ses actions sensibles à votre relecture ne peut pas, par construction, diffuser une donnée au mauvais destinataire ou prendre un engagement erroné en votre nom. C'est le même principe que celui décrit dans notre article sur ce qu'un employé IA ne fait pas : les limites d'un agent ne sont pas des faiblesses, ce sont des garanties.

Lors du cadrage, ces règles s'écrivent noir sur blanc : ce que l'agent lit, ce qu'il ne lit pas, ce qu'il fait seul, ce qui remonte à l'humain. Ce document sert deux fois — il configure l'agent, et il documente votre conformité.

FAQ

Le RGPD m'interdit-il d'automatiser les réponses à mes clients ?

Non. Le RGPD encadre le traitement des données, il n'interdit pas l'automatisation. Ce qu'il demande : savoir où vont les données, les limiter à la tâche, contractualiser avec le prestataire, et pouvoir répondre aux demandes de vos clients sur leurs données.

Dois-je prévenir mes clients qu'un agent IA traite leurs demandes ?

La transparence est une obligation de fond : vos clients doivent pouvoir savoir comment leurs données sont traitées, ce qui passe en général par votre politique de confidentialité. Sur la forme, rien n'interdit qu'un agent réponde — et un agent bien conçu ne se fait jamais passer pour un humain quand on lui pose la question.

Un agent hébergé en Europe suffit-il à être conforme ?

C'est nécessaire, pas suffisant. L'hébergement règle la question de la localisation ; restent l'usage des données (pas d'entraînement), le contrat de sous-traitance, la minimisation des accès et le contrôle des actions. D'où l'intérêt des cinq questions plutôt que d'un badge.

Qui est responsable si l'agent fait une erreur avec des données clients ?

La responsabilité de traitement reste la vôtre, et celle du sous-traitant est engagée sur ses obligations propres — c'est précisément pour ça que le cadre contractuel et les validations humaines comptent. Un prestataire sérieux conçoit l'agent pour que l'erreur soit improbable, tracée, et rattrapable.

Parlons-en franchement

Si la question des données vous retient de déléguer vos tâches répétitives à un agent, c'est exactement le genre de sujet qu'on traite en premier lors de l'audit gratuit : ce que l'agent verra, ce qu'il ne verra jamais, et qui valide quoi. En présentiel sur Clermont-Ferrand et le Puy-de-Dôme, ou en visio partout en France.