Un agent IA peut-il être conforme au RGPD ? Oui — voici comment.

Pourquoi « conforme RGPD » demande plus qu'une case cochée

Beaucoup d'outils d'IA grand public traitent les données sur des serveurs hors d'Europe, avec des conditions qui autorisent leur réutilisation pour entraîner des modèles. Utilisés avec des données clients, ils placent l'entreprise en zone grise : impossible de dire où vont les données, ni ce qu'elles deviennent. La conformité d'un agent IA se joue donc sur des choix d'architecture précis — localisation, chiffrement, contrats avec les fournisseurs, contrôle humain. Ce sont ces choix que nous décrivons ici.

Où vont vos données : hébergement européen, point final

L'application Proxia, sa base de données et ses sauvegardes chiffrées sont hébergées dans l'Union européenne, sur les infrastructures d'Hetzner Online GmbH (Allemagne). Aucun transfert hors UE n'est effectué pour le stockage. Le trafic est intégralement chiffré en TLS, et les accès administratifs sont journalisés.

Les tokens OAuth — les « clés » qui permettent à votre agent d'agir sur votre Gmail, votre agenda ou votre facturation — sont chiffrés au niveau applicatif avant d'être stockés. Vous pouvez révoquer chaque accès à tout moment depuis votre compte : la révocation supprime immédiatement les tokens concernés.

Ce que l'IA fait de vos données : rien d'autre que votre tâche

Les agents Proxia s'appuient sur les modèles Claude d'Anthropic, via leur API commerciale : contractuellement, les données envoyées ne sont pas utilisées pour entraîner les modèles. Ce transfert est encadré par les Clauses Contractuelles Types de la Commission européenne. Concrètement : votre agent lit ce dont il a besoin pour exécuter sa tâche, et rien de ce qu'il lit ne nourrit une IA.

Même principe de minimisation côté outils : un agent n'accède qu'aux services que vous avez explicitement connectés, avec les périmètres d'autorisation les plus restreints possibles pour sa mission.

Qui décide : l'humain, toujours, sur ce qui engage

La conformité, c'est aussi une question de contrôle. Un agent Proxia n'envoie pas d'email en votre nom depuis Gmail : il prépare un brouillon dans votre boîte, que vous relisez et envoyez vous-même. Les actions sensibles ou irréversibles — un engagement commercial, une modification importante — passent par une validation humaine, définie avec vous lors du cadrage. Ces règles ne sont pas des options cachées : elles sont écrites noir sur blanc dans la configuration de chaque agent.

Qui est responsable de quoi : des rôles RGPD clairs

Pour les données de vos clients que vos agents traitent, vous restez responsable de traitement et Proxia agit en qualité de sous-traitant au sens de l'article 28 du RGPD, avec les engagements contractuels correspondants dans nos CGU. De notre côté, chaque sous-traitant auquel nous faisons appel — hébergement, modèles d'IA, paiement, emails — est lié par un accord de traitement de données (DPA). La liste complète est publiée dans notre politique de confidentialité.

Vos droits — et ceux de vos clients

Droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité : ils s'exercent par simple email à contact@prox-ia.com, avec une réponse sous 30 jours maximum. En cas de résiliation, les tokens d'accès à vos services sont supprimés sous 30 jours, et vous pouvez demander la suppression de l'ensemble de vos données à tout moment — la marche à suivre est détaillée sur la page Suppression de vos données.

Dernier point, souvent oublié : le site public de Proxia ne dépose aucun cookie de traçage publicitaire. La mesure d'audience (Google Analytics) n'est activée qu'avec votre consentement, via le bandeau cookies — et elle ne concerne que le site vitrine, jamais l'application Proxia ni les conversations de vos clients. Détail dans la politique cookies.