RGPD et agents IA : les questions à poser avant de connecter vos outils

Un agent IA n'est utile que s'il accède à vos informations : contrats, échanges avec les clients, dossiers des salariés, fiches dans un logiciel métier. Une grande partie de ces informations sont des données personnelles au sens du RGPD. Les confier à un service d'IA est un traitement comme un autre, avec les mêmes obligations.

Voici les questions qui permettent d'y voir clair avant de connecter quoi que ce soit.

Où les données sont-elles stockées ?

Demandez où sont conservés les fichiers que vous déposez, le texte qui en est extrait et les échanges avec l'agent. Un stockage dans l'Union européenne évite la question des transferts hors de l'UE, qui demandent des garanties supplémentaires (chapitre V du RGPD).

Demandez aussi où sont stockées les sauvegardes, et si elles sont chiffrées. Elles contiennent les mêmes données que la base principale.

Quelles données partent vers le modèle d'IA, et chez qui ?

Pour répondre, un agent transmet des extraits de vos documents et vos questions au fournisseur du modèle d'IA. Ce fournisseur intervient alors comme sous-traitant ultérieur : il doit figurer dans le contrat, avec des garanties conformes à l'article 28 du RGPD.

Posez trois questions précises :

• quel fournisseur de modèle est utilisé, et pouvez-vous en exclure certains ;
• les données transmises peuvent-elles servir à entraîner des modèles ;
• combien de temps le fournisseur les conserve-t-il.

Les réponses à la deuxième et à la troisième question dépendent des conditions contractuelles du fournisseur de modèle : demandez qu'elles soient écrites.

Vos données sont-elles isolées de celles des autres clients ?

Un service en ligne héberge souvent de nombreuses organisations sur la même infrastructure. Demandez comment l'isolation est garantie. Une isolation vérifiée par la base de données elle-même, et pas seulement par le code de l'application, protège mieux contre une erreur de programmation.

Qui peut accéder à quoi ?

L'article 32 du RGPD impose des mesures de sécurité adaptées au risque. Pour un agent IA, cela se traduit par des questions concrètes :

• les droits sont-ils définis par rôle (qui peut déposer des documents, utiliser les agents, valider des actions, consulter le journal) ;
• la double authentification est-elle disponible ;
• les clés d'accès à vos logiciels sont-elles chiffrées, et jamais transmises au modèle ;
• les conversations d'un salarié sont-elles visibles par ses collègues.

L'agent peut-il agir seul ?

Un agent qui envoie des e-mails ou modifie des fiches peut communiquer des données personnelles à un tiers. Vérifiez que ces actions demandent la validation d'une personne habilitée, et que vous pouvez fixer vos propres règles : ce qui est autorisé, ce qui est soumis à validation, ce qui est interdit.

Que garde-t-on, et combien de temps ?

Le principe de minimisation (article 5 du RGPD) s'applique aussi à l'IA : ne collecter et ne conserver que ce qui est nécessaire. Demandez :

• si le contenu des échanges avec le modèle est conservé dans les journaux techniques ;
• si chaque personne peut effacer ses conversations ;
• comment les données sont effacées à la fin du contrat.

Pouvez-vous rendre des comptes ?

Le RGPD repose sur la responsabilité : vous devez pouvoir démontrer votre conformité. Un journal d'audit qui enregistre les connexions, les documents déposés, les exécutions d'agents et les décisions de validation, sans pouvoir être réécrit, est un outil précieux pour répondre à une personne concernée, à un client ou à la CNIL.

Et de votre côté ?

Certaines questions vous concernent directement :

• Le registre des traitements (article 30) : l'usage d'agents IA sur des données personnelles doit y figurer.
• L'analyse d'impact (article 35) : elle est requise lorsque le traitement est susceptible d'engendrer un risque élevé pour les personnes, par exemple sur des données sensibles ou à grande échelle.
• La formation des équipes : depuis le 2 février 2025, l'AI Act demande aux organisations qui utilisent des systèmes d'IA de veiller à un niveau suffisant de maîtrise de l'IA chez les personnes concernées (article 4).
• L'information des personnes : salariés et clients doivent savoir que leurs données peuvent être traitées par un outil d'IA, et dans quel but.

En résumé

Avant de connecter un agent IA à vos outils, demandez où vont les données, qui les reçoit, comment elles sont isolées et protégées, ce que l'agent peut faire seul, ce qui est conservé et comment vous pourrez le prouver. Un fournisseur sérieux répond à chacune de ces questions par écrit.

Cet article donne des repères généraux et ne constitue pas un conseil juridique. Pour une situation précise, rapprochez-vous de votre délégué à la protection des données ou d'un avocat.