Agent IA et RGPD : ce qu'il faut savoir avant de se lancer
Rédigé avec l'aide de l'IA · mis à jour le
Dès qu'un agent IA recueille un nom, un numéro de téléphone, une adresse e-mail ou le contenu d'une demande, il traite des données personnelles, et le RGPD s'applique. Ce règlement européen protège les personnes dont vous collectez les informations. Il n'interdit pas d'utiliser un agent, mais il demande de le faire avec méthode.
Pourquoi un agent IA relève-t-il du RGPD ?
Le RGPD (règlement général sur la protection des données) s'applique à toute collecte de données personnelles : un formulaire sur un site, un message envoyé à un agent, un enregistrement d'appel, une fiche remplie automatiquement. Peu importe que la collecte soit faite par une personne ou par une machine.
Imaginons un salon de coiffure équipé d'un agent qui prend les rendez-vous. Pour réserver, le client donne son prénom, son numéro et le type de prestation souhaité. Ces informations permettent d'identifier une personne : ce sont des données personnelles. L'entreprise qui les recueille est responsable de la façon dont elles sont traitées.
Un agent ajoute une particularité : les échanges sont souvent libres. Un client peut mentionner, sans qu'on le lui demande, un détail privé ou sensible. L'agent le reçoit et, selon sa configuration, peut le conserver. Mieux vaut donc l'anticiper.
Quelles questions se poser avant de lancer l'agent ?
Un petit nombre de questions simples couvrent l'essentiel. Si vous savez y répondre, vous êtes sur la bonne voie.
| Question à se poser | Pourquoi elle compte |
|---|---|
| Quelles données l'agent recueille-t-il, exactement ? | On ne traite que ce qui est nécessaire à l'objectif |
| Pourquoi les recueille-t-il ? | Chaque donnée doit avoir une finalité claire |
| Combien de temps les garde-t-on ? | Une donnée n'a pas vocation à rester indéfiniment |
| Qui y a accès dans l'entreprise ? | L'accès se limite aux personnes qui en ont besoin |
| Quel fournisseur traite les échanges, et où ? | Vous restez responsable du choix de vos prestataires |
| Comment une personne peut-elle exercer ses droits ? | Accès, correction et suppression doivent être possibles |
Ces points sont proches de ceux que l'on se pose déjà pour un formulaire de contact. L'agent les rend simplement plus visibles, parce qu'il parle et enregistre davantage.
Comment réduire la quantité de données collectées ?
Le meilleur réflexe est la sobriété : ne demandez que ce dont vous avez besoin. Un agent qui prend des rendez-vous n'a pas besoin de la date de naissance du client. Un agent qui qualifie des demandes de devis n'a pas à recueillir des informations sans lien avec le projet.
Concrètement, on peut :
- limiter les champs demandés au strict nécessaire ;
- demander à l'agent de ne pas insister sur les informations sensibles ;
- éviter de verser dans ses documents de référence des fichiers contenant des données de clients ;
- supprimer ou anonymiser les anciens échanges quand ils ne servent plus.
Ces choix de conception pèsent plus lourd que n'importe quel texte juridique. Moins vous collectez, moins vous avez à protéger.
Que faut-il dire aux personnes concernées ?
La transparence est un pilier. Les personnes doivent savoir qu'on collecte des informations, pourquoi, qui les reçoit et comment exercer leurs droits. Cela passe généralement par une politique de confidentialité accessible sur votre site, et par une courte mention au moment de la collecte.
Avec un agent, une autre obligation s'ajoute : le règlement européen sur l'IA, dit AI Act, impose d'informer une personne qu'elle échange avec une IA. Ce point est traité à part dans notre guide Informer vos clients qu'ils parlent à une IA. Dire clairement qu'il s'agit d'un assistant automatisé est à la fois une règle et une marque de respect.
Les mentions légales, elles, sont obligatoires sur un site professionnel. Pensez à vérifier que votre politique de confidentialité évoque bien l'usage d'un agent.
Et la sécurité des données ?
Le RGPD demande aussi de protéger les données traitées. Cela concerne les accès (qui peut lire les échanges), les mots de passe, le choix du fournisseur et la gestion des sauvegardes. Un agent qui reçoit des informations de clients sans protection suffisante expose l'entreprise.
C'est un sujet à part entière, que nous abordons dans le guide sur la sécurité d'un agent IA. Retenez ici que la conformité ne se résume pas à un texte à publier : elle repose aussi sur des choix techniques concrets.
Un mot sur les sous-traitants : l'éditeur de l'outil d'IA, l'hébergeur ou le service de messagerie qui transitent par votre agent reçoivent eux aussi des données. Vous restez responsable de ce choix. Prenez le temps de lire leurs conditions, de demander où les informations sont hébergées et de conserver une trace de ces vérifications. C'est un document utile si un client ou un partenaire vous pose la question un jour.
Les échanges avec l'agent peuvent-ils être conservés ?
Oui, et c'est même utile : l'historique permet de contrôler la qualité, de corriger les erreurs et de retrouver ce qui a été dit à un client. Mais cet historique contient des données personnelles. Il faut donc décider combien de temps on le garde, qui le consulte, et comment on le supprime.
Un réflexe simple est de prévoir une durée de conservation adaptée à l'usage, puis de la respecter. Si un client demande l'effacement de ses informations, vous devez pouvoir retrouver ses échanges et les supprimer. Cela se prépare dès la conception : un agent dont on ne sait pas où vont les conversations est difficile à rendre conforme.
Pour un cas précis (données de santé, mineurs, décisions concernant une personne), il est prudent de vérifier avec un professionnel du droit. Pour situer ces questions dans un projet, la page sur les agents IA pour entreprises présente le cadre général.
Questions fréquentes
Il n'existe pas de formalité unique qui vaudrait pour tous les cas. Ce qui s'applique, c'est l'obligation de traiter les données avec méthode : finalité claire, information des personnes, sécurité, conservation limitée. Pour votre situation, un professionnel du droit saura vous orienter.
C'est possible, mais l'enregistrement doit être annoncé et justifié, et sa durée maîtrisée. Il faut aussi limiter l'accès aux enregistrements. Mieux vaut décider à l'avance ce qui est utile de conserver.
Cela dépend de ses conditions. Vérifiez comment il traite les données qui lui sont transmises et où elles sont hébergées. C'est une question à poser avant de choisir un outil.
Pour un agent qui se contente de répondre à des questions générales sans rien enregistrer, le risque est plus limité. Mais dès qu'il prend un rendez-vous ou un contact, des données personnelles entrent en jeu.
Un agent à cadrer dès le départ ? Contactez-nous.