RGPD et agents IA : ce qu’il faut régler avant d’activer le bot

L’entreprise qui exploite le service reste responsable de traitement. Le prestataire de l’automatisation est sous-traitant. Avant d’activer le bot, il faut une politique de confidentialité à jour, un contrat comportant un accord de traitement des données, la maîtrise de l’endroit où résident les données, et un moyen effectif de les supprimer sur demande.

Quand un agent conversationnel prend en charge la relation client, rien ne change dans la structure des responsabilités, ni au regard du RGPD ni au regard de la LGPD brésilienne. C’est précisément pour cela que beaucoup se trompent. La tentation est de se dire « c’est l’IA qui parle ». Aux yeux de la loi, c’est votre entreprise.

Qui est quoi dans cette relation

L’entreprise qui sert les clients décide pourquoi et comment les données sont traitées : elle est responsable de traitement. Celui qui a construit et maintient l’automatisation traite les données pour son compte : il est sous-traitant. Le fournisseur du modèle de langage intervient comme sous-traitant ultérieur, et cela doit être déclaré quelque part.

La conséquence pratique apparaît vite. Si un client demande la suppression de ses données ou conteste le traitement, c’est l’entreprise cliente qui répond. Elle doit pouvoir s’exécuter, ce qui suppose un accès et un contrôle sur la base, et non de dépendre de la bonne volonté d’un prestataire.

La base légale est souvent plus simple qu’on ne le craint

Lorsque le client engage lui-même la conversation pour être servi, le traitement des données nécessaires à la réponse repose sur l’exécution du contrat ou sur des mesures précontractuelles. Vous n’avez pas besoin d’un consentement formel pour répondre à quelqu’un qui demande le prix d’une prestation.

La vigilance porte sur les usages supplémentaires. Réutiliser ce contact pour une campagne marketing, enrichir une fiche client, ou entraîner un modèle sur le contenu des conversations. Ces usages ont leur propre base légale et certains exigent un consentement spécifique. C’est là que naissent les problèmes, pas dans le service lui-même.

Les données sensibles demandent une vigilance accrue

Le cabinet médical est le cas le plus évident. Un message comme « je dois décaler ma séance de kinésithérapie » contient une donnée de santé, protégée de façon renforcée. Cela n’interdit pas l’automatisation, mais impose quelques précautions :

• Collecter le strict nécessaire. L’agent n’a pas besoin d’un diagnostic pour réserver un créneau.
• Restreindre qui, dans l’entreprise, peut lire la conversation, avec des comptes individuels et une trace des accès.
• Définir la durée de conservation de l’historique et supprimer automatiquement à l’échéance.

Ce qui doit figurer au contrat avec le prestataire

Demandez-le et vérifiez-le :

1. Un accord de traitement des données énonçant clairement que le client est responsable de traitement et le prestataire sous-traitant, avec la finalité décrite.
2. La liste des sous-traitants ultérieurs. Quel fournisseur de modèle de langage, quel hébergement, quel opérateur de messagerie.
3. Où résident les données et ce qu’elles deviennent à la fin du contrat, avec export et délai de suppression.
4. L’engagement de ne pas entraîner de modèles sur vos données. Les offres professionnelles des fournisseurs d’API le garantissent. Vérifiez que l’option est bien active.
5. Une procédure en cas d’incident. Qui prévient qui, sous quel délai, et qui notifie l’autorité et les personnes concernées le cas échéant.

Informer le client est simple et obligatoire

Deux choses. La personne doit savoir qu’elle s’adresse à un système automatisé, et disposer d’un chemin vers un humain. Une ligne dans le premier message couvre le premier point. Une option « conseiller » qui fonctionne réellement couvre le second.

Par ailleurs, votre politique de confidentialité doit mentionner le service automatisé par WhatsApp, les données traitées et leur durée de conservation. C’est une demi-page de rédaction, et c’est justement ce qui manque le plus souvent.

Vérifications avant la mise en service

• Politique de confidentialité à jour et accessible.
• Contrat avec accord de traitement signé.
• Accès au tableau de bord avec un compte par personne, sans mot de passe partagé.
• Durée de conservation définie et routine de suppression réellement active.
• Un chemin testé pour traiter une demande de suppression.
• Sauvegardes avec restauration vérifiée, car perdre des données clients est aussi un incident.
• Transfert vers un humain fonctionnel et visible.

Bien automatiser améliore la conformité

Il faut dire l’autre versant de cette histoire. La situation précédente, avec des conversations sur le téléphone personnel de chaque salarié, sans trace, sans contrôle d’accès, sans durée de conservation, et qui quittent l’entreprise en même temps que la personne qui démissionne, est bien pire du point de vue de la protection des données.

Un service centralisé, avec des comptes individuels, une trace des accès, une durée de conservation définie et une suppression automatisée, s’audite et se défend plus facilement. Une automatisation bien faite est un gain de conformité, pas un risque nouveau.