{"id":70,"date":"2026-03-10T09:30:00","date_gmt":"2026-03-10T12:30:00","guid":{"rendered":"https:\/\/dcoder.io\/blog\/rgpd-agents-ia-service-client\/"},"modified":"2026-03-10T09:30:00","modified_gmt":"2026-03-10T12:30:00","slug":"rgpd-agents-ia-service-client","status":"publish","type":"post","link":"https:\/\/dcoder.io\/blog\/fr\/rgpd-agents-ia-service-client\/","title":{"rendered":"RGPD et agents IA : ce qu’il faut r\u00e9gler avant d’activer le bot"},"content":{"rendered":"

L’entreprise qui exploite le service reste responsable de traitement. Le prestataire de l’automatisation est sous-traitant.<\/strong> Avant d’activer le bot, il faut une politique de confidentialit\u00e9 \u00e0 jour, un contrat comportant un accord de traitement des donn\u00e9es, la ma\u00eetrise de l’endroit o\u00f9 r\u00e9sident les donn\u00e9es, et un moyen effectif de les supprimer sur demande.<\/p>\n

Quand un agent conversationnel prend en charge la relation client, rien ne change dans la structure des responsabilit\u00e9s, ni au regard du RGPD ni au regard de la LGPD br\u00e9silienne. C’est pr\u00e9cis\u00e9ment pour cela que beaucoup se trompent. La tentation est de se dire \u00ab c’est l’IA qui parle \u00bb. Aux yeux de la loi, c’est votre entreprise.<\/p>\n

Qui est quoi dans cette relation<\/h2>\n

L’entreprise qui sert les clients d\u00e9cide pourquoi et comment les donn\u00e9es sont trait\u00e9es : elle est responsable de traitement<\/strong>. Celui qui a construit et maintient l’automatisation traite les donn\u00e9es pour son compte : il est sous-traitant<\/strong>. Le fournisseur du mod\u00e8le de langage intervient comme sous-traitant ult\u00e9rieur, et cela doit \u00eatre d\u00e9clar\u00e9 quelque part.<\/p>\n

La cons\u00e9quence pratique appara\u00eet vite. Si un client demande la suppression de ses donn\u00e9es ou conteste le traitement, c’est l’entreprise cliente qui r\u00e9pond. Elle doit pouvoir s’ex\u00e9cuter, ce qui suppose un acc\u00e8s et un contr\u00f4le sur la base, et non de d\u00e9pendre de la bonne volont\u00e9 d’un prestataire.<\/p>\n

La base l\u00e9gale est souvent plus simple qu’on ne le craint<\/h2>\n

Lorsque le client engage lui-m\u00eame la conversation pour \u00eatre servi, le traitement des donn\u00e9es n\u00e9cessaires \u00e0 la r\u00e9ponse repose sur l’ex\u00e9cution du contrat ou sur des mesures pr\u00e9contractuelles. Vous n’avez pas besoin d’un consentement formel pour r\u00e9pondre \u00e0 quelqu’un qui demande le prix d’une prestation.<\/p>\n

La vigilance porte sur les usages suppl\u00e9mentaires. R\u00e9utiliser ce contact pour une campagne marketing, enrichir une fiche client, ou entra\u00eener un mod\u00e8le sur le contenu des conversations. Ces usages ont leur propre base l\u00e9gale et certains exigent un consentement sp\u00e9cifique. C’est l\u00e0 que naissent les probl\u00e8mes, pas dans le service lui-m\u00eame.<\/p>\n

Les donn\u00e9es sensibles demandent une vigilance accrue<\/h2>\n

Le cabinet m\u00e9dical est le cas le plus \u00e9vident. Un message comme \u00ab je dois d\u00e9caler ma s\u00e9ance de kin\u00e9sith\u00e9rapie \u00bb contient une donn\u00e9e de sant\u00e9, prot\u00e9g\u00e9e de fa\u00e7on renforc\u00e9e. Cela n’interdit pas l’automatisation, mais impose quelques pr\u00e9cautions :<\/p>\n

    \n
  • Collecter le strict n\u00e9cessaire. L’agent n’a pas besoin d’un diagnostic pour r\u00e9server un cr\u00e9neau.<\/li>\n
  • Restreindre qui, dans l’entreprise, peut lire la conversation, avec des comptes individuels et une trace des acc\u00e8s.<\/li>\n
  • D\u00e9finir la dur\u00e9e de conservation de l’historique et supprimer automatiquement \u00e0 l’\u00e9ch\u00e9ance.<\/li>\n<\/ul>\n

    Ce qui doit figurer au contrat avec le prestataire<\/h2>\n

    Demandez-le et v\u00e9rifiez-le :<\/p>\n

      \n
    1. Un accord de traitement des donn\u00e9es<\/strong> \u00e9non\u00e7ant clairement que le client est responsable de traitement et le prestataire sous-traitant, avec la finalit\u00e9 d\u00e9crite.<\/li>\n
    2. La liste des sous-traitants ult\u00e9rieurs.<\/strong> Quel fournisseur de mod\u00e8le de langage, quel h\u00e9bergement, quel op\u00e9rateur de messagerie.<\/li>\n
    3. O\u00f9 r\u00e9sident les donn\u00e9es<\/strong> et ce qu’elles deviennent \u00e0 la fin du contrat, avec export et d\u00e9lai de suppression.<\/li>\n
    4. L’engagement de ne pas entra\u00eener de mod\u00e8les sur vos donn\u00e9es.<\/strong> Les offres professionnelles des fournisseurs d’API le garantissent. V\u00e9rifiez que l’option est bien active.<\/li>\n
    5. Une proc\u00e9dure en cas d’incident.<\/strong> Qui pr\u00e9vient qui, sous quel d\u00e9lai, et qui notifie l’autorit\u00e9 et les personnes concern\u00e9es le cas \u00e9ch\u00e9ant.<\/li>\n<\/ol>\n

      Informer le client est simple et obligatoire<\/h2>\n

      Deux choses. La personne doit savoir qu’elle s’adresse \u00e0 un syst\u00e8me automatis\u00e9, et disposer d’un chemin vers un humain. Une ligne dans le premier message couvre le premier point. Une option \u00ab conseiller \u00bb qui fonctionne r\u00e9ellement couvre le second.<\/p>\n

      Par ailleurs, votre politique de confidentialit\u00e9 doit mentionner le service automatis\u00e9 par WhatsApp, les donn\u00e9es trait\u00e9es et leur dur\u00e9e de conservation. C’est une demi-page de r\u00e9daction, et c’est justement ce qui manque le plus souvent.<\/p>\n

      V\u00e9rifications avant la mise en service<\/h2>\n
        \n
      • Politique de confidentialit\u00e9 \u00e0 jour et accessible.<\/li>\n
      • Contrat avec accord de traitement sign\u00e9.<\/li>\n
      • Acc\u00e8s au tableau de bord avec un compte par personne, sans mot de passe partag\u00e9.<\/li>\n
      • Dur\u00e9e de conservation d\u00e9finie et routine de suppression r\u00e9ellement active.<\/li>\n
      • Un chemin test\u00e9 pour traiter une demande de suppression.<\/li>\n
      • Sauvegardes avec restauration v\u00e9rifi\u00e9e, car perdre des donn\u00e9es clients est aussi un incident.<\/li>\n
      • Transfert vers un humain fonctionnel et visible.<\/li>\n<\/ul>\n

        Bien automatiser am\u00e9liore la conformit\u00e9<\/h2>\n

        Il faut dire l’autre versant de cette histoire. La situation pr\u00e9c\u00e9dente, avec des conversations sur le t\u00e9l\u00e9phone personnel de chaque salari\u00e9, sans trace, sans contr\u00f4le d’acc\u00e8s, sans dur\u00e9e de conservation, et qui quittent l’entreprise en m\u00eame temps que la personne qui d\u00e9missionne, est bien pire du point de vue de la protection des donn\u00e9es.<\/p>\n

        Un service centralis\u00e9, avec des comptes individuels, une trace des acc\u00e8s, une dur\u00e9e de conservation d\u00e9finie et une suppression automatis\u00e9e, s’audite et se d\u00e9fend plus facilement. Une automatisation bien faite est un gain de conformit\u00e9, pas un risque nouveau.<\/p>\n","protected":false},"excerpt":{"rendered":"

        Qui r\u00e9pond des donn\u00e9es quand c’est une IA qui dialogue, ce qui doit figurer au contrat avec le prestataire, et la liste de v\u00e9rification avant qu’un agent conversationnel ne serve vos clients.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-70","post","type-post","status-publish","format-standard","hentry","category-sem-categoria"],"_links":{"self":[{"href":"https:\/\/dcoder.io\/blog\/wp-json\/wp\/v2\/posts\/70","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/dcoder.io\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/dcoder.io\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/dcoder.io\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/dcoder.io\/blog\/wp-json\/wp\/v2\/comments?post=70"}],"version-history":[{"count":0,"href":"https:\/\/dcoder.io\/blog\/wp-json\/wp\/v2\/posts\/70\/revisions"}],"wp:attachment":[{"href":"https:\/\/dcoder.io\/blog\/wp-json\/wp\/v2\/media?parent=70"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/dcoder.io\/blog\/wp-json\/wp\/v2\/categories?post=70"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/dcoder.io\/blog\/wp-json\/wp\/v2\/tags?post=70"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}