RGPD et intelligence artificielle : utiliser un assistant IA sans risque

Information générale, à adapter à votre situation. En cas de doute, la CNIL publie de nombreux guides pratiques.

Pourquoi le RGPD concerne votre assistant IA

Dès qu'un assistant IA échange avec un client, il traite des données personnelles : prénom, téléphone, adresse e-mail, adresse du chantier, parfois des photos. Le RGPD s'applique donc, exactement comme pour un formulaire de contact ou un fichier Excel. La bonne nouvelle : les règles sont les mêmes, et elles sont gérables.

Les 5 règles essentielles

1. Informer clairement

Les personnes doivent savoir qui traite leurs données, pourquoi, combien de temps et quels sont leurs droits. Concrètement :

• une phrase au début de la conversation (« Je suis l'assistant virtuel de… vos informations servent uniquement à traiter votre demande ») ;
• un lien vers votre politique de confidentialité, mise à jour pour mentionner l'assistant IA et son prestataire.

L'AI Act ajoute l'obligation d'indiquer que la personne échange avec une IA ; voir AI Act : ce qui change pour les TPE.

2. Collecter le minimum

Votre assistant n'a pas besoin de la date de naissance d'un client pour planifier un dépannage. Configurez-le pour ne demander que ce qui est utile à la demande. C'est le principe de minimisation.

3. Choisir un prestataire sérieux

Votre fournisseur d'IA est un sous-traitant au sens du RGPD. Vérifiez :

• l'existence d'un contrat ou d'un accord de traitement des données (DPA) ;
• le lieu d'hébergement (idéalement en France ou dans l'Union européenne) ;
• l'engagement de ne pas réutiliser vos données pour entraîner des modèles sans votre accord.

4. Fixer une durée de conservation

Les conversations et contacts ne doivent pas être gardés indéfiniment. Une règle simple : supprimer ou anonymiser les données de prospects inactifs au bout de trois ans, conserver les données clients pendant la relation commerciale puis le temps des obligations légales.

5. Respecter la finalité

Des données recueillies pour répondre à une demande de devis ne doivent pas être réutilisées pour tout autre chose sans information préalable. Pour la prospection, des règles particulières s'appliquent : lisez prospection par e-mail en B2B : ce que dit la loi.

Les pièges classiques

• Coller des données clients dans un outil grand public pour « gagner du temps ». Certaines versions gratuites conservent et peuvent réutiliser les contenus. Utilisez un outil professionnel.
• Laisser l'assistant collecter des données sensibles (santé, opinions…). Pour un cabinet de santé, limitez l'assistant aux rendez-vous et aux informations pratiques.
• Oublier les droits des personnes : un client doit pouvoir demander l'accès ou la suppression de ses données. Prévoyez une adresse e-mail dédiée.
• Ne pas sécuriser l'accès à l'outil : mot de passe fort, double authentification si possible.

Modèle de mention à afficher dans le chatbot

« Bonjour ! Je suis l'assistant virtuel de [Entreprise], une intelligence artificielle. Je peux répondre à vos questions et transmettre votre demande à notre équipe. Les informations que vous me donnez servent uniquement à traiter votre demande. En savoir plus : [politique de confidentialité]. »

Check-list RGPD avant de lancer votre assistant IA

• Politique de confidentialité mise à jour (assistant, prestataire, durées).
• Mention « IA » et lien de confidentialité visibles dans la conversation.
• Liste des données demandées réduite au nécessaire.
• Contrat de sous-traitance avec le prestataire, hébergement identifié.
• Durée de conservation définie et appliquée.
• Adresse de contact pour exercer ses droits.

Comment nous l'appliquons

Chez Site1Euro, les agents IA fournis par notre partenaire Dexter.IA sont hébergés en France. Nous les configurons avec vous pour ne collecter que les informations utiles, et votre politique de confidentialité est adaptée en conséquence. Découvrez les formules sur la page Assistant IA.