Agent IA et RGPD : ce que votre entreprise doit faire elle-même

Brancher un agent IA sur votre messagerie, c’est lui faire lire des noms, des adresses, des numéros de téléphone et parfois des informations plus sensibles : un litige, un arrêt maladie, une situation familiale. Au sens du RGPD, le règlement européen sur la protection des données, ces lectures sont un traitement de données personnelles, et ce traitement est le vôtre.

Un premier article a porté sur les questions à poser à l’éditeur : lieu d’hébergement, sous-traitants, entraînement. Celui-ci traite de l’autre moitié du travail, celle qu’aucun éditeur ne fera à votre place. Il donne une information générale, pas un conseil juridique : pour un cas particulier, un avocat ou un délégué à la protection des données reste l’interlocuteur.

Agent IA et RGPD : c’est vous le responsable du traitement

Le responsable du traitement est celui qui décide pourquoi et comment les données sont traitées. Quand vous décidez de confier le tri de vos mails clients à un agent, c’est vous. L’éditeur de l’agent est votre sous-traitant, c’est-à-dire, selon la CNIL, l’entreprise qui traite des données pour le compte d’un autre organisme, dans le cadre d’un contrat obligatoire.

Cette répartition vaut aussi pour les agents auto-hébergés comme OpenClaw ou Hermes. Les données restent sur votre serveur, mais les obligations qui suivent restent les mêmes ; seul le nombre d’intermédiaires change. L’article sur l’auto-hébergement d’un agent IA détaille ce que cela implique par ailleurs.

Choisir la base légale avant de brancher l’agent

Tout traitement doit reposer sur l’une des six bases légales du RGPD : consentement, contrat, obligation légale, mission d’intérêt public, intérêts vitaux, intérêt légitime. La CNIL rappelle que ce choix doit intervenir avant tout début de mise en œuvre du traitement.

Pour un agent qui lit et prépare les réponses aux demandes de vos clients, deux bases reviennent le plus souvent.

Le contrat. Il couvre ce qui est objectivement nécessaire à l’exécution d’un contrat, et aussi les mesures précontractuelles prises à la demande de la personne, précise la fiche de la CNIL sur le contrat. Répondre à une demande de devis ou suivre un chantier en cours entre dans ce cadre. Démarcher de nouveaux clients qui n’ont rien demandé n’y entre pas.

L’intérêt légitime. Il suppose trois conditions selon la CNIL : un intérêt réel et licite, un traitement nécessaire sans moyen moins intrusif, et des droits des personnes qui ne l’emportent pas. La CNIL ajoute que le traitement ne doit pas surprendre les personnes. Un client qui écrit à son plombier s’attend à ce que son mail soit lu et traité ; il ne s’attend pas forcément à ce que tout son historique serve à établir un profil.

Le point à retenir : une base légale vaut pour une finalité. Si l’agent sert à répondre aux clients, puis à analyser leurs habitudes, la seconde finalité demande sa propre base.

Informer les clients dont l’agent lit les mails

Vos clients ont le droit de savoir ce que vous faites de leurs données. Quand vous les collectez directement, par un mail ou un formulaire, la CNIL demande de les informer au moment du recueil. L’information porte notamment sur l’identité du responsable, les finalités, la base légale, les destinataires, la durée de conservation et les droits.

Pour un agent, deux éléments changent concrètement. L’éditeur et ses sous-traitants deviennent des destinataires, qu’il faut nommer ou au moins désigner par catégorie. Et si des données partent hors de l’Union européenne, la mention doit le dire.

La CNIL recommande une information à plusieurs niveaux : l’essentiel d’abord, le détail accessible par un lien. Pour une TPE, cela donne une phrase dans la signature des mails et sur le formulaire de contact, qui renvoie vers une page complète sur le site.

L’analyse d’impact : quand la CNIL la demande

L’analyse d’impact relative à la protection des données, ou AIPD, est une étude écrite des risques d’un traitement pour les personnes, avec les mesures prises pour les réduire. Elle est obligatoire pour les traitements susceptibles d’engendrer un risque élevé, et la CNIL publie une liste des types de traitements pour lesquels elle est requise.

Pour les autres cas, la CNIL renvoie à neuf critères : évaluation ou profilage, décision automatique avec effet juridique, surveillance systématique, données sensibles ou hautement personnelles, collecte à large échelle, croisement de données, personnes vulnérables, usage innovant d’une nouvelle technologie, exclusion du bénéfice d’un droit ou d’un contrat. Un traitement qui remplit au moins deux critères doit faire l’objet d’une AIPD.

Un agent IA peut en réunir deux plus vite qu’on ne le pense. Il peut relever de l’usage innovant, puisqu’il repose sur une technologie nouvelle. Et il croise souvent des sources : mails, agenda, fichier clients, logiciel de facturation. Un cabinet dont les mails contiennent des données de santé, ou une agence qui trie des candidatures, ajoute un critère de plus.

Si vous concluez qu’une AIPD n’est pas nécessaire, écrivez pourquoi, critère par critère. Cette note vous servira en cas de contrôle.

Durée de conservation : l’agent garde plus qu’on ne croit

Selon la CNIL, les données personnelles ne peuvent pas être conservées indéfiniment. La durée dépend de la finalité et se découpe en trois temps : l’usage courant, l’archivage intermédiaire pour les besoins légaux ou contentieux, puis la suppression. La CNIL cite par exemple les données de facturation, à garder dix ans au titre du code de commerce.

Pour la gestion commerciale, le référentiel de la CNIL prévoit que les données des clients utilisées pour la prospection peuvent être conservées pendant la relation commerciale puis trois ans, et celles des prospects trois ans à compter de la collecte ou du dernier contact venant d’eux. On peut s’en écarter en justifiant son choix.

Or un agent crée ses propres copies : résumés de mails, mémoire à long terme, historique des conversations, journaux d’actions. Chacune est une donnée personnelle à inclure dans votre durée de conservation. Demandez à l’éditeur comment purger la mémoire de l’agent, et à quel rythme ses journaux sont effacés.

Répondre aux demandes des personnes, y compris dans la mémoire de l’agent

Vos clients peuvent demander l’accès à leurs données, leur rectification, leur effacement ou s’opposer à un traitement. Pour une demande d’accès, la CNIL fixe un délai d’un mois, prolongeable de deux mois pour une demande complexe, à condition d’en informer la personne dans le premier mois.

La difficulté pratique est de retrouver ce que l’agent sait d’une personne. Si un client demande l’effacement, il faut effacer aussi ce que la mémoire de l’agent a retenu de lui. Vérifiez, avant de signer, que l’outil permet de chercher et de supprimer les données d’une personne précise.

Un dernier droit concerne les agents qui décident seuls. Le RGPD pose une interdiction de principe des décisions fondées exclusivement sur un traitement automatisé et produisant des effets juridiques ou significatifs, sauf exceptions, avec alors un droit d’obtenir une intervention humaine. Un agent qui écarte seul une candidature ou refuse seul un client entre dans ce champ. L’article sur l’agent IA autonome explique comment garder ce type de décision sous validation.

Ce que vous faites lundi matin

1. Écrivez en une ligne la finalité de votre agent et la base légale retenue pour chacune de ses tâches.
2. Ajoutez une phrase d’information dans votre signature de mail et sur votre formulaire de contact, avec un lien vers une page complète qui nomme l’éditeur de l’agent.
3. Passez votre usage de l’agent au crible des neuf critères de la CNIL, et rédigez l’AIPD ou la note qui justifie de ne pas la faire.
4. Demandez à l’éditeur comment purger la mémoire et les journaux de l’agent, puis fixez vos durées de conservation.
5. Faites l’essai : retrouvez dans l’agent tout ce qu’il sait d’un client fictif, et chronométrez le temps qu’il vous faut.

Les autres articles sur les données sont réunis dans la rubrique RGPD.