Agent IA et RGPD : ce que doit faire une petite entreprise
Un agent IA traite des données personnelles : un nom, un numéro de téléphone, une adresse, parfois un enregistrement de voix. La loi vous demande de le faire proprement. Voici les points à vérifier, dans l'ordre.
Ce guide donne des repères généraux et ne remplace pas un conseil juridique. En cas de doute, rapprochez-vous de la CNIL ou d'un professionnel du droit.
1. Informer la personne
La personne qui appelle doit savoir deux choses : qu'elle parle à une IA, et que ses données sont traitées (et, le cas échéant, que l'appel est enregistré). La règle européenne sur l'IA demande en effet que les personnes soient informées lorsqu'elles interagissent avec un système d'IA, sauf si c'est évident. Un bon agent le dit simplement quand on lui pose la question.
2. Ne collecter que le nécessaire
Un nom, un téléphone, une adresse d'intervention, la nature du besoin : c'est suffisant. Un agent ne doit jamais demander un numéro de carte bancaire, un mot de passe ou un code dans une conversation.
3. Fixer une durée de conservation
Les données ne se gardent pas indéfiniment. Définissez une durée adaptée (par exemple pour les demandes sans suite, pour les enregistrements, pour les candidatures) et supprimez ensuite.
4. Respecter les droits des personnes
Toute personne peut demander à accéder à ses données, à les corriger, à les faire effacer ou à s'opposer à leur utilisation. Prévoyez qui reçoit la demande et comment on y répond. Un bon agent ne décide pas seul : il vous transmet la demande.
5. Savoir où sont les données
- Hébergement : de préférence en Europe, avec un contrat qui encadre le prestataire.
- Pas d'entraînement : vérifiez que vos conversations ne servent pas à entraîner les modèles du fournisseur.
- Sous-traitants : demandez la liste de ceux qui touchent vos données.
- Réversibilité : pouvez-vous récupérer tout, dans un format lisible, quand vous voulez ?
6. Tenir un registre
Gardez une trace de ce que vous traitez, pourquoi, pour combien de temps, et qui y a accès. C'est le registre des traitements. Un prestataire sérieux vous aide à le tenir à jour.
7. Protéger l'accès
Seules les personnes qui en ont besoin doivent voir les conversations. Chaque action de l'agent doit laisser une trace (qui, quoi, quand) : c'est utile en cas de contrôle ou de litige.
Questions à poser à un prestataire d'agent IA
- Où sont hébergées mes données ?
- Servent-elles à entraîner des modèles ?
- Quels sous-traitants y ont accès ?
- Combien de temps sont-elles conservées, et comment les supprimer ?
- Puis-je tout récupérer à la fin du contrat ?
- Comment sont traitées les demandes d'accès ou d'effacement ?
- L'agent dit-il qu'il est une IA quand on le lui demande ?
Questions fréquentes
Dois-je dire à l'appelant qu'il parle à une IA ?
Oui, la règle européenne sur l'IA demande d'informer les personnes qui interagissent avec un système d'IA, sauf si c'est évident. Un bon agent répond honnêtement quand on lui demande.
Mes conversations servent-elles à entraîner une IA ?
Cela dépend du prestataire : c'est une question à poser, et la réponse doit être écrite dans le contrat. Chez IABOOSTERFRANCE2030, vos données ne servent jamais à entraîner des modèles.
Que faire si un client demande la suppression de ses données ?
Vous devez y répondre. Prévoyez qui reçoit la demande. Un bon agent ne décide pas seul : il vous transmet la demande.