RGPD et automatisation IA : à régler avant la mise en service.
L’automatisation déplace des données personnelles entre des outils, souvent vers de nouveaux fournisseurs. Cette checklist réunit les questions à régler d’abord. Ce sont des informations générales, pas un avis juridique : faites confirmer l’essentiel par votre conseil.
6 min de lecture. Mis à jour
Commencez par une carte des données
Avant de construire, notez une ligne pour chaque étape :
- Quelles données personnelles elle traite : noms, e-mails, détails de commande.
- Quel outil ou fournisseur les reçoit.
- Où ce fournisseur les stocke et les traite.
- Combien de temps elles y restent, journaux compris.
Vérifiez vos fournisseurs
Lorsqu’un fournisseur traite des données personnelles pour vous, il agit normalement comme sous-traitant. L’article 28 du RGPD impose un contrat écrit. Les fournisseurs établis proposent un contrat type : demandez-le et gardez-en une copie.
Si des données quittent l’UE ou l’EEE, il faut une base valable pour le transfert, comme une décision d’adéquation ou des clauses contractuelles types. Demandez à chaque fournisseur sur laquelle il s’appuie.
Prudence avec les fournisseurs d’IA
Les étapes d’IA méritent leurs propres questions :
- Vos données servent-elles à entraîner les modèles, et pouvez-vous le désactiver ?
- Combien de temps le fournisseur garde-t-il ce que vous envoyez ?
- Pouvez-vous retirer les détails dont le modèle n’a pas besoin avant l’envoi ?
Une personne pour les décisions sérieuses
L’article 22 du RGPD limite les décisions fondées uniquement sur un traitement automatisé lorsqu’elles produisent des effets juridiques ou similaires sur une personne. Recrutement, crédit et résiliation de contrat sont des cas à traiter avec soin.
La voie simple : le système prépare et une personne décide. Pour les usages plus risqués, demandez à votre conseil si une analyse d’impact est nécessaire.
Informez et gardez de l’ordre
Quelques habitudes couvrent beaucoup :
- Mettez à jour votre politique de confidentialité si le nouveau processus change l’usage des données.
- Fixez des durées de conservation pour les journaux et les fichiers.
- Limitez les accès, avec des comptes de société et non personnels.
- Vérifiez si le règlement européen sur l’IA ajoute des obligations, comme signaler aux personnes qu’elles échangent avec un système d’IA.
Que demander à votre spécialiste
Un bon spécialiste vous remet par écrit la carte des données, la liste des fournisseurs et les réglages utilisés. Sur Aphelore, ils font partie des documents de remise, avec vos comptes et exports.
Questions
L’auto-hébergement règle-t-il le RGPD ?
Il aide sur l’emplacement des données, mais vos obligations restent. Il vous faut toujours une base légale, des règles de conservation, de la sécurité et un moyen de répondre aux demandes des personnes.
Pouvons-nous utiliser l’IA sur les e-mails clients ?
Souvent oui, avec la bonne base, les bonnes conditions fournisseur et la bonne information. Cela dépend du contenu, parlez-en à votre conseil avant de commencer.