IA et RGPD en entreprise :
ce que la loi demande, ce que Central fait.

Dès qu’un collaborateur colle dans un assistant IA un courriel client, un compte rendu d’entretien ou un extrait de dossier, il traite des données à caractère personnel. Le RGPD s’applique alors, que l’outil soit interne ou fourni par un tiers. Le texte saisi, la réponse produite, les documents indexés pour que l’IA les retrouve et les journaux de l’outil sont autant de traitements à cadrer.

La bonne nouvelle : l’IA générative ne demande pas un droit à part pour les données personnelles. Elle oblige surtout à répondre, par écrit et avant le déploiement, aux questions que le RGPD pose déjà à tout traitement. Les sections suivantes les prennent une à une.

Le RGPD impose que chaque traitement repose sur l’une des bases prévues à l’article 6 : contrat, obligation légale, intérêt légitime, mission d’intérêt public, sauvegarde d’intérêts vitaux ou consentement. Pour un outil d’IA utilisé par des salariés, c’est le plus souvent l’intérêt légitime de l’employeur ou l’exécution du contrat qui est retenu, mais le choix et sa justification appartiennent à l’organisation qui décide de l’usage.

Il faut aussi une finalité précise. « Aider à rédiger des réponses aux clients » est une finalité. « Utiliser l’IA » n’en est pas une. Une finalité claire permet ensuite de dire quelles données entrent, qui y accède et combien de temps elles restent.

Côté Central : une politique d’usage déterministe, sans appel à un modèle, refuse les finalités interdites ou à haut risque. L’analyse automatisée de CV, par exemple, est désactivée en attendant son dossier de conformité. Voir la politique d’utilisation de l’IA.

Quand une entreprise confie des données personnelles à un fournisseur d’IA, celui-ci agit en principe comme sous-traitant. L’article 28 du RGPD exige alors un contrat écrit qui fixe l’objet, la durée, les instructions du client, la confidentialité, la sécurité, le sort des données en fin de contrat, l’aide apportée pour les droits des personnes et le régime des sous-traitants ultérieurs.

Les sous-traitants ultérieurs comptent autant que le fournisseur lui-même : un assistant IA s’appuie presque toujours sur un hébergeur d’inférence. Sa place dans la chaîne doit être connue du client.

Côté Central : le contenu déposé par une organisation cliente est traité sur ses instructions, et Central agit dans ce cas comme sous-traitant. L’accord de traitement liste en annexe chaque sous-traitant ultérieur, son rôle et son lieu de traitement. Tout ajout ou changement est notifié à l’administrateur de l’organisation avant sa mise en œuvre, avec trente jours pour s’y opposer. Voir l’accord de traitement des données.

Le principe de minimisation (article 5) demande de ne traiter que les données nécessaires à la finalité. Pour l’IA, deux points reviennent : ce que l’outil enregistre de vos échanges, et ce que le fournisseur en fait. La question la plus fréquente des délégués à la protection des données est la même : mes données servent-elles à entraîner un modèle ?

Côté Central :

• par défaut, les échanges ne servent pas à entraîner de modèle ;
• une organisation peut choisir explicitement d’y contribuer : seuls des contenus anonymisés peuvent alors être conservés, et seuls les échanges postérieurs à son consentement sont concernés ;
• chaque utilisateur peut s’y opposer individuellement dans ses paramètres, et cette opposition prime sur le choix de l’organisation ;
• une organisation peut demander que le contenu des échanges ne soit pas journalisé : seuls les compteurs d’usage sont alors conservés ;
• le journal de modération applique la même règle : si l’organisation a désactivé la journalisation du contenu, l’extrait du message n’est pas gardé.

Les données ne doivent pas être gardées plus longtemps que nécessaire. Chaque catégorie (conversations, journaux techniques, preuves de conformité, sauvegardes) a sa durée, que l’organisation doit pouvoir connaître et expliquer aux personnes concernées.

Côté Central : les durées dépendent de la catégorie et sont documentées dans une matrice de conservation. À titre d’exemples : les preuves techniques de conformité sont conservées six mois calendaires, sauf gel justifié par un incident ou un litige ; les sauvegardes de la base tournent sur trente jours par défaut ; le journal d’une mission d’agent est purgé 180 jours après la fin de la mission. Les contenus de conversation suivent la configuration de l’organisation. Les hébergeurs d’inférence appliquent en plus leurs propres durées techniques, qui figurent dans l’annexe de l’accord de traitement.

Les personnes concernées disposent des droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition (articles 15 à 21), et peuvent saisir la CNIL. Le responsable de traitement répond dans un délai d’un mois, prolongeable de deux mois si la demande est complexe et si la personne en est informée dans le premier mois.

Côté Central : l’accès et la portabilité passent par un export structuré, lisible par machine, des données d’une organisation (utilisateurs, journaux, conversations, documents produits). L’effacement existe pour un utilisateur comme pour une organisation, avec une simulation avant exécution. Les exceptions légitimes (obligations comptables de facturation, gel lié à un litige) sont écrites dans la réponse, jamais appliquées en silence. Lorsque l’organisation est responsable du traitement des contenus qu’elle dépose, Central l’assiste dans un délai de cinq jours ouvrés selon sa procédure interne, pour qu’elle tienne le sien.

Le chapitre V du RGPD encadre toute communication de données vers un pays hors Union européenne, y compris par un accès à distance. Un transfert est possible s’il repose sur une décision d’adéquation de la Commission européenne ou sur des garanties appropriées, comme les clauses contractuelles types. Il faut le savoir avant de choisir un outil, pas après.

Côté Central : les données sont stockées et traitées en France. Deux sociétés du groupe de l’hébergeur, situées au Canada et au Royaume-Uni, peuvent y accéder à distance pour la sécurité et la maintenance de l’infrastructure ; ces accès reposent sur les décisions d’adéquation de la Commission européenne, détaillées dans l’annexe de l’accord de traitement. Les connecteurs externes sont hors du chemin d’inférence : une destination hors Union européenne est signalée et bloquée par défaut, et ne s’ouvre qu’après activation documentée par un administrateur. Pour le détail de la chaîne d’hébergement, voir IA hébergée en France : ce que cela veut dire.

• La finalité est écrite et la base légale retenue est justifiée.
• Un accord de traitement existe, avec la liste des sous-traitants ultérieurs.
• Vous savez si vos échanges servent à entraîner un modèle, et comment s’y opposer.
• Les durées de conservation sont connues, y compris celles des hébergeurs d’inférence.
• La procédure pour répondre à une demande d’accès ou d’effacement est identifiée.

Selon le risque, une analyse d’impact (article 35) peut aussi s’imposer. Elle relève de l’organisation responsable du traitement.