« Et si mes données clients se retrouvent chez OpenAI ? » La vraie question RGPD derrière ton agent IA.

C'est la deuxième question que je reçois, juste après « combien ça coûte » et juste avant « quelles données faut-il » : « un agent IA, est-ce que c'est conforme au RGPD ? ». Derrière cette question, il y a souvent une image précise : celle du fichier client qui part on ne sait où, stocké sur un serveur américain, lu par on ne sait qui. Cette peur est légitime. Elle freine aussi beaucoup de dirigeants qui auraient, en réalité, tout intérêt à avancer — à condition de poser les bonnes questions avant de signer, pas après.

Je ne suis pas avocat, et cet article n'est pas un conseil juridique personnalisé : pour un cas précis, un professionnel du droit reste la bonne ressource. Mais je construis des agents IA pour des TPE et des PME depuis un moment, donc je vais te donner, en clair, ce qui compte vraiment et ce qui relève du mythe.

Le problème, en une phrase

Le RGPD ne dit jamais « l'intelligence artificielle est interdite ». Il dit : tu dois savoir quelles données tu traites, pourquoi, où elles vivent, combien de temps, et qui peut y accéder. Un agent IA n'échappe pas à cette règle — il doit juste y répondre, comme n'importe quel logiciel qui touche à des données personnelles. Le vrai risque n'est pas d'utiliser l'IA : c'est de coller des données clients dans un outil dont tu ne sais pas ce qu'il en fait.

Ce que le RGPD exige vraiment, sans le jargon

Trois notions suffisent pour comprendre l'essentiel. La base légale : tu dois avoir une raison valable de traiter une donnée — l'exécution d'un contrat, ton intérêt légitime à relancer un devis, ou le consentement de la personne. La minimisation : un agent qui relance des factures impayées n'a besoin que du nom, du montant et de l'échéance, pas de l'historique complet d'un client. Et la sous-traitance : si un prestataire ou une IA tierce traite des données pour ton compte, un contrat doit encadrer cet usage — c'est ce qu'on appelle un accord de sous-traitance.

Rien de tout ça n'est propre à l'IA. Ce sont les mêmes règles qui encadrent déjà ton logiciel de facturation ou ton CRM. L'IA ajoute une seule vraie nouveauté : souvent, le traitement passe par un modèle hébergé chez un tiers — ce qui rend la question « où vont mes données ? » plus concrète qu'avant.

Agent IA sur mesure ou chatbot grand public collé partout

Voilà où se joue, en pratique, l'écart de risque le plus net. Beaucoup de dirigeants utilisent déjà un assistant IA grand public pour rédiger un mail ou préparer une relance, et y collent au passage un nom, un numéro de téléphone, parfois un extrait de dossier. C'est exactement le réflexe à éviter avec des données personnelles : ces outils grand public ne sont pas conçus pour encadrer ce type d'usage professionnel, et tu n'as en général aucune visibilité sur la durée de conservation ni sur l'usage ultérieur de ce que tu y colles.

Un agent IA construit sur mesure pour ton activité fonctionne différemment : il est conçu pour une tâche précise, reçoit uniquement les données nécessaires à cette tâche, et le choix de l'hébergement et des modèles sous-jacents se décide avec toi, par écrit, avant de démarrer. Ce n'est pas un gadget marketing : c'est une conséquence directe du fait que tu es propriétaire du code, et non locataire d'une plateforme qui décide pour toi.

Ce qui change concrètement quand je construis ton agent

Avant d'écrire la première ligne, je regarde ce que l'agent a réellement besoin de voir pour faire son travail — jamais « tout, au cas où ». Pour une relance de devis, un nom et un montant suffisent ; pour un tri de mails entrants, l'objet et l'expéditeur, rarement le corps complet d'une pièce jointe sensible. Cette réduction au strict nécessaire fait partie de la conception, pas d'une étape ajoutée après coup.

Ensuite vient le choix de l'hébergement : en Europe quand c'est ce que ton activité exige, avec les accès que tu définis toi-même. Et comme tu es propriétaire du code, rien ne t'empêche de faire auditer l'outil par un tiers de ton choix, ou de le faire évoluer si la réglementation change — une liberté qu'une plateforme SaaS fermée ne te donne pas.

Dernier point, souvent oublié : la durée de conservation. Un agent qui garde indéfiniment chaque échange avec un prospect accumule un risque qui grossit tout seul, sans que personne ne s'en rende compte. Fixer dès le départ une durée de conservation — puis une purge automatique une fois ce délai passé — fait partie des quelques décisions simples qui évitent, des années plus tard, de te retrouver avec une base impossible à justifier.

Le R0 → 1 : tu ne pars pas d'une conformité parfaite, tu construis avec

Beaucoup de dirigeants attendent d'avoir « réglé le RGPD » avant de lancer quoi que ce soit côté IA. En réalité, ton point de départ est souvent un fichier client géré sans registre formel ni politique de conservation écrite — ce qui était déjà le cas avant l'IA, personne ne te l'a juste jamais signalé aussi clairement.

C'est ça, le R0 → 1 : tu ne pars pas d'un système déjà irréprochable pour en construire un meilleur. Tu pars de zéro cadre formel, et l'agent se conçoit en même temps que ce cadre se pose : quelles données, pour quoi, combien de temps. Le résultat ne se mesure pas dans un audit abstrait : il se voit dans un outil qui tourne, et dont tu peux expliquer en deux phrases ce qu'il fait de chaque donnée qu'il touche.

Alors, faut-il un audit RGPD avant de se lancer ? Comment trancher

Je te le dis honnêtement : un audit RGPD complet avant de démarrer n'est pas toujours nécessaire. Tu peux avancer directement si —

• ton agent traite des données courantes de gestion : devis, factures, prospects, rendez-vous ;
• tu sais déjà qui sont tes clients et pourquoi tu détiens leurs informations ;
• le volume de données sensibles traitées reste limité et clairement identifié.

Prends le temps d'un vrai point juridique avant de lancer un agent si —

• tu traites des données de santé, judiciaires ou particulièrement sensibles en volume ;
• l'agent doit prendre des décisions automatisées qui affectent directement une personne, sans validation humaine ;
• tu exerces dans un secteur réglementé avec des obligations spécifiques déjà identifiées.

Dans tous les cas, la bonne question à poser à n'importe quel prestataire — moi inclus — reste la même : où vivent mes données, qui peut y accéder, et pendant combien de temps. Si la réponse est claire et écrite, tu es déjà sur la bonne voie. Va voir comment je construis ton agent IA ou ton logiciel sur mesure, avec le prix, la méthode et la garantie « ta maquette en 7 jours ou tu ne dois rien ».