Les agents IA dans votre entreprise face au RGPD et à l'AI Act européen

Vérifié en septembre 2026. Ceci est une présentation pratique, pas un conseil juridique. Pour les décisions qui comptent, parlez-en à un avocat ou à votre délégué à la protection des données.

Transparence : cela vous concerne dès aujourd'hui

Votre agent est-il à haut risque ?

• Emploi : tri de CV, classement de candidats, évaluation des performances, décisions de promotion ou de licenciement
• Crédit : évaluation de la solvabilité d'une personne
• Assurance : tarification ou évaluation des risques pour l'assurance vie et santé
• Éducation : admissions, notation, surveillance des élèves pendant les examens
• Services essentiels : décisions d'accès aux prestations publiques et services similaires

Ce que cela implique pour un agent

• Une base légale pour chaque usage. La raison pour laquelle vous détenez des données clients ne couvre pas automatiquement leur envoi à un modèle d'IA pour une nouvelle finalité.
• Uniquement les données dont la tâche a besoin. Un agent qui répond aux questions sur les factures n'a pas besoin de tout l'historique du client dans chaque prompt.
• Un contrat de sous-traitance avec chaque sous-traitant. Votre fournisseur de modèle d'IA, votre hébergeur et votre plateforme de messagerie traitent chacun des données personnelles pour votre compte.
• Les transferts hors de l'UE. Si une requête atteint un fournisseur de modèle hors de l'UE, c'est un transfert international, qui exige une base valable.
• Une AIPD quand le risque est élevé. Une nouvelle technologie utilisée à grande échelle, des données sensibles ou une surveillance systématique exigent en général une analyse d'impact relative à la protection des données.
• Des humains dans les décisions qui comptent. Les personnes ont le droit de ne pas faire l'objet de décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques les concernant ou les affectant de manière significative de façon similaire.
• Des règles de conservation pour les transcriptions et la mémoire. Les agents gardent des journaux de conversation et des fichiers de mémoire. Il leur faut une durée de conservation, comme pour tout autre enregistrement.
• Les droits des personnes concernées incluent l'agent. Quand quelqu'un demande l'accès à ses données ou leur effacement, les journaux et la mémoire de l'agent font partie de la réponse.

• Laissez un modèle local voir les données personnelles en premier. Un petit modèle sur votre propre machine peut classer les requêtes, extraire des champs et retirer les noms ou les numéros d'identité avant que quoi que ce soit ne parte vers un modèle cloud.
• Hébergez l'agent dans l'UE. La machine qui détient les transcriptions, la mémoire et les identifiants reste soumise au droit de l'UE.
• Choisissez des conditions d'API adaptées aux données professionnelles. Vérifiez, pour chaque fournisseur, les conditions de conservation des données et d'entraînement pour l'usage de l'API, et si un traitement des données dans l'UE est proposé.
• Exigez une validation pour les actions qui ont des conséquences. Envoyer une facture, modifier un enregistrement, répondre à une réclamation : laissez l'agent préparer, et une personne confirmer.
• Gardez une piste d'audit. Pour chaque action : quelle requête l'a déclenchée, ce que l'agent a décidé, quel outil il a appelé, ce qui a changé, et qui l'a validée.
• Donnez à l'agent des identifiants à portée limitée. En lecture seule quand c'est possible, limités aux systèmes dont la tâche a besoin, faciles à révoquer.

AI Act

• Les utilisateurs sont informés quand ils interagissent avec l'agent
• Les contenus générés par IA sont étiquetés là où c'est exigé
• Vous avez vérifié si un usage relève d'un domaine à haut risque
• Si c'est le cas, vous avez un plan pour décembre 2027

GDPR

• Vous savez quelles données personnelles l'agent lit, stocke et envoie
• Chaque usage a une base légale
• Des contrats de sous-traitance sont signés avec chaque sous-traitant
• Les transferts hors de l'UE sont couverts
• Une AIPD est faite là où le risque l'exige
• Les décisions aux effets significatifs passent par un humain
• Les transcriptions et la mémoire ont une durée de conservation
• Les demandes d'accès et d'effacement couvrent les données de l'agent

Exploitation

• Chaque action de l'agent est journalisée
• Les actions qui ont des conséquences exigent une validation
• Les identifiants sont à portée limitée et révocables
• Votre politique de confidentialité nomme les fournisseurs d'IA que vous utilisez

• Hébergé dans l'UE. Votre Mac et tout ce qu'il contient restent dans l'Union européenne, exploités par une entreprise de l'UE.
• Un contrat de sous-traitance sur demande.
• Un seul client par Mac. Les transcriptions, la mémoire et les identifiants de votre agent sont sur du matériel que personne d'autre n'utilise.
• Des modèles locaux sur la même machine. Gardez les requêtes courantes, et les données personnelles qu'elles contiennent, à l'écart des services d'IA tiers.