Glossaire · Règles et conformité
RGPD
Le RGPD est le règlement général sur la protection des données, un texte européen qui encadre le traitement des données personnelles. Il fixe des obligations pour les organismes concernés et des droits pour les personnes, y compris lorsque leurs informations passent par un outil d’intelligence artificielle.
RGPD : l'explication
Le RGPD s’intéresse à ce que vous faites des informations concernant des personnes : collecte, consultation, transmission, conservation ou suppression. Utiliser un agent pour résumer des courriels professionnels peut donc constituer un traitement de données personnelles. L’organisme responsable doit notamment définir un objectif et une base légale appropriée. Il doit aussi limiter les informations utilisées et prévoir leur protection. Le choix d’un outil ne suffit pas à régler ces questions, qui dépendent de l’usage.
Ce cadre sert à organiser les responsabilités et à donner aux personnes une prise sur l’utilisation de leurs informations. Selon les conditions prévues, elles peuvent notamment demander un accès, une rectification ou un effacement. Avec un outil IA, vous devez identifier qui détermine les objectifs du traitement et quel rôle joue le prestataire. Les explications officielles sont accessibles dans le guide du Comité européen de la protection des données : https://www.edpb.europa.eu/sme_en.
La conformité ne se résume pas à cocher une case ou à choisir un hébergement européen. Elle dépend aussi des contrats, des accès, des durées de conservation et des éventuels transferts internationaux. Le consentement n’est pas toujours la base légale pertinente. Une utilisation dans un cadre strictement personnel ou domestique peut relever d’une exception, mais cela ne dispense pas nécessairement le fournisseur de ses propres obligations. Il faut donc distinguer votre situation de celle du service.
Un exemple concret
Vous souhaitez utiliser un assistant pour préparer les réponses aux demandes de votre clientèle. Avant de lui donner accès aux messages, votre organisation précise l’objectif, vérifie la base légale et examine le contrat du prestataire. Vous limitez les données transmises aux éléments utiles. Vous vérifiez également la conservation des conversations et la possibilité de répondre à une demande d’accès concernant les informations d’une personne.
Pourquoi c'est important
Le RGPD compte lorsque vous comparez des outils qui lisent vos courriels, enregistrent des réunions ou consultent des fichiers clients. Une promesse commerciale de conformité ne décrit pas toutes les conditions de votre utilisation. Vous devez pouvoir comprendre les responsabilités, les données traitées et les moyens de contrôle. Ces éléments permettent d’évaluer si l’outil s’intègre réellement dans les pratiques de votre organisation.
Idées reçues
- Le RGPD n’impose pas de demander un consentement pour chaque utilisation de données personnelles, car plusieurs bases légales existent et leur pertinence dépend de la finalité, du contexte et des conditions du traitement effectivement mis en œuvre.
- Un outil hébergé dans l’Union européenne n’est pas automatiquement conforme au RGPD, car la localisation ne règle pas à elle seule les questions de finalité, de sécurité, de sous-traitance, de conservation et de droits des personnes concernées.
Autres termes : règles et conformité
- AI Act (règlement européen sur l'IA)
- L’AI Act, ou règlement européen sur l’IA, est un texte qui encadre certains systèmes d’intelligence artificielle et modèles d’IA à usage général.
- données personnelles
- Les données personnelles sont des informations qui concernent une personne physique identifiée ou identifiable.
Où le site en parle
Le terme apparaît dans 159 pages du site. Quelques-unes :
- AI Act : la checklist de conformité pour les entreprises qui utilisent des agents et des outils IA Guide
- Rédiger la charte d'usage de l'IA de son entreprise : contenu, exemples de règles, déploiement Guide
- Déployer des agents IA en entreprise : cas d'usage, choix, pilote, gouvernance, mesure Guide
- Agents IA et RGPD : quelles données partent, et où ? Article
- AI Act : ce qui change pour les agents IA Article
- Les agents IA pour le service client : bilan honnête Article
- Faire tourner un agent IA dans un bac à sable Article
- Injection de prompt : comment un agent IA se fait pirater Article
Pour aller plus loin
Questions fréquentes
Le consentement est-il obligatoire ?
Pas systématiquement. Le consentement constitue une base légale parmi d’autres. Vous devez déterminer celle qui correspond réellement au traitement envisagé et respecter ses conditions. La CNIL explique cette distinction : https://www.cnil.fr/fr/les-bases-legales/consentement.
Peut-on demander la suppression ?
Le droit à l’effacement existe, mais il comporte des conditions et des exceptions. Vous devez examiner la situation concrète. Certaines données peuvent devoir être conservées pour respecter une obligation légale ou défendre des droits en justice.
Un fournisseur étranger est-il concerné ?
Il peut l’être. Le champ du RGPD ne dépend pas uniquement du pays d’installation du fournisseur. Certaines activités visant des personnes dans l’Union européenne entrent aussi dans son périmètre, selon les critères prévus par le règlement.
Neutralité. Aucun lien d'affiliation. Aucun éditeur ne paie pour être évalué, noté ou classé. Les évaluations sont dirigées par François Chollet, neutres et factuelles, et chaque donnée est datée et sourcée. Comment nous notons