IA et RGPD en entreprise : questions avant de choisir

Des qu'un outil d'IA traite des donnees personnelles, noms, adresses email, contenus de conversations, documents contenant des informations sur des personnes, le RGPD s'applique. L'entreprise qui decide pourquoi et comment ces donnees sont traitees est le responsable de traitement. Le fournisseur de l'outil est en general un sous-traitant, au sens de l'article 28, ce qui impose un contrat ecrit precisant la nature du traitement, les instructions, les mesures de securite, le recours a d'autres sous-traitants et le sort des donnees en fin de contrat.

Plusieurs obligations decoulent de ce cadre : informer les personnes concernees, tenir un registre des traitements (article 30), s'assurer d'une base legale, limiter les donnees a ce qui est necessaire, encadrer les transferts hors de l'Union europeenne, et realiser une analyse d'impact (article 35) quand le traitement presente un risque eleve. Le recours a un assistant IA ne cree pas de regime special, mais il rend ces points plus visibles, parce que les contenus saisis sont libres et peuvent contenir n'importe quoi.

Un point de vigilance concerne les saisies non cadrees. Si un collaborateur colle dans un chat une liste de clients ou un dossier du personnel, il cree un traitement que l'entreprise n'a peut-etre pas prevu. C'est la raison pour laquelle la charte d'usage et l'outil choisi comptent autant l'un que l'autre : l'outil peut fournir des garde-fous, la charte dit ce qu'on y met.

Sur le routage des modeles, Octobot dispose d'un profil de donnees entreprise. Quand il est active, les appels de l'espace sont envoyes vers le point d'acces europeen du fournisseur de routage, avec des exigences : conservation zero des donnees, refus de la collecte, liste restreinte de fournisseurs, pas de repli automatique vers d'autres. Si un reglage manque, l'appel est refuse plutot que d'etre envoye ailleurs. Mais ce profil est desactive par defaut : c'est un choix de configuration, et l'activation demande des verifications de l'operateur. Nous ne decrivons donc pas Octobot comme une IA souveraine, et nous ne disons pas que vos donnees ne quittent jamais l'Union europeenne : cela ne serait pas verifiable pour tous les modeles et tous les outils.

La recherche sur le web et les modeles de representation de texte utilises pour la recherche dans les documents sont des flux distincts. Sous le profil entreprise, ils sont coupes tant qu'ils ne sont pas approuves explicitement. Si vous les approuvez, vous acceptez un flux supplementaire qu'il faut documenter dans votre registre.

Sur la retention, la purge automatique des conversations n'est activee que si une duree est configuree. Pour les appels de l'espace entreprise, l'historique de requetes ne conserve que des metadonnees. Les anciennes lignes creees avant cette regle peuvent encore contenir du contenu : leur purge est une decision de l'exploitant.

Sur les controles utilisateur, le mode confidentiel, le masquage des secrets, le coffre chiffre et la separation des roles pour les actions critiques sont des fonctions de l'espace. Ils reduisent les risques, ils ne les suppriment pas. Il faut les connaitre pour rediger une charte realiste.

Le premier piege est de se contenter d'une mention conforme RGPD sur un site. Cette mention n'a pas de valeur juridique en soi. Ce qui compte, ce sont le contrat, les sous-traitants, les lieux de traitement, la retention et les mesures de securite, verifiables dans des documents.

Le deuxieme piege est d'oublier les comptes personnels. Si l'entreprise n'offre pas d'outil, les collaborateurs utilisent le leur, avec des conditions d'usage qu'elle ne maitrise pas. Cette pratique, appelee shadow AI, est plus risquee qu'un outil encadre. Fournir un espace clair et une charte courte reduit le risque davantage qu'une interdiction.

Le troisieme piege est de traiter la conformite comme un projet ponctuel. Les fournisseurs changent de sous-traitants, les modeles evoluent, les usages se multiplient. Prevoyez une revue au moins annuelle de la documentation, et surveillez les changements annonces par le fournisseur.

Pour approfondir le cadre Octobot, la page Securite et donnees detaille les flux, le DPA et les options. Ce guide ne remplace ni cette page ni l'avis de votre conseil.

Une charte utile est courte, concrete et connue. Voici cinq regles que beaucoup d'equipes adoptent, a adapter avec votre DPO. Un : on ne saisit pas de donnees de sante, de donnees penales ni de numeros d'identification dans l'assistant, sauf cas prevu et valide. Deux : on anonymise ou on pseudonymise les noms quand le nom n'est pas necessaire a la tache. Trois : tout contenu destine a un client ou a une autorite est relu par une personne avant envoi. Quatre : une erreur de saisie, par exemple un document colle par erreur, est signalee tout de suite au responsable de l'outil, qui sait comment supprimer la conversation. Cinq : on utilise le mode confidentiel pour les sujets sensibles, afin que la conversation n'alimente pas la memoire.

Pour que la charte vive, rattachez-la a un geste de l'outil. Le mode confidentiel est un bon exemple : la regle devient un interrupteur dans la conversation. De meme, les roles de l'espace permettent de reserver certaines actions aux administrateurs, ce qui traduit en droits la repartition des responsabilites ecrite dans la charte.

Enfin, formez en vingt minutes plutot qu'en deux heures. Montrez trois exemples de saisies a eviter, un exemple de reponse sourcee a verifier, et l'endroit ou signaler un probleme. Une formation courte, repetee a l'arrivee de chaque collaborateur, protege mieux qu'un long document que personne ne relit.