Vérifier qu’un outil IA respecte le RGPD : six questions

Un outil IA traite souvent des données personnelles : le nom d’un client dans une relance, un CV, un compte rendu de réunion. Dès lors, le RGPD s’applique. Avant d’adopter un outil, posez ces six questions à l’éditeur. Les réponses se trouvent en général dans sa politique de confidentialité et dans son accord de traitement.

Premier réflexe, quel que soit l’outil : la minimisation. Seules les données strictement nécessaires à l’objectif peuvent être utilisées. Souvent, un texte sans nom ni coordonnées suffit.

1. Où les données sont-elles hébergées ?

Repérez le pays des serveurs. Demandez aussi depuis quels pays le support et les sous-traitants accèdent aux données. Un transfert hors de l’Union européenne est possible, mais il doit être encadré, par exemple par une décision d’adéquation ou des clauses contractuelles types. Notre guide Outils IA et données en Europe détaille ce point.

2. Les données servent-elles à entraîner les modèles ?

Certaines offres gratuites grand public peuvent utiliser vos conversations pour améliorer les modèles, avec un réglage pour s’y opposer. Les offres professionnelles l’excluent souvent par contrat. La CNIL recommande de vérifier si le fournisseur peut réutiliser les données saisies, et de pouvoir s’y opposer. Vérifiez outil par outil, et offre par offre.

3. L’éditeur signe-t-il un accord de traitement ?

Quand l’éditeur traite des données pour votre compte, il est votre sous-traitant au sens du RGPD. L’article 28 impose alors un contrat, souvent appelé DPA (Data Processing Agreement). Ce contrat prévoit notamment que l’éditeur agit sur vos instructions documentées. Il l’engage aussi sur la confidentialité et la sécurité des données. Sans accord de traitement, ne mettez pas de données personnelles dans l’outil.

4. Quels sous-traitants utilise-t-il ?

Un éditeur s’appuie souvent sur d’autres prestataires : hébergeur, fournisseur de modèle, support. Il ne peut pas en recruter un nouveau sans votre autorisation écrite préalable. Cette autorisation peut être générale : il doit alors vous informer des changements prévus, et vous pouvez vous y opposer. Demandez la liste à jour, avec le pays de chacun.

5. Combien de temps les données sont-elles conservées ?

Les données personnelles ne peuvent pas être conservées indéfiniment. Cherchez la durée de conservation des conversations et des fichiers envoyés, et la possibilité de les supprimer vous-même. En fin de contrat, l’éditeur doit supprimer les données ou vous les rendre, selon votre choix.

6. Comment vous aide-t-il à respecter les droits des personnes ?

Vos clients, salariés ou candidats peuvent demander l’accès à leurs données, leur rectification ou leur effacement. Ils peuvent aussi s’opposer à un traitement. L’éditeur doit vous aider, dans toute la mesure du possible, à répondre à ces demandes. Vérifiez qu’il existe une procédure claire et un contact identifié.

Et si les réponses manquent ?

Une réponse floue ou absente est déjà une information. Dans ce cas, réservez l’outil à des tâches sans données personnelles : reformuler un texte générique, préparer le plan d’une présentation.

Les bonnes réponses de l’éditeur ne suffisent pas à elles seules. De votre côté, il vous faut une base légale pour utiliser ces données, et les personnes doivent être informées. Pour comparer rapidement, l’Index indique pour chaque outil l’hébergement, l’usage des données pour l’entraînement et l’existence d’un accord de traitement.