Secrétaire IA : ce qu'il fait, ce qu'il ne fait pas
Les tâches à confier et les garde-fous à exiger.
Lire →
Guide · Données
Confier ses emails à une IA : ce que dit le RGPD
Vos emails contiennent les données de vos clients, de vos fournisseurs, parfois de leurs proches. Avant de les confier à un assistant IA, voici ce que le RGPD vous demande de vérifier.
Qui est responsable de quoi
Le RGPD distingue deux rôles. Le responsable du traitement décide pourquoi et comment les données sont traitées. Le sous-traitant traite les données pour le compte du responsable, sur ses instructions (article 4 du RGPD).
Quand vous confiez vos emails à un service de secrétariat IA pour gérer votre activité, vous restez responsable des données de vos clients et fournisseurs ; le service agit comme sous-traitant. Cela a une conséquence simple : c'est à vous de choisir un sous-traitant qui présente des garanties suffisantes (article 28, paragraphe 1).
Confier ce travail à un sous-traitant ne demande pas, en général, le consentement de vos clients : vous traitez leurs données pour les mêmes raisons qu'avant (exécuter un contrat, répondre à une demande). En revanche, il faut que le cadre ci-dessous soit en place.
Le contrat de traitement (DPA)
L'article 28 impose un contrat écrit entre vous et votre sous-traitant, souvent appelé DPA (data processing agreement). Il doit notamment prévoir que le sous-traitant :
- ne traite les données que sur vos instructions documentées ;
- garantit la confidentialité des personnes qui y ont accès ;
- prend les mesures de sécurité de l'article 32 ;
- ne recourt à d'autres sous-traitants (les sous-traitants ultérieurs) qu'avec votre autorisation, et vous en informe ;
- vous aide à répondre aux demandes de vos clients (accès, effacement, etc.) ;
- supprime ou restitue les données à la fin du contrat ;
- met à votre disposition les informations nécessaires pour vérifier tout cela.
Un service qui ne propose pas de DPA, ou qui renvoie à de simples « conditions d'utilisation », ne vous met pas en conformité.
Où partent les données
Un assistant IA s'appuie presque toujours sur plusieurs prestataires : hébergement, envoi d'emails, modèle d'IA. Certains sont établis hors de l'Union européenne. Le RGPD l'autorise, mais sous conditions (chapitre V) : une décision d'adéquation de la Commission européenne pour le pays ou le cadre concerné, ou des garanties appropriées comme les clauses contractuelles types.
Ce qu'il faut exiger : une liste publique des sous-traitants, avec pour chacun son rôle, sa localisation et le mécanisme de transfert. Méfiez-vous des formules vagues comme « hébergé dans le cloud ».
La sécurité attendue
L'article 32 demande des mesures « appropriées au risque ». Pour un assistant qui lit vos emails et agit en votre nom, cela signifie au minimum :
- l'isolation de vos données par rapport à celles des autres clients ;
- le chiffrement des données stockées et des sauvegardes ;
- le contrôle de qui peut donner des instructions : un assistant qui obéit à n'importe quel email entrant peut être détourné par un message malveillant ;
- un accord humain avant tout envoi vers l'extérieur, appliqué techniquement ;
- une trace de ce qui a été demandé, préparé, approuvé et envoyé.
Et si vos emails contiennent des données sensibles (santé, opinions, données judiciaires), le niveau d'exigence monte : parlez-en explicitement avec le prestataire avant de commencer.
L'entraînement des modèles
Une question que le RGPD ne pose pas en ces termes, mais qui découle du principe de limitation des finalités : vos données servent-elles à entraîner un modèle d'IA ? La réponse dépend du prestataire et du type de compte utilisé, pas seulement du modèle. Demandez une réponse écrite, et vérifiez qu'elle figure dans la politique de confidentialité ou le DPA.
Informer vos clients
Vos clients ont le droit de savoir à qui leurs données sont communiquées (articles 13 et 14). Mettez à jour votre propre politique de confidentialité pour mentionner, au moins par catégorie, le recours à un service de secrétariat assisté par IA.
Le règlement européen sur l'intelligence artificielle ajoute une obligation de transparence (article 50) : les personnes doivent pouvoir savoir qu'elles échangent avec une IA ou lisent un contenu produit par une IA. Un email préparé par un assistant IA et envoyé en votre nom devrait le signaler.
La liste de contrôle
| À vérifier | Où le trouver |
|---|---|
| Un DPA conforme à l'article 28 est signé | Contrat, à la mise en place |
| La liste des sous-traitants, leur rôle et leur localisation | Politique de confidentialité |
| Le mécanisme de chaque transfert hors UE | Politique de confidentialité ou DPA |
| Vos données sont isolées et chiffrées | Description de la sécurité |
| Seules vos adresses peuvent donner des instructions | Fonctionnement du service |
| Aucun envoi sans votre accord, contrôlé techniquement | Conditions générales |
| L'usage de vos données pour l'entraînement | Réponse écrite du prestataire |
| Les durées de conservation et la suppression en fin de contrat | Politique de confidentialité |
| Votre propre politique de confidentialité est à jour | Chez vous |
En cas de doute, l'Autorité de protection des données publie des guides pour les PME, et peut être saisie par toute personne concernée.
Chez NOVA. NOVA agit en sous-traitant et signe un DPA à la mise en place. Votre dossier est traité dans un compte isolé, sur un disque chiffré, sur une machine dédiée en Belgique ; les sauvegardes sont chiffrées et stockées dans l'Union européenne. Seules vos adresses autorisées peuvent confier du travail à votre secrétaire, et rien ne part sans votre OUI, vérifié par le système. Les sous-traitants, leur rôle et leur localisation sont publiés.
Sécurité et données chez NOVA · politique de confidentialité.
Ce guide présente les grandes règles du RGPD (règlement (UE) 2016/679) et du règlement (UE) 2024/1689 sur l'intelligence artificielle. Il ne constitue pas un avis juridique.