Brancher une IA sur les conversations clients du cabinet : la checklist RGPD

Sommaire

1. Savoir d'abord ce qui sort du cabinet
2. Sous-traitant ou responsable de traitement : la question qui structure le contrat
3. Six questions à poser avant de signer
4. Quand une analyse d'impact devient obligatoire
5. Réponse automatique, décision automatisée et information des clients
6. Questions fréquentes

Un assistant qui résume une conversation, classe un message entrant ou prépare un brouillon de réponse ne travaille pas sur des données abstraites. Il lit ce que vos clients vous écrivent : un arrêt de travail, un RIB, une photo de carte grise, la mention d'un divorce en cours. Dans un cabinet de courtage, la messagerie est probablement l'endroit du système d'information où se concentrent les données les plus sensibles — et c'est précisément celui qu'on branche en premier sur une IA.

Ce n'est pas une raison pour s'en priver. C'est une raison pour poser, avant la signature, six ou sept questions que le prestataire ne posera pas à votre place. Cet article traite le volet protection des données ; les obligations issues du règlement européen sur l'IA sont couvertes dans l'article consacré à l'AI Act pour les cabinets de courtage, et la répartition des validations entre machine et conseiller dans celui sur qui valide quoi. Les trois questions sont distinctes et se traitent séparément.

Savoir d'abord ce qui sort du cabinet

La première erreur consiste à raisonner sur l'outil plutôt que sur le flux. La bonne question n'est pas « ce logiciel est-il conforme ? » mais « quelles données quittent mon système d'information, vers quel destinataire, pour combien de temps ? ». Le tableau suivant reprend ce qu'on trouve réellement dans les fils de conversation d'un cabinet.

Catégorie	Exemple dans une conversation de cabinet	Point de vigilance
Identité et coordonnées	Nom, numéro de téléphone, adresse du risque	Base du traitement, à documenter au registre
Données de contrat	Garanties, cotisation, sinistres antérieurs	Secret professionnel et confidentialité contractuelle
Données de santé	Arrêt de travail, questionnaire de santé, motif d'hospitalisation en prévoyance ou en emprunteur	Catégorie particulière au sens de l'article 9 du RGPD : traitement interdit par principe, sauf exception applicable
Données bancaires	RIB envoyé en photo, rejet de prélèvement	Minimisation : ces pièces n'ont aucune raison d'être soumises à un modèle
Pièces jointes	Carte d'identité, permis, constat amiable, facture	Le contenu d'une image part avec elle si l'outil la lit
Appréciations produites par l'outil	Score de risque d'attrition, sentiment, niveau d'urgence	Ce sont des données personnelles nouvelles, créées par vous, et du profilage

La dernière ligne est celle qu'on oublie le plus souvent. Un score attribué à un client est une donnée le concernant : il entre au registre, il est communicable au titre du droit d'accès, et il doit pouvoir être expliqué. Le rappel des principes du RGPD vaut aussi pour les données que le cabinet fabrique lui-même.

Sous-traitant ou responsable de traitement : la question qui structure le contrat

Si le prestataire traite vos conversations pour votre compte et selon vos instructions, il est sous-traitant : l'article 28 du RGPD impose alors un contrat écrit précisant l'objet, la durée, les catégories de données, les mesures de sécurité, le sort des données en fin de contrat et l'encadrement des sous-traitants ultérieurs. S'il détermine lui-même une finalité — améliorer son produit, entraîner un modèle sur vos échanges — il devient responsable de traitement pour cette finalité, et le régime change entièrement. La CNIL a publié une série de fiches pratiques consacrées précisément à cette qualification dans les projets d'IA.

En pratique, tout se joue sur la chaîne : votre prestataire s'appuie presque toujours sur un fournisseur de modèle, lequel héberge quelque part. Demandez la liste nominative des sous-traitants ultérieurs et le pays d'hébergement. Un transfert hors Union européenne n'est pas interdit, mais il suppose un encadrement — décision d'adéquation ou clauses contractuelles types — que le contrat doit nommer. Le Comité européen de la protection des données a par ailleurs rappelé fin 2024 qu'un modèle entraîné à partir de données personnelles ne peut pas être présumé anonyme, et que le recours à l'intérêt légitime suppose une analyse documentée.

Six questions à poser avant de signer

1. Quel modèle, quel fournisseur, dans quel pays ? Une réponse vague est en soi une réponse. Le nom du modèle et la région d'hébergement doivent figurer dans la documentation contractuelle, pas dans un échange commercial.
2. Mes conversations servent-elles à entraîner le modèle ? La seule réponse exploitable est un « non » écrit dans le contrat, assorti de la mention des éventuelles exceptions. Une case décochée dans une interface ne vaut pas engagement.
3. Combien de temps les échanges sont-ils conservés chez le prestataire ? Distinguez la conservation dans l'outil, que vous pilotez, de la rétention chez le fournisseur du modèle, que vous ne pilotez pas. Les deux durées doivent être écrites.
4. Qui peut lire une conversation côté prestataire ? Les accès du support technique sont normaux ; ce qui doit exister, c'est leur journalisation et un engagement de confidentialité nominatif.
5. Que se passe-t-il quand un client demande l'effacement ? La suppression dans votre interface ne suffit pas si des copies subsistent chez un sous-traitant ultérieur. Faites décrire le circuit complet, délai compris.
6. Que devient l'ensemble en fin de contrat ? Restitution dans un format exploitable, puis suppression attestée. Un export CSV de vos clients et de vos échanges est le minimum : sans réversibilité, la conformité du jour ne protège pas de l'enfermement de demain.

Quand une analyse d'impact devient obligatoire

L'article 35 du RGPD impose une analyse d'impact relative à la protection des données lorsqu'un traitement est susceptible d'engendrer un risque élevé. Les lignes directrices européennes reprises par la CNIL déclinent ce critère en une liste de neuf indices — évaluation ou notation, traitement à grande échelle, données sensibles, croisement de jeux de données, usage innovant, entre autres — et retiennent qu'à partir de deux indices réunis, l'analyse est en principe nécessaire.

Un cabinet qui fait analyser ses conversations par une IA en réunit facilement deux : le score de risque relève de la notation, et les conversations d'un portefeuille santé ou prévoyance contiennent des données de santé. L'AIPD n'est pas un document de cinquante pages : c'est une description du traitement, une évaluation de sa nécessité, un recensement des risques pour les personnes et les mesures retenues. La CNIL met à disposition un logiciel libre pour la conduire. Le vrai bénéfice n'est d'ailleurs pas le document : c'est la conversation qu'il force à avoir sur les données qu'on n'aurait jamais dû envoyer.

Réponse automatique, décision automatisée et information des clients

L'article 22 du RGPD encadre les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant significativement la personne. Un accusé de réception envoyé seul n'entre pas dans cette catégorie ; un refus de garantie, une tarification ou une résiliation décidés sans intervention humaine, oui. La frontière est utile parce qu'elle recoupe exactement celle du devoir de conseil : ce qui engage le cabinet vis-à-vis du client se relit avant d'être envoyé. C'est aussi ce qui sépare un automate d'une IA supervisée, sujet traité dans le comparatif chatbot ou IA supervisée.

Reste l'information des personnes. Elle se joue en deux endroits : la politique de confidentialité du cabinet, qui doit mentionner le recours à un outil d'analyse automatisée des échanges et les destinataires correspondants, et le moment de la collecte du numéro, où une phrase suffit. Inutile d'écrire un paragraphe juridique dans un message WhatsApp : la mention doit être exacte, pas exhaustive.

Côté outillage, ORIS s'inscrit dans cette logique plutôt qu'il ne la contourne : l'IA classe les réponses entrantes et prépare des brouillons, l'auto-reply ne se déclenche que sous des règles définies par le cabinet et bascule en brouillon avec notification dès qu'une escalade humaine s'impose, et les journaux d'audit gardent la trace de ce qui a été envoyé automatiquement. Ce sont ces trois éléments — périmètre des règles, brouillon plutôt qu'envoi, traçabilité — que votre AIPD décrira, quel que soit l'éditeur retenu. D'autres angles sur le sujet sont regroupés dans les articles du blog consacrés à l'IA.

Questions fréquentes

Faut-il le consentement du client pour qu'une IA lise nos échanges ?

Pas systématiquement. Pour les données ordinaires, l'exécution du contrat ou l'intérêt légitime du cabinet peuvent suffire, à condition d'être documentés et de laisser au client un droit d'opposition effectif. Les données de santé relèvent en revanche du régime particulier de l'article 9, où le consentement explicite est le plus souvent la voie retenue en assurance : la question mérite d'être tranchée par écrit, traitement par traitement.

Notre prestataire dit être « conforme RGPD ». Cela suffit-il ?

Non, et pour une raison structurelle : la conformité est celle du traitement, pas celle d'un logiciel. Le responsable de traitement reste le cabinet. Une mention commerciale sur un site ne remplace ni le contrat de sous-traitance de l'article 28, ni la liste des sous-traitants ultérieurs, ni la documentation des durées de conservation. Demandez les documents, pas la promesse.

Peut-on utiliser un assistant grand public pour rédiger une réponse client ?

Coller le message d'un client dans un outil non contractualisé revient à transférer ses données à un tiers sans base ni encadrement, et les conditions de ces services prévoient souvent une réutilisation des saisies. Si l'usage existe déjà dans le cabinet — c'est fréquent — mieux vaut le reconnaître, l'encadrer par une note interne et proposer un outil contractualisé plutôt que l'interdire sur le papier.

Un cabinet de dix personnes doit-il désigner un délégué à la protection des données ?

La désignation n'est obligatoire que dans les cas prévus par l'article 37, notamment le suivi systématique à grande échelle ou le traitement à grande échelle de données sensibles, ce qui suppose une appréciation au cas par cas. Beaucoup de cabinets choisissent malgré tout un référent interne identifié : cela ne coûte rien et évite que le registre et les demandes de droits ne soient l'affaire de personne.

Que répondre à un client qui demande ce que l'IA sait de lui ?

Ce qu'il demande est un droit d'accès, et il porte aussi sur les scores et catégorisations produits par l'outil. Une réponse honnête décrit les données détenues, leur origine, la logique générale de la notation et les destinataires. C'est la meilleure raison pratique de préférer des règles explicites à une boîte noire : on ne peut expliquer que ce que l'on a soi-même paramétré.