Agent IA et RGPD : les règles à respecter

Un agent IA manipule presque toujours des données personnelles : des noms, des adresses e-mail, des numéros de téléphone, parfois plus. Le RGPD s’applique donc. Bonne nouvelle : les règles sont claires, et un projet bien préparé les respecte sans difficulté. Voici l’essentiel, expliqué simplement.

1. Savoir pourquoi vous traitez ces données

Chaque traitement doit avoir un objectif précis (« préparer les devis à partir des demandes reçues ») et une base légale. Pour la plupart des agents, c’est l’exécution d’un contrat ou d’une demande du client, ou votre intérêt légitime. Notez-le dans votre registre des traitements.

2. Ne donner que le nécessaire

C’est le principe de minimisation : l’agent n’a accès qu’aux données utiles à sa tâche. Un agent de rendez-vous a besoin de votre agenda, pas de votre comptabilité. Je définis toujours ces accès dans le cahier des charges.

3. Encadrer la sous-traitance

Si un prestataire traite des données pour votre compte (par exemple la plateforme sur laquelle tourne l’agent), un contrat doit préciser ses obligations : c’est l’article 28 du RGPD. Avec le Kit Agent, l’agent tourne dans votre propre compte n8n : vous choisissez vous-même vos outils et leurs conditions.

Vérifiez aussi où les données sont hébergées. Si elles sortent de l’Union européenne, des garanties particulières sont nécessaires.

4. Informer les personnes

Vos clients doivent savoir que leurs données sont traitées, pourquoi et comment exercer leurs droits. En pratique : une mise à jour de votre politique de confidentialité suffit souvent.

Le règlement européen sur l’IA ajoute une règle de transparence : les personnes doivent savoir qu’elles échangent avec une IA lorsque ce n’est pas évident. Ces obligations s’appliquent depuis le 2 août 2026. Concrètement, si votre agent répond à vos clients, il le dit, par exemple dans la signature de ses messages.

5. Conserver le moins longtemps possible

Définissez combien de temps l’agent garde les informations (l’historique d’une conversation, par exemple) et supprimez le reste.

6. Sécuriser les accès

• Jamais de mot de passe transmis par e-mail : chez moi, les outils se connectent avec vous, en visio.
• Des accès limités à ce qui est nécessaire.
• Un agent qui fonctionne dans votre espace, à votre nom.

7. Garder un humain dans la boucle

Pour les décisions qui ont un effet important sur une personne, une validation humaine est indispensable. C’est aussi une bonne pratique tout court : j’en parle dans cet article.

Les cas qui demandent plus de précautions

Données de santé, informations couvertes par le secret professionnel, données bancaires : ces cas demandent une analyse spécifique. Je les aborde dans les articles consacrés aux cabinets de santé et aux cabinets d’avocats.

Pour voir comment je traite vos propres données, consultez ma politique de confidentialité.