Les agents IA sont-ils conformes au RGPD ?

Les agents IA *peuvent* être conformes au RGPD - mais la conformité n'a rien d'automatique, et beaucoup d'outils répandus sont hébergés aux États-Unis d'une manière qui la complique pour les entreprises européennes. Voici ce qui compte vraiment, sans le jargon juridique. (Il s'agit d'orientations générales, pas d'un avis juridique.)

1. Où les données sont-elles hébergées ?

Le RGPD n'interdit pas aux données de quitter l'UE, mais tout transfert hors de ses frontières exige des garanties, comme les clauses contractuelles types. Le plus simple reste de maintenir le traitement dans l'UE dès le départ. Chatixy est hébergé dans l'UE : votre base de connaissances et les conversations de vos visiteurs sont traitées au sein de l'Union européenne.

2. Qui est le responsable du traitement, et qui en est le sous-traitant ?

Pour les messages qu'envoient vos visiteurs, c'est vous le responsable du traitement, et le fournisseur de l'agent de support est votre sous-traitant, qui agit selon vos instructions dans le cadre d'un accord de traitement des données (DPA). Assurez-vous que votre fournisseur propose un DPA ainsi qu'une liste claire de ses sous-traitants ultérieurs.

3. Les fournisseurs d'IA s'entraînent-ils sur vos données ?

C'est la question sur laquelle bien des outils trébuchent. Pour produire des réponses, le contenu pertinent est transmis à un fournisseur de grand modèle de langage. La configuration conforme veut que ce fournisseur agisse comme sous-traitant ultérieur dans le cadre d'un DPA et n'utilise pas votre contenu pour entraîner ses modèles à usage général. Chatixy fonctionne ainsi.

4. Transparence et règlement européen sur l'IA

Un assistant d'assistance client est un système d'IA à risque limité au sens du règlement européen sur l'IA, où l'obligation centrale est la transparence : indiquer aux personnes qu'elles dialoguent avec une IA. Concrètement, cela revient à présenter clairement l'agent comme une IA, à proposer un transfert facile vers un humain et à mentionner l'agent de support dans votre propre avis de confidentialité.

5. Droits des personnes concernées

Visiteurs et clients peuvent demander à accéder à leurs données ou à les faire supprimer. Votre fournisseur devrait rendre l'export et la suppression simples ; Chatixy efface les données personnelles dans les 30 jours suivant la suppression du compte, sauf lorsque la loi impose une conservation plus longue.

En bref

Un agent de support est conforme au RGPD lorsque les données sont hébergées de façon appropriée (idéalement dans l'UE), qu'un DPA est en place, que les fournisseurs de modèles ne s'entraînent pas sur votre contenu et que vous restez transparent envers vos visiteurs. Chatixy est pensé en priorité pour l'UE, afin que tout cela soit la norme plutôt qu'un montage à concevoir vous-même.