Déployer une IA sur vos dossiers et documents de travail soulève trois questions distinctes : la confidentialité des briefs clients, le RGPD, et depuis le 2 août 2026 l'article 50 du règlement européen sur l'IA. Cette page les traite séparément.
Avant même le RGPD, la confidentialité des briefs clients encadre ce que vous pouvez confier à un tiers. Indexer vos dossiers et documents de travail dans un système externe suppose que ce système soit contractuellement lié par une obligation de confidentialité équivalente.
Un contrat de sous-traitance article 28 seul ne suffit pas : il faut une clause de confidentialité explicite couvrant les personnes ayant accès au système, et l'engagement que les contenus ne servent à aucune finalité autre que la réponse à vos propres questions.
C'est la première pièce à réclamer, avant toute discussion technique ou tarifaire.
Vous restez responsable de traitement, le prestataire est sous-traitant. Le contrat article 28 doit décrire la finalité, la nature des opérations, les catégories de données et de personnes, la durée de conservation et les obligations de sécurité.
Vous devez pouvoir nommer les sous-traitants ultérieurs — hébergeur, fournisseur de modèle, service de sauvegarde — et connaître la localisation des données. Un transfert hors Union européenne n'est pas interdit, mais il doit être encadré et documenté.
Le registre des traitements doit refléter ce nouveau traitement. Le tenir vide est plus risqué que de ne pas l'avoir.
Sur les 29 établissements recensés, la note publique moyenne s'établit à 4,9 sur cinq, pour un total de 1 122 avis. L'établissement le plus commenté en compte 390 à lui seul, ce qui donne une idée du volume de contacts qui transitent par les canaux publics.
2 structures exploitent plusieurs sites ou appartiennent à un réseau. Dans cette configuration, chaque établissement finit par développer sa propre version des mêmes procédures, et l'écart se creuse sans que personne ne le mesure.
Depuis le 2 août 2026, une personne qui interagit avec un système d'intelligence artificielle doit en être informée, au plus tard lors de la première interaction. Cela vaut pour vos équipes comme pour vos clients.
Pour les agences de communication, la conséquence pratique est double : une mention visible sur toute interface conversationnelle, et une supervision humaine des décisions prises sur la base des réponses fournies.
Le Digital Omnibus a reporté les systèmes à haut risque de l'annexe III au 2 décembre 2027. L'obligation de transparence n'est pas concernée par ce report.
Le contrat de sous-traitance article 28, complété — pas un modèle vierge.
La liste nominative des sous-traitants ultérieurs, avec leur localisation.
L'engagement écrit que vos contenus ne servent pas à entraîner un modèle.
La clause de réversibilité : délai de restitution, format, absence de frais.
La documentation de conformité qui vous permet de tenir vos propres obligations de déployeur.
Ces cinq pièces sont remises au démarrage, sans que vous ayez à les demander. Le moteur ne répond que depuis vos propres documents et cite systématiquement sa source, ce qui rend chaque réponse vérifiable.
Pour les agences de communication, c'est cette traçabilité qui compte : une réponse dont on peut remonter à l'origine est opposable, une réponse générée ne l'est pas.
Oui, à condition que le prestataire soit lié par une obligation de confidentialité équivalente, que les données restent cloisonnées à votre organisation, et qu'aucun usage secondaire ne soit possible. Ces trois points doivent figurer au contrat.
Elle s'impose lorsque le traitement présente un risque élevé pour les droits des personnes. Selon la nature des documents indexés, elle peut être nécessaire : l'appréciation se fait au cas par cas.
Vous devez pouvoir présenter le registre des traitements, le contrat de sous-traitance et la documentation de sécurité. Ces pièces vous sont remises au démarrage.
La clause de réversibilité prévoit la restitution intégrale de vos contenus sous quinze jours ouvrés, sans frais, ou leur destruction avec certificat.