Déployer une IA sur des documents internes fait entrer l'entreprise dans le champ du RGPD à plusieurs titres. Voici les obligations concrètes, et les pièces qu'un prestataire sérieux doit vous fournir sans que vous ayez à les demander.
Dès qu'un prestataire traite des données personnelles pour votre compte, un contrat conforme à l'article 28 du RGPD est obligatoire. Il précise la finalité, la nature des opérations, les catégories de données et de personnes concernées, la durée, et les obligations du sous-traitant.
C'est la première pièce que réclame un cabinet d'avocats, un laboratoire ou un établissement de santé avant de signer. Un prestataire qui ne l'a pas préparé n'a pas mesuré son marché.
L'article 30 impose de tenir un registre des activités de traitement. Il doit refléter la réalité, y compris les traitements confiés à des tiers, et être présentable en cas de contrôle ou d'audit client.
Le tenir vide ou approximatif est plus risqué que de ne pas l'avoir : cela démontre une connaissance de l'obligation sans son exécution.
Vous devez savoir où sont hébergées vos données et qui y accède. Un prestataire doit vous communiquer la liste de ses propres sous-traitants — hébergeur, fournisseur de modèle, service de sauvegarde — et vous informer avant d'en changer.
Un transfert hors Union européenne n'est pas interdit, mais il doit être encadré et documenté. L'absence d'information sur ce point est un signal d'alerte.
Mesurez avant d'acheter. Une semaine d'observation dans votre organisation vaut plus qu'une statistique de secteur : un dirigeant ne se déplace que pour ses propres chiffres.
Commencez petit. Une vingtaine de documents réellement consultés et cinq utilisateurs suffisent à savoir si l'outil s'installe dans les habitudes.
Choisissez ce dont vous pouvez sortir. Un délai de restitution chiffré et l'absence de frais de sortie rendent l'erreur peu coûteuse.
Un système d'IA ne remplace pas une organisation. Si l'information n'a jamais été écrite, il n'y a rien à indexer et le problème se règle ailleurs.
Il ne fait pas le travail à la place des équipes : il supprime le temps de recherche, pas le temps de traitement.
Et il ne sert à rien si une seule personne l'utilise. Nous mesurons l'usage et nous le disons si l'adoption ne prend pas — c'est plus utile qu'un renouvellement automatique.
À la fin de la relation, vous devez pouvoir récupérer vos données dans un format exploitable, ou en obtenir la destruction avec un certificat sur demande.
Une clause de réversibilité sans frais et sous délai court est le meilleur indicateur de sérieux d'un prestataire.
Elle s'impose lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits des personnes. Un moteur de réponse sur de la documentation professionnelle n'y est pas systématiquement soumis, mais l'analyse doit être conduite au cas par cas.
Pas sans précautions particulières. Les données de l'article 9 — santé, biométrie, opinions, appartenance syndicale — appellent un cadre renforcé et un avenant explicite.
Il ne le peut qu'avec votre instruction documentée. En l'absence de clause explicite l'interdisant, exigez-la par écrit avant de transmettre quoi que ce soit.
Le contrat de sous-traitance article 28, la liste nominative des sous-traitants ultérieurs avec leur localisation, la politique de sauvegarde, et la clause de réversibilité.