IA et RGPD : ce qu'un dirigeant doit régler avant de laisser l'IA lire les mails de ses clients

Quand on propose à un dirigeant de brancher une IA sur sa messagerie et sur son logiciel de gestion, la question des données arrive très vite, et c’est une bonne chose. Les messages de vos clients contiennent des noms, des adresses, des commandes, parfois des réclamations. Votre logiciel de gestion contient tout l’historique de vos clients. Ce sont des données personnelles, et le RGPD s’applique.

La bonne nouvelle, c’est que le RGPD n’interdit pas d’utiliser l’IA. Il demande surtout de savoir ce qu’on fait, avec quel outil, dans quel cadre, et de pouvoir le montrer. Pour une entreprise de dix personnes, ça tient en quelques vérifications, à condition de les faire avant de brancher l’outil, et pas après.

Ce sujet fait partie de ce que je fais pour les entreprises : chaque installation commence par ces vérifications.

Un avertissement avant d’aller plus loin : je ne suis pas juriste. Cet article explique les principes et les réflexes que j’applique sur le terrain. Pour un cas sensible, comme des données de santé ou un secret professionnel, il faut un avis juridique.

Vous restez responsable, quel que soit l’outil

C’est le point qui surprend le plus. Quand votre entreprise utilise une IA pour traiter les messages de ses clients, c’est votre entreprise qui reste responsable du traitement au sens du RGPD. L’éditeur de l’IA (OpenAI pour ChatGPT, Anthropic pour Claude, Microsoft pour Copilot, Google pour Gemini) agit pour votre compte, comme un sous-traitant, au même titre que votre hébergeur de messagerie ou votre logiciel de comptabilité.

Concrètement, ça veut dire que « c’est l’outil qui a fait ça » n’est jamais une réponse valable. Si une donnée sort de son cadre, c’est à votre entreprise qu’on le demandera. D’où l’intérêt de choisir le cadre avant de commencer.

Compte personnel ou offre professionnelle : la vraie ligne de partage

C’est ici que tout se joue. Il existe deux mondes très différents chez les éditeurs d’IA.

Le premier, ce sont les comptes personnels, gratuits ou payants, que chacun ouvre avec son adresse e-mail. Selon les réglages, les conversations peuvent servir à entraîner les modèles, et surtout, il n’existe aucun contrat entre votre entreprise et l’éditeur. Pour le RGPD, c’est le problème principal : vous confiez des données de clients à un prestataire avec qui vous n’avez rien signé.

Le second, ce sont les offres professionnelles (les formules équipe ou entreprise des grands éditeurs, et l’accès par API). Elles s’engagent par contrat à ne pas utiliser vos données pour entraîner leurs modèles, et elles proposent un accord de traitement des données, le contrat de sous-traitance que le RGPD exige à son article 28.

La règle qui en découle est simple : dès que l’IA touche aux données de vos clients, elle doit passer par une offre professionnelle, avec un accord de traitement accepté au nom de l’entreprise. Un salarié qui colle un mail client dans son ChatGPT personnel, même avec les meilleures intentions, sort de ce cadre. C’est exactement le genre de règle qu’une charte IA dans l’entreprise permet de poser noir sur blanc.

Les cinq vérifications avant de brancher quoi que ce soit

Voici ce que je vérifie, dans cet ordre, avant de relier une IA à la messagerie ou au logiciel de gestion d’un client.

1. Le contrat. L’outil passe-t-il par une offre professionnelle, avec un accord de traitement des données accepté au nom de l’entreprise ? Si la réponse est non, on s’arrête là.
2. Le lieu des données. Où sont-elles traitées, et si c’est hors de l’Union européenne, comment le contrat encadre-t-il ce transfert ? La réponse est dans l’accord de traitement de l’éditeur ; il faut la lire, pas la supposer.
3. Le strict nécessaire. L’IA a-t-elle accès uniquement à ce dont elle a besoin ? Pour préparer une réponse sur une commande, elle a besoin de la commande, pas de toute la comptabilité. Les accès se règlent au plus juste, et de préférence en lecture seule tant que rien ne justifie d’écrire.
4. Le registre. Le RGPD demande de tenir un registre des traitements. L’usage d’une IA pour traiter les messages des clients doit y figurer : ce qu’elle fait, sur quelles données, avec quel prestataire.
5. L’information des clients. Votre politique de confidentialité doit mentionner que vous faites appel à des prestataires pour traiter les messages, et lesquels. Et si une IA dialogue directement avec vos clients, sans humain entre les deux, le règlement européen sur l’IA prévoit qu’ils sachent qu’ils parlent à une machine.

Ce que ça donne sur un vrai chantier

À la Chocolaterie du Nouveau Monde, à La Fouillade, l’assistant lit les messages des clients et prépare des réponses en allant chercher l’information dans Odoo, le logiciel de gestion de l’entreprise. Trois choix ont été faits dès le départ pour rester dans ce cadre.

• Les accès passent par des clés que Benjamin, le dirigeant, a créées lui-même dans son logiciel. Il peut les retirer à tout moment, et l’accès s’arrête immédiatement.
• Sa boîte mail reste la sienne. Nous n’avons pas d’accès à sa messagerie : le choix retenu est que ce soit son propre assistant qui y travaille.
• Rien ne part sans lui. L’assistant prépare des brouillons, et c’est Benjamin qui relit et qui envoie. Aucune décision qui touche un client n’est prise par la machine.

Aucun de ces choix n’est technique au sens compliqué du terme. Ce sont des décisions de bon sens, prises avant d’installer, et qui rendent le dispositif facile à expliquer à un client qui poserait la question.

L’autre obligation qu’on oublie : former l’équipe

Le règlement européen sur l’IA contient une obligation entrée en application en février 2025, et que peu de dirigeants connaissent : une entreprise qui utilise l’IA doit s’assurer que les personnes qui s’en servent ont un niveau suffisant de maîtrise de ces outils.

Ça ne demande pas un diplôme. Ça demande que chacun sache ce que l’outil fait, ce qu’il ne faut pas lui confier, et quand il ne faut pas lui faire confiance. C’est d’ailleurs la meilleure protection pour vos données : la plupart des fuites ne viennent pas d’une faille technique, mais d’un copier-coller fait sans réfléchir.

Ce que le RGPD ne vous demande pas

Pour finir, quelques idées reçues qui bloquent inutilement des projets.

• Le RGPD n’interdit pas l’IA, ni les prestataires américains. Il demande un cadre : un contrat, un registre, une information, le strict nécessaire.
• Il ne vous demande pas l’accord de chaque client pour utiliser un outil qui vous aide à lui répondre, dès lors que vous traitez ses données pour la raison pour laquelle il vous les a confiées (répondre à sa demande, livrer sa commande) et que vous l’en informez.
• Il ne vous demande pas d’être infaillible. Il vous demande d’avoir réfléchi avant, et de pouvoir le montrer.

En résumé

• Votre entreprise reste responsable des données, même quand c’est une IA qui les traite.
• Dès que l’IA touche aux données de vos clients, elle doit passer par une offre professionnelle avec un accord de traitement des données, jamais par un compte personnel.
• Avant de brancher : le contrat, le lieu des données, le strict nécessaire, le registre, l’information des clients.
• Gardez un humain qui valide avant que rien ne parte, et formez l’équipe qui s’en sert.

---

Vous voulez que l’IA vous aide à répondre à vos clients, sans vous mettre en défaut sur leurs données ? C’est précisément ce que je fais : je relie votre messagerie et votre logiciel de gestion dans un cadre propre, et vous validez avant que rien ne parte. Parlons de votre entreprise : le premier échange de vingt minutes est gratuit.