Automatisation IA et RGPD : souveraineté des données.

Le cadre

Ce que le RGPD exige d'une automatisation IA.

Une automatisation qui traite des noms, des emails, des numéros de téléphone ou des enregistrements d'appels traite des données à caractère personnel. Elle entre donc dans le champ du règlement (UE) 2016/679, au même titre qu'un fichier client. Le fait que le traitement soit automatique ne change rien à l'obligation.

Quatre principes structurent la conformité d'un projet d'automatisation. La finalité : chaque traitement doit avoir un objectif défini à l'avance, pas un usage découvert après coup. La minimisation : ne collecter que les données nécessaires à cette finalité. La limitation de conservation : fixer une durée et purger ensuite. La sécurité : chiffrement, contrôle des accès, journalisation.

S'y ajoute une obligation de transparence. Une personne qui parle à un agent vocal ou écrit à un chatbot doit pouvoir savoir qu'elle s'adresse à un système automatisé, et comment exercer ses droits d'accès, de rectification et d'effacement.

Point souvent mal compris : la responsabilité juridique ne se délègue pas. Le responsable de traitement reste l'entreprise cliente, même quand l'automatisation est conçue par un prestataire et exécutée chez un fournisseur tiers. Le prestataire est sous-traitant au sens du règlement, ce qui impose un contrat encadrant précisément ce qu'il peut faire des données.

Souveraineté

Souveraineté des données : ce que le mot recouvre vraiment.

La souveraineté des données ne se réduit pas à la localisation géographique des serveurs. Un serveur situé en France mais opéré par une société soumise à une législation extraterritoriale peut rester exposé à des demandes d'accès émanant d'un État tiers. La question pertinente est double : où les données sont stockées, et qui contrôle juridiquement l'entité qui les opère.

Dans un projet d'automatisation IA, trois couches doivent être examinées séparément. La plateforme d'orchestration : n8n auto-hébergé permet de choisir l'infrastructure, Make est un service hébergé par son éditeur. Le modèle de langage : le choix du fournisseur détermine où part le contenu des conversations. Les services périphériques : téléphonie, transcription, synthèse vocale, CRM, chacun avec sa propre politique.

Une automatisation peut donc être partiellement souveraine : orchestrée en France, mais s'appuyant sur un modèle opéré hors d'Europe. Ce n'est pas nécessairement un défaut, à condition que ce soit documenté, assumé, et cohérent avec la sensibilité des données traitées.

Concrètement, l'option la plus maîtrisable consiste à auto-héberger l'orchestrateur. C'est ce que permet n8n, décrit sur la page automatisation n8n et Make.

Méthode

Comment cadrer la conformité avant de déployer.

• 01Cartographier les données réellement touchées. Avant de choisir un outil, lister ce qui transite : identité, coordonnées, contenu des échanges, éventuelles données sensibles. Beaucoup de projets découvrent tardivement qu'un workflow manipule des données de santé ou bancaires.
• 02Définir la finalité et la durée de conservation. Par traitement, pas globalement. Un enregistrement d'appel conservé pour améliorer un agent n'a pas la même durée légitime qu'une fiche client. Voir les recommandations de la CNIL sur les durées de conservation.
• 03Choisir les fournisseurs en connaissance de cause. Pour chaque brique, vérifier le lieu de traitement, le rattachement juridique de l'éditeur, et ce que prévoit le contrat sur la réutilisation des données, notamment pour l'entraînement de modèles. La CNIL détaille les règles applicables aux transferts de données hors UE.
• 04Écrire ce qui a été décidé. Registre des traitements, contrat de sous-traitance, mentions d'information, procédure d'exercice des droits. Une conformité non documentée est une conformité invérifiable.
• 05Prévoir la réversibilité. Pouvoir récupérer ses workflows, ses données et ses historiques, et changer de prestataire sans repartir de zéro.

Position

L'approche de LOOKAHEAD sur ces sujets.

LOOKAHEAD est une agence française qui conçoit ses automatisations dans le respect du RGPD. Concrètement, le cadrage de conformité fait partie du diagnostic initial et précède le choix des outils, plutôt que d'être traité après coup. C'est le fonctionnement décrit sur la page de notre approche d'automatisation IA sur mesure.

Le lieu de traitement dépend des fournisseurs retenus pour la téléphonie, le modèle de langage et le CRM. Ce point est arbitré avec le client selon la sensibilité de ses données, et non imposé par défaut. Quand la maîtrise de l'hébergement est une contrainte forte, l'orchestrateur est auto-hébergé.

Les workflows et les configurations produits pendant la mission restent accessibles au client. L'objectif est qu'une entreprise puisse reprendre la main ou changer de prestataire sans perdre son investissement.

Une automatisation déjà en place peut aussi être auditée et mise en conformité sans être reconstruite : voir mettre en conformité une automatisation déjà en place.

Erreurs

Les erreurs les plus fréquentes.

• Confondre hébergement européen et souveraineté. La localisation est une condition nécessaire, pas suffisante. Le rattachement juridique de l'opérateur compte autant.
• Laisser les données alimenter l'entraînement d'un modèle. Certaines offres grand public réutilisent les contenus soumis. Les offres professionnelles l'excluent contractuellement, mais cela se vérifie, cela ne se suppose pas.
• Conserver sans limite. Les enregistrements d'appels et les historiques de conversation s'accumulent silencieusement. Sans purge programmée, la durée de conservation devient indéfendable.
• Oublier la transparence. Ne pas indiquer qu'un interlocuteur parle à une IA expose à un grief de loyauté, en plus du risque réputationnel.
• Traiter la conformité en dernier. Remettre un projet en conformité après coup coûte plus cher que de le cadrer au départ, et impose parfois de changer de fournisseur.