Ce que le règlement impose réellement à une automatisation ou à un agent IA, ce que recouvre la souveraineté des données, et comment cadrer un projet avant de choisir les outils.
Une automatisation qui traite des noms, des emails, des numéros de téléphone ou des enregistrements d'appels traite des données à caractère personnel. Elle entre donc dans le champ du RGPD, au même titre qu'un fichier client. Le fait que le traitement soit automatique ne change rien à l'obligation.
Quatre principes structurent la conformité d'un projet d'automatisation. La finalité : chaque traitement doit avoir un objectif défini à l'avance, pas un usage découvert après coup. La minimisation : ne collecter que les données nécessaires à cette finalité. La limitation de conservation : fixer une durée et purger ensuite. La sécurité : chiffrement, contrôle des accès, journalisation.
S'y ajoute une obligation de transparence. Une personne qui parle à un agent vocal ou écrit à un chatbot doit pouvoir savoir qu'elle s'adresse à un système automatisé, et comment exercer ses droits d'accès, de rectification et d'effacement.
Point souvent mal compris : la responsabilité juridique ne se délègue pas. Le responsable de traitement reste l'entreprise cliente, même quand l'automatisation est conçue par un prestataire et exécutée chez un fournisseur tiers. Le prestataire est sous-traitant au sens du règlement, ce qui impose un contrat encadrant précisément ce qu'il peut faire des données.
La souveraineté des données ne se réduit pas à la localisation géographique des serveurs. Un serveur situé en France mais opéré par une société soumise à une législation extraterritoriale peut rester exposé à des demandes d'accès émanant d'un État tiers. La question pertinente est double : où les données sont stockées, et qui contrôle juridiquement l'entité qui les opère.
Dans un projet d'automatisation IA, trois couches doivent être examinées séparément. La plateforme d'orchestration : n8n auto-hébergé permet de choisir l'infrastructure, Make est un service hébergé par son éditeur. Le modèle de langage : le choix du fournisseur détermine où part le contenu des conversations. Les services périphériques : téléphonie, transcription, synthèse vocale, CRM, chacun avec sa propre politique.
Une automatisation peut donc être partiellement souveraine : orchestrée en France, mais s'appuyant sur un modèle opéré hors d'Europe. Ce n'est pas nécessairement un défaut, à condition que ce soit documenté, assumé, et cohérent avec la sensibilité des données traitées.
Concrètement, l'option la plus maîtrisable consiste à auto-héberger l'orchestrateur. C'est ce que permet n8n, décrit sur la page automatisation n8n et Make.
1. Cartographier les données réellement touchées. Avant de choisir un outil, lister ce qui transite : identité, coordonnées, contenu des échanges, éventuelles données sensibles. Beaucoup de projets découvrent tardivement qu'un workflow manipule des données de santé ou bancaires.
2. Définir la finalité et la durée de conservation. Par traitement, pas globalement. Un enregistrement d'appel conservé pour améliorer un agent n'a pas la même durée légitime qu'une fiche client.
3. Choisir les fournisseurs en connaissance de cause. Pour chaque brique, vérifier le lieu de traitement, le rattachement juridique de l'éditeur, et ce que prévoit le contrat sur la réutilisation des données, notamment pour l'entraînement de modèles.
4. Écrire ce qui a été décidé. Registre des traitements, contrat de sous-traitance, mentions d'information, procédure d'exercice des droits. Une conformité non documentée est une conformité invérifiable.
5. Prévoir la réversibilité. Pouvoir récupérer ses workflows, ses données et ses historiques, et changer de prestataire sans repartir de zéro.
LookAhead est une agence française qui conçoit ses automatisations dans le respect du RGPD. Concrètement, le cadrage de conformité fait partie du diagnostic initial et précède le choix des outils, plutôt que d'être traité après coup. C'est le fonctionnement décrit sur la page de notre approche d'automatisation IA sur mesure.
Le lieu de traitement dépend des fournisseurs retenus pour la téléphonie, le modèle de langage et le CRM. Ce point est arbitré avec le client selon la sensibilité de ses données, et non imposé par défaut. Quand la maîtrise de l'hébergement est une contrainte forte, l'orchestrateur est auto-hébergé.
Les workflows et les configurations produits pendant la mission restent accessibles au client. L'objectif est qu'une entreprise puisse reprendre la main ou changer de prestataire sans perdre son investissement.
Une automatisation déjà en place peut aussi être auditée et mise en conformité sans être reconstruite : voir mettre en conformité une automatisation déjà en place.
Confondre hébergement européen et souveraineté. La localisation est une condition nécessaire, pas suffisante. Le rattachement juridique de l'opérateur compte autant.
Laisser les données alimenter l'entraînement d'un modèle. Certaines offres grand public réutilisent les contenus soumis. Les offres professionnelles l'excluent contractuellement, mais cela se vérifie, cela ne se suppose pas.
Conserver sans limite. Les enregistrements d'appels et les historiques de conversation s'accumulent silencieusement. Sans purge programmée, la durée de conservation devient indéfendable.
Oublier la transparence. Ne pas indiquer qu'un interlocuteur parle à une IA expose à un grief de loyauté, en plus du risque réputationnel.
Traiter la conformité en dernier. Remettre un projet en conformité après coup coûte plus cher que de le cadrer au départ, et impose parfois de changer de fournisseur.
Oui, dès lors qu'elle traite des données à caractère personnel : nom, email, numéro de téléphone, enregistrement d'appel, contenu de conversation. Le caractère automatique du traitement ne crée aucune exemption. L'entreprise reste responsable de traitement même lorsque l'automatisation est conçue par un prestataire et exécutée chez un fournisseur tiers.
Cela dépend des briques retenues. L'orchestrateur peut être auto-hébergé en France avec n8n. En revanche, le modèle de langage, la téléphonie ou la transcription peuvent être opérés ailleurs selon le fournisseur choisi. LookAhead arbitre ce point avec le client pendant le diagnostic, en fonction de la sensibilité des données, plutôt que de l'imposer par défaut.
La souveraineté ne se limite pas à la localisation des serveurs. Elle combine le lieu de stockage et le rattachement juridique de l'entité qui opère le service : un serveur en France opéré par une société soumise à une loi extraterritoriale reste exposé. Une automatisation peut être partiellement souveraine, à condition que ce soit documenté et cohérent avec la sensibilité des données.
Le principe de transparence du RGPD impose d'informer les personnes de la nature du traitement et des modalités d'exercice de leurs droits. LookAhead recommande d'annoncer explicitement le caractère automatisé d'un agent vocal ou d'un chatbot en début d'échange, et de permettre à tout moment le passage à un interlocuteur humain.
Le RGPD n'impose pas de durée chiffrée universelle : la durée doit être proportionnée à la finalité déclarée et fixée à l'avance. Un enregistrement conservé pour améliorer un agent n'a pas la même durée légitime qu'une fiche client. L'erreur fréquente est l'absence de purge programmée, qui rend la conservation indéfendable.
L'entreprise cliente reste responsable de traitement au sens du RGPD. Le prestataire qui conçoit et opère l'automatisation intervient comme sous-traitant, ce qui impose un contrat encadrant précisément l'usage des données. La responsabilité juridique ne se délègue pas : elle se partage contractuellement, mais le responsable de traitement demeure l'entreprise.
Oui. Un audit identifie les données réellement traitées, les fournisseurs impliqués, les durées de conservation appliquées et les documents manquants. La remise en conformité passe souvent par le remplacement d'une brique ou l'ajout d'une purge, plus rarement par une reconstruction complète.