Dans une discussion sur l’automatisation, la question la plus fréquente est rarement technique. Après avoir parlé du fonctionnement du système, du nombre de tâches prises en charge et des programmes reliés, une phrase finit par arriver : « Et où vont les données de mes clients ? »
La question est légitime et reste souvent sans réponse. Les textes sur l’automatisation expliquent ce que fait le système, pas où voyagent les données. Pourtant, toute entreprise qui traite des données clients assume des obligations en matière de protection des données. Mettre en place une automatisation ne supprime pas cette responsabilité ; elle peut parfois l’élargir.
Cet article ne constitue pas un conseil juridique. Il vise à montrer quelles questions poser lors d’une automatisation. Pour votre situation, consultez un avocat.
🔒 Gardez à l’esprit : Lorsque vous mettez en place une automatisation, la responsabilité des données reste la vôtre. L’entreprise qui construit le système traite les données pour votre compte, mais c’est vous qui répondez devant votre client. Si cette distinction ne figure pas au contrat, il restera flou qui fait quoi en cas de problème.
Pourquoi l’IA change-t-elle ce tableau ?
Traiter des données personnelles n’a rien de nouveau. Noms, téléphones et adresses sont enregistrés depuis des années. Ce que l’IA ajoute tient en trois points.
Les données peuvent sortir de la maison. Un logiciel comptable classique garde vos données en interne. Un système utilisant l’IA envoie généralement le texte à un modèle de langage pour le traiter. Ce modèle peut appartenir à une autre société et fonctionner dans un autre pays.
Les données se recoupent. L’automatisation rassemble des sources distinctes au même endroit : formulaire web, message WhatsApp, compte rendu d’appel, courriel. Des éléments anodins pris séparément peuvent former un profil bien plus détaillé une fois réunis.
Les décisions deviennent automatiques. Si le système décide quelle offre part vers quel client, ou comment une demande est priorisée, il peut devenir nécessaire d’expliquer comment cette décision a été prise.
Qui est responsable de traitement, qui est sous-traitant ?
La réglementation distingue deux rôles, et cette distinction fonde le contrat.
- Le responsable de traitement décide pourquoi et comment les données sont traitées. L’entreprise qui collecte les données clients occupe généralement ce rôle.
- Le sous-traitant traite les données pour le compte du responsable et sur ses instructions. L’entreprise qui construit et exploite l’automatisation se situe le plus souvent ici.
Cette distinction ne devrait pas rester sur le papier. La relation est censée figurer dans un document écrit de traitement : quelles données, dans quel but, pour combien de temps, sur l’instruction de qui. Sans ce document, les limites de responsabilité sont floues.
Trois volets de la question « où vont mes données ? »
Où se trouve le serveur ?
Les données résident physiquement quelque part. Dans le pays, en Europe ou ailleurs. Le transfert hors du pays obéit à des règles propres et les mêmes conditions ne s’appliquent pas partout. C’est la première question à poser : dans quel pays se trouve le serveur qui héberge les données ?
Que fait le modèle d’IA des données ?
Lorsque vous envoyez un texte à un modèle, son sort dépend du fournisseur. Certains s’engagent à ne pas utiliser les données transmises pour l’entraînement, d’autres les conservent une durée définie, d’autres n’en gardent rien. Ces conditions figurent dans des contrats et peuvent évoluer.
La question à poser : quelle est la politique de données du fournisseur d’IA utilisé, et mes données servent-elles à l’entraînement du modèle ?
Qui d’autre figure dans la chaîne ?
Une automatisation est rarement d’un seul tenant. Infrastructure de messagerie, base de données, service de courriel, hébergeur. Chaque maillon peut toucher aux données. Tant que cette liste n’est pas écrite, on ne peut pas savoir où vont les données.
Chaque maillon de cette chaîne est aussi une surface de sécurité ; d'où la menace peut venir, nous l'abordons dans Cybersécurité par IA.
Questions à poser lors de l’échange
Sans entrer dans le détail technique, les questions suivantes peuvent éclaircir l’essentiel :
- Dans quel pays les données clients seront-elles stockées ?
- Quels services tiers toucheront aux données ? Une liste existe-t-elle ?
- Le fournisseur d’IA utilise-t-il les données transmises pour entraîner ses modèles ?
- Combien de temps les données seront-elles conservées, et ensuite ?
- Si le système est arrêté, les données me seront-elles restituées, sous quel format ?
- Si un client demande la suppression, comment cela se passe-t-il ?
- Un document de traitement est-il fourni avec le contrat ?
- En cas d’incident de sécurité, quand et comment serai-je averti ?
Ne pas obtenir de réponse est aussi une information. Si l’on ne peut pas répondre, c’est sans doute que l’on ne sait pas non plus.
Ces questions constituent le volet données de la liste de préparation ; le reste de cette liste figure dans Pourquoi les projets d'automatisation échouent.
Information et consentement
Si vous traitez les données de vos clients, vous devriez les en informer. C’est le rôle de la notice d’information : qui traite quelles données, pourquoi, et quels sont les droits de la personne.
Un consentement distinct n’est pas requis pour chaque traitement. Le traitement nécessaire à l’exécution d’un contrat peut reposer sur une autre base légale. En revanche, la communication commerciale peut exiger une permission séparée, avec des obligations supplémentaires dans ce domaine.
Le point décisif lors d’une automatisation : sur quelle base légale le système traite-t-il quelles données, et est-ce écrit ?
Conservation et suppression
Les données ne se gardent pas indéfiniment. Une durée de conservation est attendue pour chaque type de donnée, suivie d’une suppression à l’échéance. L’automatisation peut aider : le système peut être construit pour suivre la durée et supprimer automatiquement les enregistrements arrivés à terme.
La question est simple : le système dispose-t-il seulement d’une fonction de suppression, ou les données ne font-elles que s’accumuler ? Que se passe-t-il dans les sauvegardes ? Un enregistrement supprimé peut-il revenir d’une sauvegarde ?
Ce qu’il faut chercher dans le contrat
La partie données devrait figurer sous son propre titre dans le contrat. Au minimum, il est sain d’y voir écrit :
- Les rôles des parties : qui est responsable, qui est sous-traitant
- Les types de données traitées et les finalités du traitement
- La durée de conservation et ce qui se passe à son terme
- Le recours à des sous-traitants ultérieurs et sa notification
- Les mesures de sécurité et la procédure de notification d’incident
- La restitution ou la destruction des données à la fin du contrat
La partie du contrat qui ne concerne pas les données peut varier selon que la construction se fait sur mesure ou avec une solution standard ; nous comparons les deux voies dans Logiciel sur mesure ou solution standard ?.
Notre façon de travailler
Dans les systèmes que nous construisons chez Kılman Bilişim, les données résident dans l’installation propre du client. Nos serveurs sont hébergés en Europe. Une durée de conservation est définie pour les historiques de conversation, et les enregistrements arrivés à terme sont supprimés automatiquement.
Avant toute mise en place, nous cartographions ensemble quelle donnée va où. La partie traitement est traitée sous un titre distinct du contrat, et nous sollicitons un appui juridique sur ce point.
Questions fréquentes
Une automatisation fondée sur l'IA ajoute-t-elle un risque en matière de données ?
Le risque vient rarement de l'automatisation elle-même, mais du fait que l'on ignore où vont les données. Dès que l'on dispose de réponses écrites sur le serveur qui les héberge, les tiers qui y accèdent et la durée de conservation, la situation s'éclaircit. Si ces questions restent sans réponse, le risque peut demeurer, quelle que soit la qualité du système.
Mes données clients serviront-elles à entraîner un modèle d'IA ?
Cela dépend entièrement du fournisseur et de l'offre choisie. Certains fournisseurs s'engagent contractuellement à ne pas utiliser les données professionnelles pour l'entraînement, d'autres les conservent pendant une durée déterminée. Il est légitime de demander par écrit à l'entreprise qui met en place l'automatisation quel fournisseur est utilisé et selon quelles conditions.
Est-ce un problème si mes données se trouvent sur un serveur à l'étranger ?
Le transfert hors du pays obéit à des règles propres et les mêmes conditions ne s'appliquent pas à tous les cas. Ce qui compte, c'est la base légale du transfert et l'existence des documents requis. Savoir dans quel pays se trouve le serveur est la première étape ; un examen juridique peut ensuite s'avérer nécessaire.
Faut-il un contrat de données distinct avec l'entreprise qui installe le système ?
La relation entre le responsable de traitement et le sous-traitant devrait être mise par écrit. Elle prend généralement la forme d'un avenant de traitement des données annexé au contrat principal. Y figurent les données traitées, la finalité, la durée et la personne dont émanent les instructions. Sans cet avenant, les limites de responsabilité peuvent rester floues.
Cartographions ensemble le trajet de vos données
Avant de proposer une mise en place, nous passons en revue quelle donnée va où. Si un point reste flou, nous le disons clairement.
💬 Devis via WhatsAppConclusion
Mettre en place une automatisation ne supprime pas la responsabilité des données. L’entreprise qui construit le système traite les données pour votre compte, mais c’est vous qui répondez devant votre client. À côté de « que fait le système ? », la question « où vont les données ? » a donc toute sa place.
La bonne nouvelle : ces questions ne sont pas complexes et leurs réponses peuvent être obtenues avant la mise en place. Où est le serveur, qui touche aux données, combien de temps sont-elles conservées, comment sont-elles supprimées. Quatre questions peuvent éclaircir l’essentiel.