Chapitre 08 / 12
Données personnelles et RGPD : ce qu'un assistant a le droit de lire
Vos contrats, vos CV, vos courriels contiennent des données personnelles, et un assistant qui les lit entre dans le champ du RGPD. La question arrive rarement au lancement du projet, elle arrive au moment de le mettre entre les mains des équipes.
Une donnée personnelle est toute information qui permet d'identifier une personne, directement (un nom, un courriel) ou par recoupement (un poste, une adresse). Le RGPD, le règlement européen sur la protection des données, encadre leur collecte, leur usage et leur conservation, en France comme dans toute l'Union européenne.
Où vivent les données personnelles dans vos documents
Elles sont partout où on ne les cherche pas : dans les contrats (signataires, coordonnées), les CV et dossiers RH, les courriels, les fiches clients, les comptes rendus de réunion. Un assistant branché sur ces documents traite donc des données personnelles, même si ce n'est pas son objet.
Quelles autorités assurent la protection des données personnelles en France
En France, c'est la CNIL (Commission nationale de l'informatique et des libertés) qui contrôle l'application du RGPD, reçoit les plaintes et prononce les sanctions. Au niveau européen, le CEPD (Comité européen de la protection des données) coordonne les autorités nationales. En Suisse, l'équivalent est le PFPDT, sous la nLPD (chapitre suivant).
Les droits que vos clients et vos salariés peuvent exercer
Accès, rectification, effacement, opposition : toute personne dont vous détenez des données peut les exercer auprès de vous. Le RGPD encadre aussi la conservation : une donnée se garde le temps nécessaire à sa finalité, pas davantage, ce qui vaut aussi pour les documents qu'un assistant indexe.
Ce que ça change quand un assistant lit ces documents
Le RGPD n'interdit pas d'installer un assistant. Il impose de savoir où les documents sont traités, par qui, et de pouvoir répondre quand une personne exerce ses droits. Concrètement, ça oriente trois choix du projet : l'endroit où tourne le modèle (chapitre suivant), les documents qu'on indexe, et les accès qu'on ouvre.
Questions fréquentes
Un assistant qui lit des CV est-il interdit ?
Non, mais il traite des données personnelles : il faut savoir où elles sont hébergées, qui peut interroger l'assistant, et combien de temps ces documents sont conservés.
Qui contrôle le respect du RGPD en France ?
La CNIL. Elle publie des référentiels, reçoit les plaintes et peut sanctionner. Au niveau européen, le CEPD coordonne les autorités des États membres.
Le RGPD s'applique-t-il aussi en Suisse ?
La Suisse a sa propre loi, la nLPD, proche du RGPD sans s'y confondre. Une entreprise suisse qui sert des clients européens peut relever des deux. Le chapitre suivant détaille ce point.
Faut-il déclarer l'assistant à la CNIL ?
Le régime actuel repose sur la responsabilité : tenir un registre des traitements et documenter ses choix, plutôt que déclarer chaque outil. En cas de doute, le site de la CNIL décrit les obligations qui s'appliquent à votre cas.
Tous les chapitres
- 01. Ce qu'est un assistant IA, et pourquoi vos équipes cherchent encore
- 02. Chatbot interne, assistant IA : ce qui les sépare
- 03. Ce qu'un modèle sait faire, et ce qu'il invente
- 04. Le RAG : répondre sur vos documents plutôt que sur Internet
- 05. Répondre sur vos documents ou autre chose : comment trancher
- 06. Brancher l'assistant sur vos logiciels
- 07. Agent IA en entreprise : quand l'assistant agit au lieu de répondre
- 08. Données personnelles et RGPD : ce qu'un assistant a le droit de lire
- 09. IA souveraine et française : où vivent vos données
- 10. Comment vous savez qu'il répond juste
- 11. Ce que ça coûte vraiment
- 12. Pourquoi ça échoue
