Où vont les données clients quand on utilise l’IA ?

Quand un cabinet utilise une IA dans son CRM, il reste responsable des données de ses clients, et l’éditeur du logiciel agit comme sous-traitant. Il faut donc savoir où les données sont traitées, ce que le contrat avec l’éditeur prévoit et ce qui reste à la charge du cabinet. Cet article donne des repères, sans remplacer un avis juridique.

Qui est responsable, qui est sous-traitant ?

Le RGPD distingue deux rôles :

• le responsable du traitement détermine les finalités et les moyens du traitement : c’est le cabinet ;
• le sous-traitant traite les données pour le compte du responsable : c’est l’éditeur du CRM.

Utiliser un outil d’IA ne déplace pas cette responsabilité. Elle reste celle du cabinet, qui doit pouvoir expliquer à ses clients ce qui est fait de leurs données.

Que doit prévoir le contrat de sous-traitance ?

Le RGPD impose un contrat entre le cabinet et son sous-traitant. Il doit couvrir :

• des instructions documentées du cabinet ;
• la confidentialité du personnel du sous-traitant ;
• la sécurité du traitement ;
• les conditions de recours à un autre sous-traitant ;
• l’aide apportée au cabinet pour les droits des personnes ;
• la suppression ou la restitution des données en fin de contrat ;
• les informations nécessaires aux audits.

Que fait AssurX de ces données ?

Chez AssurX, un engagement simple : Données hébergées dans l’Union européenne ; IA européenne, aucun traitement d’IA hors de l’UE.

Côté pratique :

• une annexe de sous-traitance, versionnée, est acceptée avec les conditions générales ;
• l’audio des réunions est supprimé après 30 jours ;
• les notifications de l’application iPhone et Android ne contiennent aucune donnée personnelle ;
• la double authentification protège l’accès, et un journal des consultations, non modifiable et conservé 12 mois, est lu par l’administrateur du cabinet ;
• l’accès du support d’Innov-IA n’existe que si l’administrateur du cabinet l’ouvre, de façon temporaire, motivée et révocable ;
• les données se restituent sur demande, en formats ouverts ; la restitution est comprise dans l’abonnement.

Quelles questions poser à n’importe quel éditeur ?

Question	Pourquoi elle compte
Un contrat de sous-traitance est-il fourni ?	Il est obligatoire
Où l’IA traite-t-elle les données ?	Un transfert vers un pays tiers n’est permis que dans le respect du chapitre V du RGPD (décision d’adéquation ou garanties appropriées)
Que devient la donnée à la fin du contrat ?	Suppression ou restitution à prévoir
Comment répondre à une demande d’accès d’un client ?	Le délai de réponse est d’un mois, prolongeable de deux mois

Les clients doivent aussi être informés au moment de la collecte de leurs données. Pour les autres questions, la FAQ répond point par point, et le compte rendu d’entretien par IA montre un cas concret.