IA et RGPD : où vont vos données ?

Dans le chat : utilisez un compte professionnel

Si vous collez un dossier client dans un compte de chat gratuit ou personnel, vous le partagez avec une entreprise avec laquelle votre organisation n’a aucun contrat. Avec la plupart des comptes personnels, le fournisseur peut utiliser vos conversations pour entraîner ses modèles, sauf si vous désactivez cette option.

L’autorité néerlandaise de protection des données a déjà reçu des notifications de fuites concernant des collaborateurs qui avaient collé des données de patients ou des adresses de clients dans un chatbot. Si cela se produit contrairement aux règles internes, il s’agit d’une fuite de données qu’il faut souvent notifier.

Les abonnements professionnels comme ChatGPT Business ou Enterprise, Claude Team ou Enterprise, Microsoft 365 Copilot et Gemini dans Google Workspace incluent un contrat de sous-traitance. Par défaut, le fournisseur n’entraîne alors pas ses modèles sur vos données. Si vous connectez le chat à Odoo, vos données Odoo relèvent des conditions de ce compte. Une connexion à Odoo va donc de pair avec un compte professionnel.

Dans vos systèmes : toute la chaîne doit être en ordre

Lorsque l’IA travaille avec Odoo via une API, un agent ou une connexion MCP, votre entreprise reste responsable des données. Le fournisseur d’IA les traite pour votre compte, avec un contrat de sous-traitance qui couvre aussi ses propres sous-traitants. L’IA intégrée d’Odoo 20 envoie elle aussi votre question et les données de l’enregistrement à OpenAI ou à Google, via Odoo.

Si un fournisseur opère hors de l’UE, le transfert doit reposer sur une base valable, comme le cadre de protection des données UE-États-Unis ou des clauses contractuelles types. Choisissez un traitement dans l’UE lorsque c’est possible. N’envoyez que les champs dont la tâche a besoin, et donnez d’abord à un agent un accès en lecture seule.

Ne laissez pas l’IA prendre des décisions sur des personnes sans véritable contrôle humain, par exemple sur des candidats ou des limites de crédit. En août 2026, l’autorité néerlandaise de protection des données a infligé à Uber une amende de près de 825 millions d’euros pour avoir bloqué des chauffeurs de manière entièrement automatique.

Pour un agent qui traite des données de clients ou du personnel, une AIPD, une analyse d’impact relative à la protection des données, est souvent obligatoire. Inscrivez aussi chaque traitement par l’IA dans votre registre des traitements et votre déclaration de confidentialité.

En plus : l’AI Act

Depuis le 2 août 2026, un chatbot doit informer les personnes qu’elles parlent à une IA, sauf si c’est évident. Les entreprises qui utilisent l’IA doivent aussi prendre des mesures pour soutenir la maîtrise de l’IA de leur personnel.

Des règles plus strictes s’appliquent à partir du 2 décembre 2027 à l’IA utilisée pour le recrutement, la gestion du personnel ou l’évaluation du crédit.

L’assouplissement du RGPD proposé par le Digital Omnibus n’est pas encore une loi. D’ici là, le RGPD actuel s’applique, y compris la notification d’une fuite de données à l’Autorité de protection des données dans les 72 heures.

Comment nous gérons les connexions IA

Pour chaque connexion IA, nous déterminons quelles données vont chez quel fournisseur, sous quel contrat et dans quelle région. Nous commençons par un accès en lecture, limitons ce qu’un agent peut faire et prévoyons une étape d’approbation. Vous pouvez retirer l’accès à tout moment.

Cette page présente le cadre. Si vous traitez des données sensibles, demandez aussi un avis juridique, par exemple à votre DPO ou à votre juriste.

En savoir plus sur l’IA dans Odoo