Sécuriser les données d'un agent IA : checklist avant de démarrer

Un agent IA peut relancer vos impayés, trier vos demandes de devis ou préparer vos réponses clients. Pour cela, il a besoin de lire vos documents : factures, coordonnées, historique des échanges. La question vient naturellement : où vont ces données, qui peut les voir, et comment les récupérer ou les effacer ? Ce sont des questions légitimes, et y répondre avant de démarrer évite les mauvaises surprises.

IPourquoi vérifier la sécurité avant de confier vos documents

Un dirigeant de TPE qui crée un agent de relance des impayés va lui transmettre des noms de clients, des montants dus, parfois des adresses. Ces informations sont précieuses et protégées par la loi. Si elles fuitent ou sont utilisées à d'autres fins, c'est votre responsabilité qui est engagée. Vérifier quelques points en amont prend une heure, pas davantage, et vous permet de travailler sereinement.

IILes sept points de la checklist sécurité

1. 1
   Où sont stockées les données

   Demandez où se trouvent les serveurs : en France, en Europe, ailleurs. Un hébergement en Union européenne garantit l'application du RGPD. Si les serveurs sont aux États-Unis, vérifiez qu'un cadre juridique existe.

2. 2
   Qui y a accès

   Lisez la politique de confidentialité. Vos documents sont-ils accessibles aux équipes techniques du prestataire ? Sont-ils utilisés pour entraîner d'autres systèmes ? Une réponse claire doit figurer dans les CGU.

3. 3
   Comment sont chiffrées les données

   Le chiffrement protège vos fichiers pendant le transfert et le stockage. Vérifiez que le prestataire utilise un chiffrement standard, au repos et en transit.

4. 4
   Combien de temps sont-elles conservées

   Une durée de conservation doit être indiquée. Après suppression de votre compte ou de l'agent, vos données doivent disparaître dans un délai raisonnable, quelques jours à quelques semaines.

5. 5
   Comment les supprimer

   Vous devez pouvoir demander la suppression de vos documents à tout moment. Le processus doit être simple : un bouton, un mail, une procédure écrite.

6. 6
   Sont-elles partagées avec des tiers

   Certains services font appel à des sous-traitants pour le traitement. Vérifiez qui sont ces tiers et si vos données leur sont transmises.

7. 7
   Existe-t-il des logs d'activité

   Un journal des actions de l'agent vous permet de savoir ce qu'il a fait, quand, et avec quels documents. C'est utile pour contrôler et pour prouver votre diligence en cas de question.

IIINe jamais donner de mots de passe en clair

Un agent IA n'a pas besoin de votre mot de passe pour travailler. S'il doit accéder à un service externe, cela passe par une clé d'API ou une connexion sécurisée, jamais par un mot de passe copié dans un document. Si vous êtes tenté d'écrire votre mot de passe dans les instructions de l'agent, arrêtez-vous : il existe toujours une autre méthode.

IVAnonymiser les données sensibles quand c'est possible

Prenons l'exemple d'un agent de relance des impayés. Vous lui transmettez un fichier avec les noms des clients en retard, les montants et les dates. Si vous testez l'agent avant de le mettre en service, vous pouvez utiliser des données fictives : des noms inventés, des montants arrondis. Une fois le fonctionnement validé, vous passez aux vraies données. Cette précaution limite l'exposition pendant la phase de réglage.

VVérifier les clauses des CGU en cinq minutes

Les conditions générales d'utilisation sont souvent longues. Cherchez directement les sections « données personnelles », « confidentialité », « sous-traitance » et « suppression ». Quatre questions suffisent : mes données sont-elles utilisées pour entraîner le système ? Puis-je les supprimer à tout moment ? Où sont-elles hébergées ? Qui y a accès ? Si les réponses sont floues ou absentes, demandez des précisions par écrit avant de commencer.

Sans vérificationAvec la checklist

Vous ignorez où sont stockées vos factures

Vous savez que l'hébergement est en France

Vous ne savez pas qui peut lire vos documents

Vous avez lu la politique de confidentialité

Vous ne pouvez pas prouver votre diligence

Vous avez un contrat de sous-traitance RGPD

Vous risquez de perdre vos données sans recours

Vous connaissez la procédure de suppression

VIExemple : préparer un agent de relance des impayés

Imaginons que vous dirigez un cabinet de conseil et que vous voulez automatiser la relance de vos factures impayées. Avant de créer l'agent, vous vérifiez les sept points de la checklist. Vous constatez que le prestataire héberge les données en France, que vos documents ne sont pas utilisés pour entraîner d'autres systèmes, et que vous pouvez demander leur suppression à tout moment. Vous préparez un fichier test avec des noms fictifs pour valider le fonctionnement. Une fois satisfait, vous passez aux vraies données, en accordant à l'agent uniquement l'accès à votre boîte mail de relance, pas à toute votre messagerie.

VIIQue faire si le prestataire ne répond pas clairement

Si vous posez une question sur la sécurité et que la réponse est vague, insistez. Un prestataire sérieux doit pouvoir vous dire où sont vos données, qui y accède, et comment les supprimer. L'absence de réponse est un signal d'alerte. Mieux vaut choisir un service transparent, même s'il est un peu plus cher, que de confier vos informations à une boîte noire.

• J'ai vérifié où sont hébergées les données
• J'ai lu la politique de confidentialité
• Je sais comment supprimer mes documents
• Je n'ai donné aucun mot de passe en clair
• J'ai limité les permissions d'API au strict nécessaire
• J'ai testé avec des données fictives avant de passer aux vraies
• J'ai un contrat ou des CGU conformes au RGPD

Cochez ce qui est vrai chez vous : la liste se souvient de vos réponses sur cet appareil.

?Les questions qu'on nous pose

Un agent IA peut-il lire tous mes fichiers sans mon accord ?

Non. Vous choisissez quels documents transmettre à l'agent. Il ne peut accéder qu'à ce que vous lui donnez explicitement. Si vous connectez un service externe, vous définissez les permissions accordées.

Mes données peuvent-elles servir à entraîner d'autres systèmes ?

Cela dépend du prestataire. Lisez les CGU pour vérifier. Certains services s'engagent à ne pas utiliser vos données pour l'entraînement, d'autres non. Choisissez en connaissance de cause.

Comment savoir si un prestataire respecte le RGPD ?

Demandez le contrat de sous-traitance prévu par le RGPD. Un prestataire conforme doit pouvoir vous le fournir. Vérifiez aussi que l'hébergement est en Union européenne ou dans un pays reconnu comme offrant une protection équivalente.

Puis-je supprimer mes données à tout moment ?

Un prestataire sérieux vous permet de demander la suppression de vos documents quand vous le souhaitez. La procédure doit être décrite dans les CGU ou la politique de confidentialité.

Faut-il un avocat pour vérifier la sécurité d'un agent IA ?

Pas nécessairement. Les sept points de cette checklist couvrent l'essentiel. Si vous traitez des données très sensibles (santé, données bancaires), un avis juridique peut être utile, mais pour la plupart des usages courants, la checklist suffit.