Où vont vos données quand un agent IA travaille pour vous ?

Un agent IA n'invente pas son travail : il lit vos documents, vos mails, vos tableaux de clients. Ces informations quittent donc votre ordinateur. La question utile n'est pas « est-ce sûr ? », à laquelle personne ne peut répondre par oui ou non, mais « où vont-elles, qui les traite, et qu'est-ce que j'accepte en connaissance de cause ? ». Voici le trajet, étape par étape, puis ce que la loi vous demande.

Ce qu'un agent IA lit et garde

Pour travailler, un agent a besoin de matière. Il garde donc une trace de ce que vous lui donnez, sinon il faudrait tout lui redonner à chaque passage. Chez ABYS, sont stockés dans la base : la description du besoin, vos réponses à ses questions, les fichiers joints et le texte qui en est extrait, les mails que l'agent reçoit, le journal de ses passages et la conversation avec lui.

Prenez une agence immobilière qui joint le tableau de ses propriétaires pour préparer des relances. Ce tableau, avec les noms, téléphones et adresses, se trouve désormais chez le prestataire. Ce n'est ni bien ni mal en soi. C'est un fait à connaître avant de cliquer sur « joindre ».

Le trajet de vos données, pièce par pièce

Autrement dit, trois acteurs voient passer une partie de vos contenus : le prestataire de l'agent, le fournisseur du modèle d'IA et le service d'envoi des mails. Tout prestataire sérieux doit pouvoir vous dresser cette liste.

Qu'est-ce qui est protégé, et comment ?

Toutes les données n'ont pas le même niveau de protection, et il faut se méfier des formules globales. Chez ABYS, les clés d'accès et les mots de passe de connexion sont chiffrés. Le contenu des documents, lui, n'est pas présenté comme chiffré : je préfère vous le dire clairement plutôt que de le laisser supposer.

Si cette sortie vous gêne, sachez qu'une alternative existe : chez nous, un fournisseur européen, Mistral, est branchable à la place du fournisseur par défaut. Posez la même question à tout autre prestataire.

Le RGPD en pratique pour une PME qui utilise un agent

Dès que l'agent manipule des noms, des mails ou des téléphones de personnes, le RGPD s'applique. Vous restez responsable du traitement : c'est vous qui décidez pourquoi et comment ces données sont utilisées. Cinq points suffisent à couvrir l'essentiel.

Tenir un registre des traitements fait partie des obligations du RGPD, y compris pour une petite entreprise qui traite régulièrement des données de clients. La CNIL propose un modèle simplifié. Pour chaque usage, on y note ce qu'on traite, pourquoi, pour combien de temps et chez quels prestataires.

Ce qu'il vaut mieux ne jamais confier à un agent

Certaines données n'ont rien à faire dans un agent de prospection ou de relance : numéros de sécurité sociale, informations de santé, pièces d'identité, coordonnées bancaires complètes, dossiers disciplinaires. Si la tâche ne l'exige pas, ne les joignez pas. Un cabinet médical ou un avocat doit, de plus, tenir compte de son secret professionnel avant toute délégation.

Les questions à poser à tout prestataire d'IA

Ces questions valent pour ABYS comme pour n'importe quel outil. Posez-les par écrit et gardez les réponses : elles servent aussi à remplir votre registre.