Guide · Checklist RGPD
Utiliser l’IA avec des données clients sous le RGPD : une checklist pratique
Pour les équipes commerciales, marketing et ops qui confient des fiches CRM ou des tableurs de contacts à des outils d’IA : une checklist en neuf points, les questions à poser à tout fournisseur d’IA, et ce que l’IA en local change — ou ne change pas.
Remarque : l’interface d’Octopi est en anglais.
Les données CRM sont-elles des données personnelles ?
En général, oui. Le règlement général sur la protection des données (RGPD) s’applique au traitement des données personnelles de personnes situées dans l’UE, et une donnée personnelle est une information se rapportant à une personne identifiable. Un CRM typique, et tout export qui en est tiré, en est rempli.
| Champ typique | Donnée personnelle ? | Pourquoi |
|---|---|---|
| Nom et fonction du contact | Oui | Ils désignent une personne précise. |
| E-mail professionnel, par ex. jane.roe@company.com | Oui | Il identifie une personne, même au travail. |
| E-mail générique, par ex. info@company.com | Le plus souvent non | Il touche une équipe — sauf s’il appartient manifestement à une seule personne. |
| Ligne directe ou numéro de portable | Oui | Il permet de joindre une personne identifiable. |
| Notes sur une personne | Oui | Un texte libre peut contenir n’importe quoi, y compris des détails sur la santé ou la vie privée de quelqu’un. |
| Nom de l’entreprise, secteur, effectif | En général non | Ils décrivent une entreprise, pas une personne. |
| Une entreprise unipersonnelle | Cela peut être le cas | Quand l’entreprise se confond avec la personne, ses données peuvent l’identifier. |
À retenir : une liste d’entreprises pose une question RGPD bien plus modeste qu’une liste de personnes. Si une tâche n’a besoin que de faits sur les entreprises, laissez les personnes de côté.
Checklist RGPD pour les outils d’IA dans la vente et le marketing
Passez-la en revue avec la personne chargée de la protection des données dans votre organisation.
Base légale et finalité
Vérifiez qu’il existe une base légale et que la tâche d’IA correspond à la finalité pour laquelle les données ont été collectées. Pourquoi : le RGPD exige une base légale, et la limitation des finalités veut que des données recueillies dans un but ne glissent pas vers un usage sans rapport.
N’envoyer que les colonnes utiles à la tâche
Pour trouver le secteur d’une entreprise, il faut son nom et son site web — pas le nom, l’e-mail ni les notes d’appel du contact. Pourquoi : la minimisation des données. Moins de données envoyées, c’est moins de soucis plus tard.
Sous-traitant et accord de sous-traitance
Si un fournisseur traite des données personnelles pour vous, vérifiez qu’un accord de sous-traitance (un DPA) couvre l’offre que vous utilisez réellement. Pourquoi : le RGPD en prévoit un (article 28). L’accord de votre entreprise ne couvre généralement pas le compte personnel d’un collègue.
Transferts hors de l’EEE
Renseignez-vous sur le lieu de traitement et de stockage des données, y compris chez les sous-traitants ultérieurs du fournisseur. Pourquoi : le RGPD prévoit des règles spécifiques pour les transferts hors de l’EEE, et le fournisseur devrait pouvoir vous dire où vont vos données.
Conservation des prompts et des conversations
L’outil conserve-t-il les prompts, fichiers et conversations — combien de temps, et pouvez-vous les supprimer ou désactiver l’historique ? Pourquoi : un historique de chat rempli de noms de clients est une seconde copie imprévue de votre CRM.
Transparence envers les personnes
Vérifiez que votre politique de confidentialité explique simplement comment les données de contact sont utilisées, y compris par des outils d’IA. Pourquoi : les personnes de votre CRM n’ont pas choisi votre fournisseur d’IA ; c’est par votre politique qu’elles l’apprennent.
Une AIPD pour les traitements à risque élevé
Demandez à votre délégué à la protection des données si cet usage peut présenter un risque élevé pour les personnes concernées. Pourquoi : le RGPD exige une analyse d’impact relative à la protection des données (AIPD) pour les traitements à risque élevé.
Sécurité et accès
Sachez qui peut utiliser l’outil, qui voit ce qui est envoyé, où sont conservées les clés API et si les comptes sont gérés par l’entreprise. Pourquoi : chaque outil d’IA est un endroit de plus par où les données clients peuvent fuiter.
Relecture humaine avant le CRM
Faites vérifier les résultats de l’IA, avec leur source, par une personne avant qu’ils n’arrivent dans votre CRM. Pourquoi : l’IA peut se tromper — la mauvaise Jane Roe, une fonction inventée — et, une fois enregistrée, une supposition devient une fiche sur une personne réelle.
Les questions à poser à tout fournisseur d’IA
Qu’il s’agisse d’un assistant d’IA dans le cloud, d’une fonction d’IA de votre CRM ou d’une extension de navigateur, posez ces questions — et obtenez les réponses par écrit.
| Question | Pourquoi c’est important |
|---|---|
| Où nos données sont-elles traitées et stockées ? | Les transferts hors de l’EEE obéissent à des règles RGPD propres, et « le cloud » se trouve toujours à un endroit précis. |
| Nos données servent-elles à entraîner ou à améliorer des modèles ? | Des fiches clients qui alimentent un modèle que vous ne contrôlez pas se concilient mal avec votre finalité d’origine. Les conditions peuvent varier selon l’offre. |
| Combien de temps les prompts, fichiers et conversations sont-ils conservés ? | Une durée de conservation que vous n’avez pas choisie reste une durée que vous devez justifier. |
| Signerez-vous un accord de sous-traitance ? | Quand un fournisseur traite des données personnelles pour vous, le RGPD prévoit un accord de sous-traitance (article 28). |
| À quels sous-traitants ultérieurs faites-vous appel ? | Les prestataires de votre fournisseur traitent aussi vos données — demandez qui ils sont et où ils se trouvent. |
| Quelle entreprise et quelle juridiction détiennent les données ? | En vertu du CLOUD Act américain (2018), les autorités américaines peuvent exiger des fournisseurs basés aux États-Unis qu’ils communiquent les données sous leur contrôle, y compris celles stockées à l’étranger — une des raisons pour lesquelles certaines organisations préfèrent un traitement hors des États-Unis ou auto-hébergé. |
| Que pouvons-nous désactiver ? | Historique des conversations, utilisation pour l’entraînement, connecteurs, télémétrie — chaque option désactivable est une minimisation que vous pouvez imposer. |
| Qu’est-ce qui est envoyé en arrière-plan ? | Les statistiques d’utilisation et les rapports d’erreur peuvent contenir des fragments de votre travail. Demandez ce qu’ils contiennent et s’ils sont activés par défaut. |
| Existe-t-il une option locale ou auto-hébergée ? | Si le modèle tourne sur du matériel que vous contrôlez, aucun sous-traitant d’IA tiers n’intervient pour cette étape. |
L’IA en local règle-t-elle la question du RGPD ?
En partie. Quand le modèle tourne sur votre propre ordinateur ou sur un serveur que vous contrôlez, aucun sous-traitant tiers n’intervient pour cette étape, et comme les données restent sur du matériel que vous contrôlez, la question du transfert disparaît elle aussi pour cette étape. Vos propres obligations — base légale, minimisation, transparence, sécurité — demeurent.
| Assistant d’IA dans le cloud | IA sur du matériel que vous contrôlez | |
|---|---|---|
| Sous-traitant d’IA tiers | Oui — le fournisseur traite ce que vous envoyez | Aucun pour cette étape |
| Transfert hors de l’EEE | Dépend du lieu où le fournisseur traite les données | Les données restent sur du matériel que vous contrôlez |
| Base légale, finalité, minimisation, transparence | Votre obligation | Toujours votre obligation |
| Sécurité | Partagée avec le fournisseur | À votre charge : l’appareil et qui l’utilise |
| Relecture humaine des résultats | Nécessaire | Nécessaire — les petits modèles locaux se trompent aussi |
Outils hybrides : demandez ce qui va où
Peu d’outils sont purement locaux. Une application peut faire tourner son modèle sur votre ordinateur portable tout en cherchant sur le web, en se connectant à votre CRM, en vérifiant les mises à jour, en envoyant des statistiques d’utilisation ou en proposant des fonctions cloud optionnelles. Rien de gênant si c’est écrit noir sur blanc : ce qui tourne en local, ce qui passe en ligne, ce qui est activé par défaut et comment le désactiver.
Autre point facile à manquer : une recherche web sur une personne nommée envoie ce nom au moteur de recherche, quel que soit le modèle qui a rédigé la requête.
Si vous êtes en Suisse
La Suisse a sa propre loi : la nouvelle loi fédérale sur la protection des données (nLPD, nDSG en allemand) est en vigueur depuis le 1er septembre 2023. C’est une loi distincte du RGPD, mais la checklist pratique ci-dessus s’y applique aussi dans les grandes lignes. Si vous traitez aussi des données sur des personnes situées dans l’UE, le RGPD peut également s’appliquer. Un spécialiste suisse de la protection des données pourra vous dire ce qui vous concerne.
Où se situe Octopi
Octopi est notre application : voyez-y un exemple, pas un conseil. Il transforme une tâche décrite en anglais courant en un tableur terminé, en recherchant des entreprises et des personnes dans un vrai navigateur et en travaillant dans Salesforce, HubSpot et Pipedrive.
L’IA tourne sur votre Mac
Un modèle open-weight — Qwen2.5-7B-Instruct par défaut — tourne sur votre Mac via Ollama. Par défaut, vos tableurs, listes de contacts, prompts et identifiants ne sont pas envoyés.
En toutes lettres
Les recherches web et lectures de pages que vous demandez, les CRM auxquels vous êtes connecté, le téléchargement unique du modèle et la vérification des mises à jour (GitHub). Une tâche qui recherche une personne nommée peut envoyer ce nom à un moteur de recherche.
Activés par défaut — et désactivables
Les statistiques d’utilisation et les rapports d’erreur expurgés sont liés à l’e-mail avec lequel vous avez téléchargé Octopi ; une ligne d’erreur expurgée peut encore nommer une page ou un champ. Les désactiver dans Settings ▸ Privacy supprime ce lien et les arrête.
Désactivé tant que vous ne l’activez pas
Chaque fonction Claude a son propre écran de consentement. La planification envoie la phrase de votre tâche et les noms de colonnes — pas vos lignes —, donc un nom saisi dans la tâche part aussi. Pour lire des pages, Claude passe par un navigateur headless privé, sans connexion à vos comptes. Votre CRM et les sites où vous vous connectez sont toujours gérés sur votre Mac.
Chaque modification CRM montrée avant d’être faite
Dans le chat, une modification CRM apparaît sous forme de carte et attend votre « Confirm », sauf si vous avez activé « Always allow » pour ce CRM dans Settings (désactivé par défaut). Les écritures font l’objet d’un contrôle des doublons, puis sont vérifiées.
Uniquement les colonnes demandées
Les résultats n’arrivent que dans les colonnes déclarées par la tâche, et chaque valeur porte une source cliquable qu’une personne peut vérifier.
Octopi ne rend pas à lui seul votre traitement conforme : la base légale, la finalité et votre politique de confidentialité restent de votre ressort. Pour en savoir plus (en anglais) : IA souveraine sur votre Mac et la politique de confidentialité.
Questions fréquentes
Le RGPD permet-il de confier des données clients à un assistant d’IA dans le cloud ?
Cela dépend de la checklist : une base légale et une finalité, un accord de sous-traitance qui couvre votre offre, le lieu de traitement des données, leur durée de conservation et le fait qu’elles servent ou non à entraîner des modèles. Si une réponse n’est pas claire, envoyez moins — des faits sur les entreprises, pas sur les personnes — ou gardez cette étape sur du matériel que vous contrôlez.
Une adresse e-mail professionnelle est-elle une donnée personnelle ?
Oui, lorsqu’elle identifie une personne, comme jane.roe@company.com. Une adresse générique comme info@company.com ne concerne généralement pas une seule personne, mais cela peut changer si elle appartient manifestement à quelqu’un.
Faut-il un accord de sous-traitance avec un fournisseur d’IA ?
Quand un fournisseur traite des données personnelles pour votre compte, le RGPD prévoit un accord de sous-traitance (article 28), souvent appelé DPA. Vérifiez qu’il couvre l’offre que vous utilisez réellement.
L’IA en local me rend-elle conforme au RGPD ?
Pas à elle seule. Aucun sous-traitant tiers n’intervient pour cette étape, mais vos propres obligations — base légale, minimisation des données, transparence, sécurité — restent les mêmes.
Faut-il une AIPD pour utiliser l’IA sur des données CRM ?
Le RGPD exige une analyse d’impact relative à la protection des données pour les traitements à risque élevé. Que le vôtre en fasse partie dépend de ce que vous faites des données ; posez la question à votre délégué à la protection des données avant le déploiement.
Le RGPD est-il la seule règle qui compte pour l’IA ?
Pas forcément. Le règlement européen sur l’IA (AI Act) est entré en vigueur le 1er août 2024, avec des obligations qui s’appliquent progressivement sur plusieurs années, et la Suisse a sa nouvelle loi sur la protection des données (nLPD). Pour savoir quelles règles s’appliquent à vous, adressez-vous à votre délégué à la protection des données ou à un avocat.
Octopi envoie-t-il mon tableur dans le cloud ?
Non. Son modèle tourne sur votre Mac et, par défaut, les tableurs, listes de contacts, prompts et identifiants ne sont pas envoyés. Il passe en ligne pour les recherches web, lectures de pages et opérations CRM que vous demandez, le téléchargement du modèle, la vérification des mises à jour, ainsi que pour les statistiques d’utilisation et les diagnostics (activés par défaut ; à désactiver dans Settings ▸ Privacy). Les fonctions Claude optionnelles sont désactivées tant que vous ne les activez pas.
À lire aussi
Gardez l’étape IA sur votre propre Mac
Téléchargez Octopi et faites tourner un modèle open-weight en local — gratuit, sans compte, le cloud restant strictement optionnel. macOS 13 ou plus récent sur Apple Silicon.
Télécharger Octopi gratuitement