Vos données sont-elles en sécurité chez un prestataire qui utilise des agents IA ?

La question que Marie pose avant de signer

Vous dirigez une PME B2B. On vous propose d'externaliser une fonction — service client, facturation, prospection — à un pod qui combine agent IA et opérateur humain. Votre première question n'est pas le prix. C'est : « qu'est-ce qui se passe avec mes données une fois qu'elles sortent de chez moi ? »

C'est l'objection la plus fréquente avant contractualisation, et la moins bien traitée dans la communication des prestataires qui vendent de l'externalisation assistée par IA. Elle mérite une réponse factuelle, pas un argumentaire commercial.

Le prestataire IA reste un sous-traitant RGPD, point final

L'article 28 du RGPD encadre toute délégation de traitement de données personnelles à un tiers. Que ce tiers exécute la tâche avec une équipe humaine, un logiciel classique, ou un agent IA ne change strictement rien à sa qualification juridique. Le prestataire est sous-traitant. Vous restez responsable de traitement.

Concrètement, cela signifie que le contrat qui vous lie au prestataire doit documenter :

• Les instructions écrites que le prestataire s'engage à suivre — l'agent IA ne peut pas traiter vos données en dehors du périmètre défini
• Les engagements de confidentialité qui s'appliquent aussi bien à l'opérateur humain qu'au système IA qu'il supervise
• Les mesures de sécurité mises en œuvre pour protéger les données pendant le traitement
• L'encadrement de toute sous-traitance ultérieure (un agent IA tiers, une brique technique externe) — le sous-traitant ne peut pas déléguer sans votre accord
• L'assistance apportée en cas de demande d'exercice de droits ou de violation de données
• La suppression ou restitution des données à la fin du contrat

Rien de spécifique à l'IA dans ce socle. C'est le droit commun de la sous-traitance de données, qui s'applique de la même façon à un centre d'appels classique et à un pod augmenté par l'IA.

Ce que l'IA change vraiment : la supervision, pas la responsabilité

Ce qui change, ce n'est pas le cadre juridique. C'est ce que le contrat doit préciser en plus, parce qu'un agent IA introduit un mode d'exécution différent d'un humain seul.

Le principe qui doit figurer noir sur blanc dans tout engagement sérieux : l'agent IA absorbe le volume, l'humain garde la décision. Aucun livrable — réponse client, écriture comptable, contenu publié, relance commerciale — ne sort du pod sans passage par un opérateur humain formé et responsable. L'IA prépare, elle ne décide pas seule d'une action qui vous engage.

Un agent IA qui traite vos données sans supervision humaine documentée n'est pas un problème de RGPD. C'est un problème de contrôle qualité que le RGPD révèle.

Concrètement, exigez de votre prestataire qu'il puisse répondre à trois questions simples : à quelle étape précise l'IA intervient-elle, à quelle étape précise l'humain valide-t-il, et que se passe-t-il si le livrable est refusé ou escaladé. Si un prestataire ne peut pas décrire ce mécanisme étape par étape, la supervision annoncée n'est probablement pas réelle.

Les obligations qui montent : AI Act

En complément du RGPD, le règlement européen sur l'intelligence artificielle (AI Act) impose des obligations graduées selon le niveau de risque du système IA utilisé. Pour un système déployé en contexte professionnel — traitement de données clients, aide à la décision, génération de contenu diffusé — les exigences centrales sont la transparence sur le rôle de l'IA, la traçabilité des traitements, et le maintien d'une supervision humaine effective.

Pour vous, en tant qu'entreprise cliente, l'enjeu pratique n'est pas de maîtriser le texte réglementaire dans le détail. C'est de vérifier que le prestataire peut documenter, sur demande, le rôle exact que joue l'IA dans son processus, et démontrer que la supervision humaine n'est pas un argument marketing mais une étape opérationnelle vérifiable.

Ce que le contrat doit couvrir explicitement

Avant de signer, quatre clauses à vérifier ligne par ligne :

1. Durée de conservation. Combien de temps vos données restent-elles accessibles après la fin d'une mission, et quand sont-elles effectivement supprimées.
2. Traitement des données. Le contrat doit engager le prestataire sur le traitement de vos données — mesures de sécurité, accès restreint, chiffrement en transit — sans que cela nécessite de révéler le détail de son infrastructure technique interne.
3. Droit d'audit. Vous devez pouvoir demander, à minima documentairement, la preuve que les engagements contractuels sont respectés.
4. Réversibilité. Si vous mettez fin au contrat, vous récupérez vos données et vos actifs (contenus, historiques, configurations) dans un format exploitable, sans dépendance technique qui vous enferme chez le prestataire.

Ces quatre points sont exactement ceux que POD-CA-05 vérifie lorsqu'il audite la conformité d'une organisation, y compris sa propre chaîne de sous-traitants. Le même standard s'applique en interne chez Zanova.

FAQ