IA générative et RGPD : qui répond de quoi

La plupart des discussions sur « l’IA et le RGPD » se perdent parce qu’on y mélange deux questions qui n’ont rien à voir : ce que fait l’éditeur du modèle de vos données, et qui est juridiquement responsable de leur traitement. Les deux ont des réponses, et elles ne sont pas du même ordre.

Le point de départ : vous êtes responsable du traitement

C’est la répartition que fixe l’article 28 du RGPD, et c’est celle que retiennent nos accords : vous agissez en responsable du traitement, nous en sous-traitant. Ce n’est pas une formule de style, c’est ce qui détermine qui décide et qui exécute.

Cette répartition a une conséquence pratique qu’on sous-estime : la règle interne qui dit à vos collaborateurs ce qu’ils ont le droit de coller dans une conversation, c’est à vous de l’écrire et de la diffuser. Aucun prestataire ne peut la rédiger à votre place, parce qu’elle dépend de vos obligations déontologiques, pas des nôtres.

Ce que nous voyons, et ce que nous ne voyons pas

Nos accords distinguent deux choses que beaucoup confondent. D’un côté les données de compte, de licence et d’usage : qui a un accès, depuis quand, combien de conversations. De l’autre les contenus — vos prompts, vos fichiers, vos résultats. Ce ne sont pas les mêmes données, et nous n’y avons pas le même accès.

Les contenus ne sont pas consultés dans l’administration courante de votre espace. Le contrat prévoit quatre exceptions, et elles sont toutes à votre initiative : vous nous y autorisez, vous nous le demandez, vous nous les transmettez vous-même — dans un ticket, typiquement — ou une prestation que vous avez commandée l’exige.

L’entraînement des modèles

C’est la question qui revient à chaque rendez-vous, et la réponse honnête tient en deux temps. Quand la solution le permet, nous configurons nous-mêmes les paramètres qui désactivent l’utilisation de vos données pour l’entraînement. Et cette mesure est encadrée par un accord signé, pas seulement par un réglage.

La différence entre les deux est celle qui compte le jour d’un contrôle. Une case cochée dans un écran de réglages peut être déplacée par l’éditeur, et personne dans votre cabinet ne rouvrira cet écran. Un engagement contractuel, lui, laisse une trace opposable — et c’est ce qu’on vous demandera de produire.

Qui d’autre touche à vos données

Un point que presque personne ne vérifie avant de signer : la chaîne de sous-traitance. Fournir le service suppose des prestataires, et vous avez le droit de savoir lesquels.

• Anthropic ou OpenAI, selon la solution, pour fournir le modèle lui-même.
• Un outil d’automatisation pour l’activation des licences, qui ne voit que des identités et des adresses email.
• Une base de suivi des licences, qui ne voit que des informations de compte.
• Une messagerie professionnelle pour le support.

Chacun est lié par un contrat lui imposant, en substance, les mêmes obligations que celles que nous acceptons envers vous — et si l’un d’eux manque aux siennes, nous en restons responsables devant vous. La liste complète, avec les adresses, est publiée sur notre page Données personnelles. Vous disposez de quinze jours pour vous opposer à tout ajout.

Les transferts hors Union européenne

Certains de ces prestataires sont établis hors de l’Union. Ce n’est pas un détail qu’on peut passer sous silence : ces transferts doivent être encadrés au titre du chapitre V du RGPD, soit par une décision d’adéquation, soit par les clauses contractuelles types de la Commission européenne. C’est ce que prévoient les accords des deux éditeurs.

Ce qui reste à votre charge

Il faut le dire clairement, parce que c’est là que les mauvaises surprises arrivent. Notre devoir d’assistance n’est pas un transfert de responsabilité : les obligations restent les vôtres.

• Tenir votre registre des traitements et, le cas échéant, mener une analyse d’impact — c’est à vous d’en prendre l’initiative.
• Répondre aux demandes d’exercice des droits de vos clients, salariés ou usagers. Si l’une nous parvient, nous vous la transmettons et nous vous aidons ; nous n’y répondons pas à votre place.
• Notifier une violation de données à l’autorité de contrôle. Nous vous informons et nous coopérons ; la notification vous incombe.
• Définir vos règles internes, notamment sur les données sensibles — que nos services ne sont pas destinés à traiter par défaut.

Les trois questions à poser à n’importe quel fournisseur

Y compris à nous. Elles suffisent à distinguer un fournisseur qui a fait le travail d’un fournisseur qui a fait une page web.

• Puis-je lire votre accord de sous-traitance avant de signer, en entier, annexes comprises ?
• Quelle est la liste nominative de vos sous-traitants ultérieurs, avec leur localisation ?
• Que devient l’ensemble de mes données le jour où j’arrête — et qui choisit entre suppression et restitution ?

Sur la dernière : c’est vous qui choisissez. Soit nous supprimons tout ce que nous traitons pour votre compte et nous vous le certifions, soit nous vous le restituons et nous détruisons les copies. C’est écrit dans l’accord, ce n’est pas une faveur commerciale.