RGPD et AI Act : 10 questions à poser à un éditeur d’agent IA

Avant de confier vos e-mails, vos clients ou votre téléphone à un agent IA, posez ces dix questions à l’éditeur et gardez ses réponses écrites. Pour chacune : pourquoi elle compte, la réponse à attendre, le signal d’alerte et le texte officiel qui la fonde.

RGPD et AI Act : 10 questions à poser à un éditeur d’agent IA Meilleur Agent IA · meilleur-agent-ia.fr/rgpd-ai-act-questions-editeur/ · sources relevées le 19/10/2026

Ces questions ne remplacent pas un conseil juridique : elles servent à comparer des éditeurs sur des réponses vérifiables. Les termes techniques renvoient au glossaire de l’IA, et ce que chaque éditeur publie déjà sur ses données figure dans sa fiche éditeur, rubrique par rubrique. Sources officielles relevées le 19/10/2026.

  1. Où sont hébergées et traitées mes données, y compris par le modèle d’IA ?

    Pourquoi la poser. Le RGPD n’autorise un transfert de données hors de l’Union européenne que s’il est couvert par une décision d’adéquation de la Commission européenne ou par des garanties appropriées, comme les clauses contractuelles types (chapitre V, articles 44 à 49). Le lieu d’hébergement du logiciel ne dit rien du lieu où le modèle d’IA traite vos demandes : c’est souvent un autre prestataire.

    Réponse acceptable
    Le pays des serveurs est indiqué pour le stockage et pour le traitement par le modèle. En cas de traitement hors UE, l’éditeur nomme la base du transfert : décision d’adéquation ou clauses contractuelles types.
    Signal d’alerte
    « Hébergé en Europe » sans un mot sur le fournisseur du modèle d’IA, ou aucune mention des transferts hors UE.

    Réf. : RGPD, articles 44 à 49

    Texte : RGPD, articles 44 à 49. Sources : CNIL : transférer des données hors de l’UE ; Commission européenne : décisions d’adéquation (en anglais)

    Dans le glossaire : Hébergement des données (UE)

  2. Mes contenus servent-ils à entraîner ou à améliorer vos modèles ?

    Pourquoi la poser. La CNIL distingue la phase d’apprentissage d’un système d’IA de sa phase d’utilisation : ce sont deux objectifs différents, qui doivent être séparés. Si un prestataire réutilise vos données pour ses propres fins, il n’agit plus seulement pour votre compte : le RGPD le considère alors comme responsable de ce traitement (article 28, paragraphe 10).

    Réponse acceptable
    Un engagement écrit, dans le contrat ou l’accord de sous-traitance, que vos contenus ne servent pas à l’entraînement, ou une option de désactivation documentée, valable sur la formule que vous choisissez.
    Signal d’alerte
    Une formule floue comme « pour améliorer nos services », ou une règle qui change entre l’offre gratuite et l’offre payante sans être précisée.

    Réf. : RGPD, articles 5 et 28

    Texte : RGPD, articles 5 et 28. Sources : CNIL : IA, comment être en conformité avec le RGPD ? ; CNIL : RGPD, chapitre IV (articles 24 à 43)

    Dans le glossaire : LLM (grand modèle de langage)Fine-tuning

  3. Quels sous-traitants et quels modèles d’IA utilisez-vous ?

    Pourquoi la poser. Un sous-traitant ne peut pas recruter un autre sous-traitant sans l’autorisation écrite préalable de son client. Avec une autorisation générale, il doit informer de tout ajout ou remplacement, ce qui permet de s’y opposer (article 28, paragraphe 2). Le fournisseur du modèle d’IA fait en général partie de cette liste.

    Réponse acceptable
    Une liste publique ou contractuelle des sous-traitants ultérieurs (hébergeur, fournisseur du modèle, messagerie…) avec leur pays, et une procédure qui annonce les changements à l’avance.
    Signal d’alerte
    « Nous utilisons les meilleurs modèles du marché » sans les nommer, ou une liste disponible seulement après la signature.

    Réf. : RGPD, article 28.2

    Texte : RGPD, article 28.2. Sources : CNIL : RGPD, chapitre IV (articles 24 à 43) ; CNIL : travailler avec un sous-traitant

    Dans le glossaire : Sous-traitant (au sens du RGPD)Modèle open source / open weight

  4. Pouvez-vous me fournir votre accord de sous-traitance (DPA) ?

    Pourquoi la poser. L’article 28, paragraphe 3, impose un contrat entre vous et votre sous-traitant. Il fixe l’objet, la durée, la finalité, les types de données et les obligations du prestataire : agir sur instructions documentées, confidentialité, sécurité, encadrement des sous-traitants, aide pour les droits des personnes, suppression ou restitution des données en fin de contrat, audits. La CNIL publie un exemple de clauses.

    Réponse acceptable
    Un DPA téléchargeable ou annexé aux conditions générales, qui reprend les points de l’article 28.3, disponible avant de vous abonner.
    Signal d’alerte
    Pas de DPA, ou un DPA réservé à une formule supérieure sans possibilité de le lire avant de signer.

    Réf. : RGPD, article 28.3

    Texte : RGPD, article 28.3. Sources : CNIL : exemple de clauses contractuelles de sous-traitance ; CNIL : travailler avec un sous-traitant

    Dans le glossaire : DPA (accord de traitement des données)Responsable de traitement

  5. Combien de temps gardez-vous les conversations, les fichiers et les journaux ?

    Pourquoi la poser. Le RGPD pose un principe de limitation de la conservation (article 5, paragraphe 1, e) : la durée est fixée selon l’objectif de la collecte, pas « au cas où ». Les conversations d’un chatbot ou les e-mails lus par un agent contiennent souvent des données de vos clients.

    Réponse acceptable
    Une durée indiquée pour chaque type de données (conversations, fichiers importés, journaux techniques, sauvegardes), et si possible réglable par vous.
    Signal d’alerte
    Aucune durée indiquée, en particulier pour les sauvegardes, ou aucun moyen de supprimer des contenus tant que l’abonnement court.

    Réf. : RGPD, article 5.1.e

    Texte : RGPD, article 5.1.e. Sources : CNIL : les durées de conservation des données ; CNIL : RGPD, chapitre II (principes)

    Dans le glossaire : RGPD

  6. Comment supprimer mes données et récupérer mon travail si je pars ?

    Pourquoi la poser. En fin de contrat, le sous-traitant doit, selon votre choix, supprimer les données ou vous les renvoyer, et détruire les copies, sauf obligation légale de conservation (article 28.3, g). La réversibilité, c’est aussi pouvoir emporter ce que vous avez construit : contacts, base de connaissances, scénarios, historique.

    Réponse acceptable
    Un export documenté dans un format réutilisable (CSV, JSON…), un délai de suppression annoncé après résiliation, sauvegardes comprises, et une confirmation écrite sur demande.
    Signal d’alerte
    Pas d’export, un export payant dont le prix n’est pas indiqué, ou une suppression promise « dans un délai raisonnable » sans plus de précision.

    Réf. : RGPD, article 28.3.g

    Texte : RGPD, article 28.3.g. Sources : CNIL : RGPD, chapitre IV (articles 24 à 43) ; CNIL : exemple de clauses contractuelles de sous-traitance

    Dans le glossaire : Engagement

  7. Quelles mesures de sécurité et quelles certifications publiez-vous ?

    Pourquoi la poser. L’article 32 exige des mesures techniques et organisationnelles adaptées au risque, par exemple le chiffrement et des tests réguliers. L’article 33 oblige le sous-traitant à prévenir son client de toute violation de données dans les meilleurs délais. Une certification n’a de valeur que si son périmètre couvre le service que vous achetez.

    Réponse acceptable
    Une page sécurité détaillée (chiffrement en transit et au repos, double authentification, gestion des droits d’accès, procédure en cas de violation) et, pour une certification citée, le certificat avec son périmètre et l’organisme qui l’a délivré.
    Signal d’alerte
    Un logo de certification sans certificat ni périmètre, ou une promesse générale comme « sécurité de niveau bancaire » sans détail.

    Réf. : RGPD, articles 32 et 33

    Texte : RGPD, articles 32 et 33. Sources : CNIL : sécurité des données ; CNIL : RGPD, chapitre IV (articles 24 à 43)

    Dans le glossaire : Garde-fous

  8. Votre chatbot ou votre agent vocal annonce-t-il qu’il est une IA ?

    Pourquoi la poser. L’article 50 du règlement européen sur l’IA prévoit que les systèmes destinés à dialoguer avec des personnes soient conçus pour qu’elles sachent qu’elles échangent avec une IA, sauf si c’est évident. Selon la Commission européenne, ces règles de transparence s’appliquent depuis août 2026. Le même article prévoit aussi le marquage de certains contenus générés.

    Réponse acceptable
    Un message d’accueil ou une annonce vocale qui indique qu’il s’agit d’un assistant automatisé, réglable mais pas supprimable, et un passage de relais vers une personne.
    Signal d’alerte
    Une option pour faire passer l’outil pour un humain, ou un prénom et une photo de « conseiller » sans aucune mention de l’IA.

    Réf. : AI Act, article 50

    Texte : AI Act, article 50. Sources : Commission européenne : législation sur l’IA et calendrier d’application ; CNIL : entrée en vigueur du règlement européen sur l’IA, questions-réponses ; EUR-Lex : règlement (UE) 2024/1689 sur l’IA, texte officiel

    Dans le glossaire : AI ActChatbotAgent vocal (voicebot)

  9. Comment m’aidez-vous à répondre aux demandes d’accès, d’effacement ou d’opposition ?

    Pourquoi la poser. Vos clients gardent leurs droits sur leurs données (articles 15 à 22 du RGPD) et c’est à vous, responsable de traitement, d’y répondre, en principe dans un délai d’un mois (article 12). Votre sous-traitant doit vous y aider (article 28.3, e).

    Réponse acceptable
    La recherche et l’export des données d’une personne (par e-mail, téléphone ou nom), la suppression ciblée d’une conversation, et un contact publié pour les questions de données (DPO ou équivalent).
    Signal d’alerte
    Une suppression possible seulement en supprimant tout le compte, ou aucun contact identifié pour les données personnelles.

    Réf. : RGPD, articles 12 à 22 et 28.3.e

    Texte : RGPD, articles 12 à 22 et 28.3.e. Sources : CNIL : les droits pour maîtriser vos données personnelles ; CNIL : RGPD, chapitre III (droits de la personne)

    Dans le glossaire : DPO (délégué à la protection des données)Responsable de traitement

  10. Puis-je valider avant chaque action et garder une trace de ce que l’agent a fait ?

    Pourquoi la poser. Un agent IA ne se contente pas de répondre : il envoie, modifie, planifie. Le RGPD encadre les décisions fondées exclusivement sur un traitement automatisé qui produisent des effets importants sur une personne (article 22). Pour les usages classés à haut risque par l’AI Act, comme le recrutement, la journalisation de l’activité et la surveillance humaine deviennent obligatoires, au 2 décembre 2027 selon la Commission européenne.

    Réponse acceptable
    Un mode brouillon ou une approbation avant envoi, réglable par type d’action, des droits par utilisateur, un historique horodaté et exportable des actions, et un moyen d’arrêter l’agent.
    Signal d’alerte
    Des actions exécutées sans relecture par défaut, aucun historique consultable, ou un historique réservé à l’éditeur.

    Réf. : RGPD, article 22 ; AI Act, systèmes à haut risque

    Texte : RGPD, article 22 ; AI Act, systèmes à haut risque. Sources : Commission européenne : législation sur l’IA et calendrier d’application ; CNIL : RGPD, chapitre III (droits de la personne)

    Dans le glossaire : Validation humaineGarde-fousAgent autonome

Ces questions ne remplacent pas un conseil juridique. Textes : RGPD, règlement (UE) 2016/679 ; AI Act, règlement (UE) 2024/1689. Version à jour : meilleur-agent-ia.fr/rgpd-ai-act-questions-editeur/

Les textes officiels

Questions fréquentes

Suis-je responsable si l’éditeur de l’outil ne respecte pas le RGPD ?

Vous restez responsable de traitement pour les données de vos clients que vous lui confiez, et le RGPD vous demande de choisir un sous-traitant qui présente des garanties suffisantes (article 28, paragraphe 1). Le sous-traitant a ses propres obligations, mais poser ces questions et conserver les réponses écrites fait partie de votre diligence.

L’AI Act concerne-t-il une petite entreprise qui utilise un chatbot ?

Oui : une entreprise qui utilise un système d’IA dans un cadre professionnel est « déployeur » au sens du règlement. Pour un chatbot ou un agent vocal, l’enjeu principal est la transparence (article 50) : les personnes doivent savoir qu’elles échangent avec une IA. Les obligations les plus lourdes visent les systèmes à haut risque, comme ceux utilisés pour recruter.

Faut-il écarter un éditeur dont les données sont traitées hors de l’UE ?

Pas forcément. Un transfert hors UE est possible s’il repose sur une décision d’adéquation de la Commission européenne ou sur des garanties appropriées, comme les clauses contractuelles types. Demandez quelle base s’applique et à quel prestataire ; une réponse précise est déjà un bon signe.

Comparer les réponses des éditeurs

Les fiches éditeurs reprennent, pour chaque outil, ce qui est publié sur l’hébergement, les modèles d’IA et les données personnelles, avec « N/C » quand rien n’est publié : c’est là qu’il reste des questions à poser.

Voir les fiches éditeurs Qu’est-ce qu’un DPA ?