Un assistant IA conforme au RGPD sur les documents de votre entreprise

Un assistant qui répond aux questions de vos équipes à partir de vos propres documents (procédures, contrats, fiches produits, dossiers clients) fait gagner un temps réel. Mais dès que ces documents contiennent des données personnelles, la question du RGPD se pose, et elle est légitime.

« Conforme au RGPD » n'est pas une case qu'un fournisseur coche pour vous. C'est un ensemble de choix, techniques et organisationnels, que vous devez pouvoir expliquer. Voici ceux qui comptent.

Ce que « conforme au RGPD » veut dire en pratique

Pour un assistant sur vos documents, les points à traiter sont presque toujours les mêmes.

• Une base légale : souvent l'intérêt légitime ou l'exécution d'un contrat, documentée dans votre registre des traitements.
• La minimisation : n'indexer que les documents utiles, et retirer ou masquer les données personnelles qui ne servent pas aux réponses.
• La localisation : des données hébergées et traitées dans l'Union européenne, ou des transferts hors UE correctement encadrés.
• Les sous-traitants : un accord de traitement des données (DPA, article 28 du RGPD) avec chaque fournisseur, et la liste de ses propres sous-traitants.
• Pas d'entraînement sur vos données : c'est en général la règle par défaut sur les API professionnelles, mais pas toujours sur les offres gratuites ou grand public. Vérifiez-le dans le contrat, pas sur une page marketing.
• Des durées de conservation : pour les documents indexés, les questions posées et les journaux.
• Des droits d'accès par rôle : l'assistant ne doit jamais montrer à quelqu'un un document qu'il n'aurait pas le droit d'ouvrir.
• Des journaux : qui a demandé quoi, quand, et à partir de quelles sources.
• Une validation humaine pour les décisions sensibles : l'assistant prépare, une personne décide. Le RGPD encadre strictement les décisions entièrement automatisées qui affectent les personnes de manière importante (article 22).

Et l'AI Act ?

Le règlement européen sur l'IA est entré en vigueur le 1er août 2024 et s'applique par étapes. Les pratiques interdites et l'obligation de littératie en IA s'appliquent depuis le 2 février 2025, les règles sur les modèles d'IA à usage général depuis le 2 août 2025, et l'essentiel des autres règles, dont les obligations de transparence, depuis le 2 août 2026.

Pour un assistant interne sur vos documents, deux points comptent surtout : les utilisateurs doivent savoir qu'ils échangent avec une IA, sauf si c'est évident, et vos équipes doivent être accompagnées pour bien s'en servir. Les obligations lourdes visent les systèmes « à haut risque » (recrutement, crédit, accès à des services essentiels…). Pour ceux-là, le « Digital Omnibus » sur l'IA, entré en vigueur en juillet 2026, a reporté l'échéance au 2 décembre 2027, et au 2 août 2028 pour l'IA intégrée à certains produits réglementés. Si votre assistant intervient dans ce type de décision, faites analyser votre cas.

Les choix d'architecture

La plupart des assistants sur documents reposent sur la RAG (génération augmentée par la recherche). Le système retrouve d'abord les passages pertinents dans vos documents, puis le modèle rédige une réponse à partir de ces seuls passages, en citant ses sources. Vos documents ne servent pas à entraîner le modèle : ils restent dans votre base, et seuls les extraits utiles sont envoyés à chaque question.

Reste à choisir où tourne le modèle. Trois options principales :

• Un fournisseur européen : Mistral AI héberge les données dans l'Union européenne par défaut, tout en précisant que certaines fonctions peuvent impliquer des transferts vers des sous-traitants hors UE. Scaleway propose des modèles open source hébergés à Paris et n'utilise pas vos données pour l'entraînement.
• La région européenne d'un grand fournisseur : chez Microsoft Azure, un déploiement « Data Zone » UE traite les requêtes dans la frontière de données de l'UE, alors qu'un déploiement « Global » peut les traiter dans n'importe quelle région. OpenAI propose aussi une résidence des données en Europe pour son API, sous conditions d'éligibilité. Le paramétrage compte autant que le nom du fournisseur.
• Un modèle open source sur vos propres serveurs ou chez un hébergeur européen : le contrôle est maximal, mais l'exploitation est plus lourde (serveurs, mises à jour, supervision).

Un pilote en six étapes

Inutile de tout indexer d'un coup. Un pilote de quelques semaines suffit pour savoir si l'assistant tient ses promesses.

• Choisir un cas d'usage précis et un groupe d'utilisateurs (par exemple, le support interne sur vos procédures qualité).
• Sélectionner et nettoyer les documents : versions à jour, doublons retirés, données personnelles inutiles masquées.
• Faire l'analyse RGPD : base légale, registre, DPA avec les fournisseurs, et une analyse d'impact (AIPD) si le traitement présente un risque élevé, par exemple avec des données de santé.
• Construire l'assistant avec les droits d'accès par rôle, les citations de sources et les journaux dès le départ.
• Le tester avec une cinquantaine de vraies questions dont vous connaissez la réponse, et mesurer : bonnes réponses, réponses incomplètes, erreurs.
• Décider sur des chiffres : étendre, ajuster ou arrêter.

Ce qui fait un bon assistant

Un assistant ne se juge pas à la démo, mais à ce qu'il répond quand il ne sait pas. Un bon assistant dit « je ne trouve pas cette information dans vos documents » plutôt que d'inventer, et montre d'où vient chaque réponse. C'est ce comportement qu'il faut tester en priorité.

C'est le cœur de notre offre d'intégration IA, à partir de 4 000 € HT : un assistant qui répond à partir de vos documents, hébergé en Europe, avec des droits par rôle et une validation humaine sur les décisions sensibles. Si vous voulez savoir si votre cas s'y prête, parlons-en lors d'un diagnostic gratuit de 30 minutes.

Sources

• Règlement (UE) 2016/679 (RGPD) : eur-lex.europa.eu/eli/reg/2016/679/oj
• Règlement (UE) 2024/1689 (AI Act) : eur-lex.europa.eu/eli/reg/2024/1689/oj
• Commission européenne — Cadre réglementaire de l'IA et calendrier : digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
• Future of Privacy Forum — Calendrier de l'AI Act après l'AI Omnibus : fpf.org/blog/the-ai-act-implementation-timeline-what-changes-under-the-ai-omnibus
• Microsoft Learn — Types de déploiement (Global, Data Zone, Standard) : learn.microsoft.com/en-us/azure/foundry/foundry-models/concepts/deployment-types
• OpenAI — Contrôle des données et résidence en Europe : developers.openai.com/api/docs/guides/your-data
• Mistral AI — Où sont stockées mes données : help.mistral.ai/en/articles/347629-where-do-you-store-my-data-or-my-organization-s-data
• Scaleway — Generative APIs, confidentialité des données : scaleway.com/en/docs/generative-apis/reference-content/data-privacy