Agent conversationnel et RGPD en 2026 : obligations, AI Act, checklist

Chatbot, callbot, voicebot : le canal ne change rien. Dès qu'il traite un prénom, un email, une voix identifiable ou un dossier client, le RGPD s'applique. Et en 2026, l'AI Act ajoute une couche d'obligations.

Qui est responsable de quoi ?

Vous êtes responsable de traitement : vous décidez des finalités. Votre fournisseur est sous-traitant : il agit sur vos instructions. Le contrat de sous-traitance doit le dire noir sur blanc : objet, durées, sécurité, sous-traitants ultérieurs, droits, sort des données.

Sans ce contrat, pas de mise en production sérieuse.

AI Act + RGPD : deux cadres cumulés

Le RGPD protège les données. L'AI Act encadre les systèmes d'IA selon leur risque : transparence sur l'interaction avec une IA, information sur les usages, supervision humaine pour les décisions sensibles, documentation.

Concrètement : dites que c'est une IA, gardez un humain pour ce qui engage, documentez.

Cartographie : finalités, minimisation, durées

Une finalité précise par usage : suivi de demande, qualification, planification. Supprimez les champs sans utilité démontrée. Fixez des durées par catégorie, pas une durée unique « au cas où ».

Exemple : logs techniques 3 mois, conversations d'optimisation 6 mois pseudonymisées, dossiers contractuels selon obligations comptables et commerciales.

Transparence et décisions automatisées

Annoncez l'IA dès le début de l'échange, simplement. Pour toute décision qui engage (refus, tri, scoring), organisez une véritable intervention humaine : pas une case pré-cochée, un réexamen réel avec possibilité de contester.

Hébergement et transferts : vérifiez les preuves

« Hébergé en France » ne suffit pas. Vérifiez : accès distants d'administration, supports, sauvegardes, sous-traitants, transferts hors UE avec garanties (clauses contractuelles, mesures complémentaires).

C'est ici que le modèle d'iAgent est décisif : local d'abord. Vos agents peuvent travailler sur votre machine ou votre Box, sans que les données quittent vos bureaux. En hybride, vous êtes prévenu avant tout appel API. En cloud, c'est votre clé, sur votre poste.

Ajoutez HDS ou SecNumCloud quand votre secteur l'exige, mais ne confondez pas label commercial et preuve d'architecture. Demandez les documents, pas les slogans. Détails : sécurité et IA locale.

Audit en 10 contrôles avant mise en production

1. Finalités et bases légales écrites par usage.
2. Minimisation vérifiée champ par champ.
3. Durées et purges automatisées testées.
4. Information utilisateur courte et visible.
5. Consentements quand requis, traçés.
6. Contrat de sous-traitance complet.
7. Transferts hors UE cartographiés et encadrés.
8. Accès limités, chiffrement, journaux.
9. Test de droit d'accès et de suppression de bout en bout.
10. Procédure de violation : détection, 72h, notification.

Droits et incidents : répétez avant le jour J

Testez une demande d'accès comme un client mécontent le ferait : délai, complétude, format. Préparez la chaîne d'alerte incident : qui détecte, qui qualifie, qui notifie l'autorité et les personnes si risque élevé.

FAQ

La voix change-t-elle les obligations ? Le principe reste, la sensibilité augmente : informez de l'enregistrement, limitez la durée, sécurisez l'audio.

Combien de temps garder ? Le minimum utile, documenté par catégorie. « Tout garder pour l'IA » n'est pas une finalité.

Un hébergeur français suffit-il ? Non. Vérifiez contrats, accès, sous-traitants et transferts réels.

---

Mettez en production un agent auditable sur iAgent.agency : permissions, approbations, traçabilité et hébergement local ou hybride. Voir le catalogue et les tarifs.