Brancher une IA sur son CRM : les questions que votre DPO va poser

Brancher une IA sur un CRM et une messagerie professionnelle, c’est lui donner accès à des noms, des adresses, des numéros de téléphone, des comptes rendus d’entretien, des montants de contrat et parfois des jugements sur des personnes. Ce sont des données à caractère personnel au sens du RGPD, et souvent des informations couvertes par des accords de confidentialité signés avec vos clients.

Cet article n’est pas un avis juridique : c’est la liste des points que soulève un DPO ou un service achats lors d’une revue, avec ce qui constitue une réponse acceptable. Il est écrit pour être lu avant la démonstration commerciale, pas après.

1. Sur quelle base légale traitez-vous ces données ?

Un CRM commercial fonctionne en général sur l’intérêt légitime (article 6.1.f) pour la prospection B2B, ou sur l’exécution du contrat pour les clients existants. Ajouter une IA ne crée pas une nouvelle finalité en soi — à condition que le traitement reste dans le périmètre de ce qui était déjà fait.

La ligne se franchit dans deux cas :

• Le profilage. Un score de propension à l’achat calculé par un modèle, s’il produit des effets sur les personnes, sort du cadre du simple traitement commercial et relève de l’article 22.
• L’enregistrement des échanges. Transcrire un appel ou une visioconférence est une finalité distincte, qui exige sa propre information et, dans la plupart des configurations, le consentement des participants.

En pratique : mettez à jour votre registre des traitements. C’est la première chose qu’un contrôle demande, et l’absence d’inscription est une non-conformité en soi, indépendamment du reste.

2. Le fournisseur est-il sous-traitant, et le contrat existe-t-il ?

Un éditeur qui traite des données personnelles pour votre compte est sous-traitant au sens de l’article 28. Cela impose un contrat écrit — un DPA, data processing agreement — qui doit exister avant la mise en production, pas après.

Ce que le contrat doit contenir, au minimum : la nature et la finalité du traitement, les catégories de données et de personnes concernées, la durée, les mesures de sécurité, la liste des sous-traitants ultérieurs, l’obligation d’assistance en cas de demande d’exercice de droits, et le sort des données à la fin du contrat.

Le point le plus souvent négligé est la liste des sous-traitants ultérieurs. Un éditeur d’IA en a nécessairement : un hébergeur, et un ou plusieurs fournisseurs de modèles de langage. Ces noms doivent être publics et le contrat doit prévoir une notification en cas de changement.

3. Où sont les données, et sortent-elles de l’Union ?

Trois couches à distinguer, parce qu’elles ont souvent des réponses différentes.

La troisième est celle qu’on oublie. Un service hébergé en Europe qui appelle une API de modèle située aux États-Unis effectue un transfert hors UE à chaque requête. Ce transfert n’est pas interdit, mais il doit être encadré — clauses contractuelles types, ou adhésion du destinataire au cadre de protection des données UE–États-Unis — et il doit figurer dans votre registre et dans votre information aux personnes.

La question à poser telle quelle : « Quel fournisseur de modèle utilisez-vous, dans quelle région, et le contenu de mes e-mails et fiches CRM lui est-il transmis ? » Une réponse évasive est une réponse.

4. Vos données servent-elles à entraîner un modèle ?

C’est la question qui bloque le plus de dossiers en revue sécurité, et elle appelle une réponse écrite dans le contrat, pas une réponse orale en démonstration.

La réponse acceptable est non, avec trois précisions : ni pour l’entraînement, ni pour l’affinage, ni pour l’amélioration de modèles partagés entre clients. Les principaux fournisseurs de modèles proposent aujourd’hui des conditions professionnelles excluant l’entraînement sur les données transmises par API ; c’est au fournisseur de votre outil de vous confirmer par écrit qu’il les a souscrites.

À distinguer de la mémoire de l’outil : un employé IA qui retient que tel client répond mieux au téléphone n’entraîne pas un modèle. Il stocke une préférence dans votre espace, isolée des autres clients, et effaçable. Les deux mécanismes portent parfois le même nom commercial — « il apprend » — et n’ont rien à voir sur le plan juridique. Exigez que la distinction soit explicite dans la documentation.

La bonne question n’est pas « est-ce que l’IA apprend ». C’est « ce qu’elle a appris de mes clients, est-ce qu’un autre client peut le voir ».

5. Qui voit quoi, à l’intérieur de votre entreprise ?

Un point interne, souvent découvert trop tard. Si l’IA d’un commercial peut lire les opportunités de toute l’entreprise pour « mieux contextualiser », vous venez de créer un contournement de vos propres droits d’accès CRM.

La règle saine : l’IA voit ce que la personne qui l’utilise verrait elle-même, et rien de plus. Ce qui suppose que les permissions soient reprises depuis le CRM et appliquées à chaque lecture, pas qu’un compte de service unique accède à tout.

Le test en démonstration : demandez à voir ce qui se passe quand un commercial pose une question sur un compte qui ne lui est pas attribué. La bonne réponse est un refus, pas une réponse filtrée après coup.

6. Combien de temps les données sont-elles conservées ?

Trois durées, à obtenir séparément :

• Les enregistrements audio et transcriptions brutes. La durée la plus courte, et de loin. Une transcription conservée après extraction du compte rendu est un risque sans contrepartie.
• Les contenus intermédiaires — brouillons, contextes assemblés, journaux d’exécution.
• Les données de votre espace, et surtout ce qui se passe à la résiliation : délai de suppression, format d’export, et confirmation écrite de l’effacement, sauvegardes comprises.

7. Ce qui rassure vraiment un DPO : le périmètre d’action

Au-delà du contrat, un argument pèse plus que tous les autres en revue : ce que l’outil ne peut pas faire.

Un système qui lit, résume et prépare des brouillons, mais n’envoie rien sans validation humaine explicite, est d’une classe de risque différente d’un système autorisé à écrire à vos clients. Ce n’est pas une nuance de communication : cela change la nature du risque résiduel, parce que rien de ce que fait l’outil n’est visible par un tiers sans qu’une personne l’ait décidé.

C’est aussi ce qui rend l’analyse d’impact plus simple, quand elle est requise. Un traitement sans effet extérieur automatique et sans décision automatisée produisant des effets juridiques sur des personnes reste, dans la plupart des configurations commerciales, en dehors des cas les plus lourds. C’est la ligne de partage qui structure un employé IA sérieux — et c’est autant un choix de conformité qu’un choix de produit.

Les dix questions à envoyer au fournisseur

À copier tel quel dans un e-mail, avant la démonstration.

1. Quelle est votre qualification RGPD, et disposez-vous d'un DPA type ?
2. Quels sont vos sous-traitants ultérieurs, nommément ?
3. Dans quelle région les données sont-elles stockées ?
4. Quel fournisseur de modèle utilisez-vous, et dans quelle région ?
5. Le contenu transmis au modèle sert-il à un entraînement,
   un affinage ou une amélioration ? Confirmez-le par écrit.
6. Quelles durées de conservation pour : audio, transcriptions,
   contenus intermédiaires, données de l'espace client ?
7. Comment les permissions du CRM sont-elles reprises par l'outil ?
8. Quelles actions l'outil peut-il exécuter sans validation humaine ?
9. Quel est le processus en cas de violation de données, et sous
   quel délai êtes-vous en mesure de nous notifier ?
10. Que se passe-t-il à la résiliation : délai de suppression,
    format d'export, confirmation écrite ?

Un fournisseur sérieux répond aux dix en une page. La qualité de cette page vous en apprendra plus sur l’outil que deux heures de démonstration.

Questions fréquentes

Faut-il une analyse d’impact (AIPD) pour brancher une IA sur son CRM ?

Cela dépend de l’usage. Un traitement qui se limite à assister un commercial, sans décision automatisée produisant des effets juridiques et sans traitement à grande échelle de données sensibles, n’entre généralement pas dans les cas où l’AIPD est obligatoire. Dès qu’il y a profilage, scoring de personnes ou enregistrement systématique de conversations, la question doit être posée à votre DPO.

Peut-on enregistrer et transcrire un rendez-vous client ?

Oui, à condition d’informer les participants avant le début et de leur laisser la possibilité de refuser. L’information doit être explicite, pas noyée dans une mention d’invitation. Certaines juridictions et certains secteurs imposent des exigences supplémentaires.

Une IA qui « apprend » de mes clients viole-t-elle le RGPD ?

Pas nécessairement, mais tout dépend d’où va ce qu’elle apprend. Une préférence stockée dans votre espace, isolée et effaçable, est un traitement ordinaire. Des données utilisées pour entraîner un modèle partagé entre plusieurs clients posent un problème d’une tout autre nature, et doivent être exclues contractuellement.