Agent IA et RGPD : comment rester conforme en France ?

Pourquoi un agent IA crée-t-il des obligations RGPD spécifiques ?

Un agent IA exécute des tâches de bout en bout : il lit, écrit et décide sur des données, sans validation humaine systématique. Cette autonomie déplace la responsabilité RGPD vers l'entreprise qui déploie l'agent, considérée comme responsable de traitement. L'article 22 du RGPD encadre spécifiquement les décisions « entièrement automatisées » produisant des effets juridiques sur une personne. Selon le CREDOC (Baromètre du numérique édition 2026, enquête juin 2025, 4 145 personnes), 48 % des Français utilisent l'IA générative, soit +15 points en un an. Cette accélération augmente mécaniquement le volume de données personnelles traitées par des systèmes IA, et donc l'exposition juridique.

Quelles données personnelles un agent IA traite-t-il concrètement ?

Un agent IA métier touche presque toujours à des données personnelles : noms et emails de contacts CRM, historiques d'échanges client, données RH, parfois données de santé ou bancaires. Chacune de ces catégories appelle une base légale distincte (consentement, intérêt légitime, exécution contractuelle). Growth Wave constate sur le terrain que 2 à 3 projets d'agents ou logiciels custom sont récupérés en urgence chaque mois, avec parmi les failles des accès CRM ou des données confidentielles exposés sans base légale identifiée (source : Données propriétaires Growth Wave, constat récurrent, juin 2026). Le risque n'est pas théorique : il est opérationnel.

Comment choisir un LLM conforme au RGPD en France ?

Le choix du modèle de langage détermine où transitent et où sont stockées les données. Growth Wave applique une règle simple : Mistral recommandé si les données sont sensibles ou si une exigence de souveraineté existe, Claude API pour les cas sans contrainte de localisation (source : Données propriétaires Growth Wave, POV & définitions, juin 2026). Cette approche est agnostique : le bon LLM dépend du projet, pas d'un dogme.

Localisation des données : serveurs UE vs US

Un transfert de données vers les États-Unis impose des garanties supplémentaires (clauses contractuelles types, évaluation d'impact). Pour des données sensibles, héberger en Union européenne reste la voie la plus sûre. Selon Deloitte (State of AI in the Enterprise 2026, enquête août à septembre 2025, 3 235 dirigeants, 24 pays), 83 % des entreprises jugent la « sovereign AI » importante et 77 % intègrent le pays d'origine du fournisseur dans leur décision. La souveraineté n'est plus un sujet militant, c'est un critère d'achat.

Critère	Serveurs UE	Serveurs US
Données sensibles	Recommandé	À éviter
Garanties RGPD	Cadre natif	Clauses + évaluation requises
Reco Growth Wave	Mistral	Claude API si pas de data sensible

Clauses contractuelles et DPA (Data Processing Agreement)

Tout fournisseur de LLM agissant comme sous-traitant doit signer un DPA encadrant le traitement : finalités, durée, sécurité, sous-traitance ultérieure. Vérifiez que le fournisseur s'engage à ne pas réutiliser vos données pour entraîner ses modèles. Growth Wave dispose d'une certification DPO au sein de l'équipe, ce qui permet de cadrer ces clauses dès l'étape de conception.

Comment documenter et auditer les décisions de votre agent IA ?

L'auditabilité est le troisième pilier : vous devez pouvoir reconstituer pourquoi un agent a pris une décision sur une personne. Cela suppose un journal des traitements, une traçabilité des données utilisées et un dispositif human-in-the-loop sur les décisions à fort impact. Cette exigence se prépare à l'étape 00 Data Governance du framework Growth Wave, en définissant les règles et les rôles avant tout déploiement. Growth Wave a déployé plus de 150 agents IA en production, avec une certification DPO en interne (source : Données propriétaires Growth Wave, juin 2026). Selon Growth Wave, déployer un agent IA sur une base non structurée automatise les erreurs : sur une base propre et gouvernée, il automatise la performance, en toute conformité.

Quelles obligations vis-à-vis des personnes dont les données sont traitées ?

Les personnes concernées conservent leurs droits : information, accès, rectification, opposition, et droit de ne pas faire l'objet d'une décision entièrement automatisée (article 22). Concrètement, votre agent doit prévoir une possibilité d'intervention humaine et une information claire sur le traitement automatisé. Ces obligations se traduisent par des fonctionnalités à concevoir en amont (point de contact, mécanisme d'opposition), pas par une couche ajoutée après la mise en production.