IA et données clients : les six points à vérifier avant d'automatiser

Qui est responsable de quoi ?

Pour les données de ses clients, le cabinet est généralement le responsable de traitement. Le prestataire qui met en place les automatisations, puis le fournisseur du modèle d'IA qu'elles appellent, agissent comme sous-traitants : ils traitent les données pour le compte du cabinet, sur ses instructions. L'article 28 du RGPD impose un contrat qui fixe l'objet, la durée, la finalité et les types de données, et exige l'autorisation écrite du cabinet pour tout sous-traitant ultérieur.

Les six questions à poser

1. Les données servent-elles à entraîner le modèle ? Les conditions diffèrent selon les offres : une API professionnelle payante n'est pas un service grand public.
2. Combien de temps sont-elles conservées ? Certains éditeurs conservent les données quelques semaines pour détecter les abus ; une durée plus courte est parfois possible.
3. Où sont-elles traitées ? Région d'hébergement, possibilité de rester dans l'Union européenne.
4. Y a-t-il des transferts hors de l'UE ? Ils doivent être encadrés (décision d'adéquation ou garanties appropriées).
5. Qui sont les sous-traitants ultérieurs ? Vous devez les connaître et les avoir autorisés par écrit.
6. Un humain valide-t-il ce qui compte ? L'IA prépare le travail, la décision reste celle du cabinet.

Le secret professionnel s'applique aussi aux outils

L'expert-comptable est soumis au secret professionnel. Concrètement, tous les intervenants qui accèdent aux données doivent être tenus à la confidentialité, et les accès doivent rester limités à ce qui est utile à la tâche : le principe du strict nécessaire.

Le cadre européen de l'IA

Le règlement européen sur l'intelligence artificielle prévoit des obligations de transparence et de supervision humaine selon le niveau de risque du système. La CNIL publie par ailleurs des fiches pratiques pour concilier IA et protection des données.

Comment nous abordons le sujet

Les workflows s'exécutent dans votre environnement et aucune donnée client n'est stockée sur les serveurs de FluxIA. Un contrat de sous-traitance encadre notre intervention, et un humain valide chaque étape sensible. Les chartes publiques de chaque éditeur d'IA, avec leurs sources officielles, sont détaillées dans notre module RGPD.