Messages de clients belges et IA : RGPD et APD

Oui, vous pouvez confier les messages de vos clients belges à un fournisseur d'IA, mais pas n'importe comment. Il faut un contrat de sous-traitance conforme à l'article 28 du RGPD, savoir où les données sont traitées, limiter ce que l'IA reçoit au strict nécessaire, traiter à part les données sensibles et mettre votre politique de confidentialité à jour. Cette décision vous revient, en tant que responsable du traitement.

Je suis développeur Sylius et Symfony indépendant, présent notamment à Bruxelles, et je construis des agents IA pour des boutiques en ligne. Je ne suis pas juriste : ce qui suit n'est pas un avis juridique, mais la liste des points que je vérifie avec chaque commerçant avant de brancher un agent sur sa boîte de contact, avec les textes officiels qui les fondent.

Qui est responsable quand une IA lit les messages de vos clients ?

Vous restez responsable du traitement : c'est vous qui décidez pourquoi et comment les messages sont traités. Le fournisseur du modèle d'IA, et le prestataire qui construit l'agent, agissent en principe pour votre compte : ce sont des sous-traitants. L'article 28 du RGPD impose alors un contrat écrit entre vous.

L'Autorité de protection des données, l'APD (Gegevensbeschermingsautoriteit côté néerlandophone), en détaille le contenu dans son vade-mecum RGPD pour les PME. Le sous-traitant ne traite les données que sur vos instructions écrites et ne les utilise pour aucune autre finalité. Il prend des mesures de sécurité adaptées au risque, ne recrute pas d'autre sous-traitant sans votre autorisation écrite préalable, vous aide à répondre aux demandes de vos clients, supprime ou restitue les données en fin de prestation et accepte les audits.

C'est ce point des « autres finalités » qu'il faut lire de près chez un fournisseur d'IA. Si ses conditions lui permettent de réutiliser vos messages pour améliorer ses modèles, vous n'êtes plus dans une sous-traitance simple. Vérifiez quelle offre vous utilisez : les conditions d'une application grand public et celles d'un accès professionnel par API ne sont souvent pas les mêmes.

Les données peuvent-elles quitter l'Union européenne ?

Le même vade-mecum de l'APD rappelle que les données circulent librement au sein de l'Union, mais qu'un transfert hors de l'Union n'est permis que dans des conditions strictes : un pays reconnu par la Commission européenne comme offrant une protection équivalente (une décision d'adéquation), ou des garanties contractuelles comme les clauses types approuvées.

Pour les États-Unis, où sont établis plusieurs grands fournisseurs de modèles, une décision d'adéquation existe pour les entreprises qui adhèrent au cadre transatlantique. Le Tribunal de l'Union européenne a rejeté le recours qui la contestait, comme l'indique le communiqué de la Cour de justice du 3 septembre 2025. Un pourvoi a été formé devant la Cour de justice, ce qui laisse une incertitude : vérifiez l'état de l'affaire au moment de décider, et préférez si possible un traitement et un stockage dans l'Union. Je compare les options dans l'article sur l'IA souveraine sans OpenAI.

Que faire des données sensibles qui arrivent dans les messages ?

Un client n'écrit pas au service client en pensant au RGPD. Pour expliquer un retour ou un retard, il raconte parfois sa situation personnelle, médicale ou familiale. Or l'article 9 du RGPD interdit en principe le traitement de ces catégories particulières (santé, opinions, convictions religieuses, entre autres), sauf exceptions prévues par le texte.

Concrètement, je travaille sur trois leviers. La minimisation d'abord : l'agent ne reçoit que le message en cours et les données du client concerné, jamais toute la boîte de contact. Sur le chantier de SAV que je mène pour une boutique sous Sylius 2, le client est retrouvé par le code, par son adresse e-mail exacte, et seules ses données partent vers le modèle. La durée ensuite : des traces conservées le temps nécessaire, pas indéfiniment. La décision enfin : sur ce même chantier, les messages contiennent parfois des données sensibles, et les confier au fournisseur d'IA demande un contrat de sous-traitance et une politique de confidentialité à jour. Ce choix revient au commerçant, pas à moi. Selon le volume et la nature des données, une analyse d'impact (AIPD, l'évaluation écrite des risques pour les personnes) peut aussi être nécessaire : le vade-mecum de l'APD en décrit la démarche.

Et l'AI Act, qu'est-ce qui s'applique déjà ?

L'AI Act (règlement 2024/1689) a été modifié en 2026 par le règlement (UE) 2026/1744, dit « omnibus numérique sur l'IA ». D'après le résumé du Parlement européen, les exigences pour les systèmes à haut risque de l'annexe III sont reportées au 2 décembre 2027, et les fournisseurs de systèmes qui génèrent du contenu, déjà sur le marché avant le 2 août 2026, ont jusqu'au 2 décembre 2026 pour le marquage de ce contenu.

Pour un agent de SAV qui prépare des brouillons relus par une personne, l'enjeu principal est la transparence : si vos clients dialoguent directement avec une IA, ils doivent en être informés. Un agent qui ne répond jamais seul limite cette exposition, mais la règle vaut dès qu'un client échange avec l'IA sans intermédiaire. Mon article sur l'AI Act et les chatbots détaille ces obligations.

Que vérifier avant de brancher l'agent ?

Ma liste tient en quelques questions. Le contrat de sous-traitance est-il signé avec le prestataire et avec le fournisseur du modèle ? Les données restent-elles dans l'Union, ou le transfert est-il couvert ? Le fournisseur s'interdit-il de réutiliser vos messages ? L'agent reçoit-il seulement les données du client concerné ? Votre politique de confidentialité mentionne-t-elle ce nouveau destinataire ? Pour approfondir, l'APD a publié une brochure sur les systèmes d'IA et le RGPD, destinée notamment aux responsables du traitement et aux sous-traitants.

Ces questions font partie du diagnostic IA offert présenté sur la page agent IA e-commerce : je vous rappelle sous 24 heures ouvrées et je passe votre boutique au crible des 8 couches, accès et données compris. Pour voir comment ces règles s'appliquent à un service client, lisez l'article sur l'agent IA de SAV en Belgique, et pour choisir un prestataire, celui sur l'intégrateur IA.