Agents IA, RGPD et AI Act : ce qu'il faut vérifier avant de déployer
Un agent qui traite des données personnelles n'est pas hors du champ du RGPD parce que c'est « juste un outil IA ». Ce que la réglementation demande concrètement.
Déployer un agent IA qui touche à des données personnelles — trier des candidatures, qualifier des leads, répondre à des demandes clients — active les mêmes obligations qu'un traitement automatisé classique. L'IA générative ne crée pas d'exception.
Ce que le RGPD demande
Base légale du traitement, information des personnes concernées, durée de conservation définie, et surtout : droit à une intervention humaine en cas de décision entièrement automatisée ayant un effet significatif (article 22). Un agent qui rejette seul une candidature sans possibilité de recours humain pose un vrai problème de conformité.
Ce que l'AI Act européen ajoute
Le règlement européen sur l'IA classe les systèmes par niveau de risque. Un agent utilisé pour le recrutement ou l'évaluation de crédit entre typiquement dans la catégorie « haut risque », avec des obligations de documentation, de supervision humaine et de traçabilité des décisions bien plus strictes qu'un agent qui trie des tickets support.
Ce que nous vérifions à l'audit
Avant tout déploiement Trustagents touchant à des données personnelles : quelle est la base légale, où sont hébergées les données pendant le traitement (Union européenne ou non), quel est le niveau de risque au sens de l'AI Act, et quel mécanisme de recours humain existe en cas de décision contestée.
Ce que ça implique en pratique
Pour les cas à risque, un modèle auto-hébergé (Z.ai/GLM ou Hermes) qui ne fait sortir aucune donnée vers un tiers simplifie nettement la démonstration de conformité, par rapport à un appel API vers un modèle propriétaire hébergé hors UE.
Une question sur votre situation ?
Demandez un audit gratuit, on regarde votre cas précis.