Le RGPD, compris dans chaque projet IA

Non. Le RGPD encadre le traitement des données personnelles, quel que soit l’outil : un agent IA bien conçu le respecte comme n’importe quel logiciel. Chez nous, tout projet qui touche à des données personnelles (les vôtres, celles de vos salariés ou de vos clients) est conçu dès le départ pour le respecter, sans supplément. Sont toujours inclus :

• ne traiter que les données nécessaires, avec une base légale pour chaque traitement ;
• des durées de conservation définies et les droits des personnes respectés ;
• les prestataires encadrés par contrat, y compris le fournisseur du modèle d’IA ;
• des traces, et une analyse d’impact quand elle est requise.

Oui. Quand nous traitons des données personnelles pour votre compte, nous sommes votre sous-traitant au sens de l’article 28 du RGPD : un accord de sous-traitance des données personnelles est signé avec le contrat, dont il fait partie. Il désigne les prestataires qui traitent ces données, y compris dès qu’un modèle d’IA tiers intervient, et nous restons responsables d’eux envers vous.

Seulement quand le traitement présente un risque élevé pour les personnes : données sensibles, surveillance, décisions automatisées à grande échelle. L’analyse d’impact étudie alors ces risques et les mesures pour les réduire. La question se pose au cadrage ; savoir si elle est requise relève de votre délégué à la protection des données ou de votre avocat. Quand elle l’est, elle fait partie de la réalisation, sans prix à part.

Votre entreprise garde les obligations du responsable du traitement : quand Synergetik traite des données personnelles pour vous, elle agit comme votre sous-traitant (article 28 du RGPD). Il vous revient de :

• décider pourquoi et comment ces données sont traitées, et nous le dire par écrit ;
• informer vos clients et vos salariés, y compris quand ils échangent avec une IA ;
• faire trancher les questions juridiques par votre délégué à la protection des données ou votre avocat ;
• valider les résultats produits.

De notre côté, chaque traitement est conçu dès le départ pour respecter le RGPD, sans supplément : données limitées au nécessaire, base légale identifiée, durées de conservation définies, traces, prestataires encadrés par contrat.

En cas de violation de données personnelles, Synergetik vous prévient sans délai, avec les informations dont vous avez besoin pour la déclarer : c’est un engagement de l’accord de sous-traitance des données, signé avec le contrat. La déclaration revient à votre entreprise, responsable du traitement ; nous vous y aidons, avec les informations dont nous disposons.

Tout est conçu pour limiter ce risque et comprendre vite ce qui s’est passé :

• seules les personnes qui en ont besoin accèdent à vos données, et elles sont tenues au secret ;
• chaque agent n’accède qu’aux données nécessaires à son travail, avec des accès révocables à tout moment ;
• un journal garde la trace de ce que fait chaque agent.

Votre entreprise répond à ces demandes, comme responsable du traitement, et Synergetik l’y aide : c’est prévu dans l’accord de sous-traitance des données signé avec le contrat. Le respect des droits des personnes (accès, rectification, suppression) est conçu dès le départ, sans supplément :

• une demande qui nous parvient directement vous est transmise sans délai ;
• nous vous donnons les informations nécessaires pour y répondre ;
• la documentation remise avec chaque agent dit qui a accès à quoi et par où passent les données.

Vos données personnelles sont conservées pendant la durée fixée pour chaque traitement, que vous connaissez avant de signer ; à la fin du contrat, Synergetik vous les rend, puis les supprime. Des durées de conservation sont définies pour chaque traitement de données personnelles, traces comprises, et la page « Où vont vos données », jointe à votre proposition ou à votre contrat, les indique.

La restitution puis la suppression de vos données à la fin du contrat sont un engagement de l’accord de sous-traitance des données, signé avec le contrat.