Le RGPD, règlement général sur la protection des données, est le règlement (UE) 2016/679. Adopté le 27 avril 2016 et applicable depuis le 25 mai 2018, il fixe les règles que doit respecter toute organisation qui traite des données personnelles de personnes situées dans l'Union européenne. En anglais, on parle de GDPR ; en néerlandais, d'AVG.
Ce qu'est une donnée personnelle
Une donnée personnelle est toute information qui permet d'identifier une personne, directement ou indirectement : un nom, une adresse e-mail, un numéro de téléphone, une adresse IP, mais aussi la description d'une situation assez précise pour reconnaître quelqu'un. Dans une conversation avec un assistant IA, un visiteur qui donne son nom ou raconte son problème de chauffage avec son adresse fournit des données personnelles.
Certaines données sont dites sensibles et bénéficient d'une protection renforcée (article 9) : santé, opinions politiques, convictions religieuses, origine, orientation sexuelle, données biométriques. Un assistant ne devrait pas les solliciter, et l'organisation doit prévoir quoi faire quand un visiteur les partage spontanément.
Les principes de base
L'article 5 du RGPD fixe les principes que tout traitement doit respecter :
- Licéité, loyauté et transparence : une base légale et une information claire des personnes
- Limitation des finalités : utiliser les données pour un objectif défini, pas pour autre chose ensuite
- Minimisation : ne collecter que ce qui est nécessaire
- Exactitude : tenir les données à jour et corriger les erreurs
- Limitation de la conservation : ne pas garder les données plus longtemps que nécessaire, ce qui suppose une durée de conservation
- Intégrité et confidentialité : protéger les données contre l'accès non autorisé et la perte
- Responsabilité : être capable de démontrer le respect de ces principes
Les six bases légales
Tout traitement doit reposer sur l'une des six bases de l'article 6 : le consentement, l'exécution d'un contrat ou de mesures précontractuelles, une obligation légale, la sauvegarde des intérêts vitaux, une mission d'intérêt public, ou l'intérêt légitime de l'organisation mis en balance avec les droits de la personne. Pour un assistant de site, les plus courantes sont les mesures précontractuelles (répondre à une demande d'information sur un service), l'intérêt légitime (transmettre à l'équipe, améliorer le service) et le consentement (retenir des informations pour personnaliser les échanges futurs).
Les droits des personnes
Les personnes disposent de droits qu'elles peuvent exercer auprès de l'organisation : accès à leurs données, rectification, effacement, limitation du traitement, portabilité, opposition. L'organisation doit répondre dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes. Un outil qui permet de retrouver, exporter et supprimer toutes les données d'une personne à partir de son adresse e-mail simplifie beaucoup ce travail.
Qui est responsable de quoi
Le RGPD distingue deux rôles :
- Le responsable du traitement décide pourquoi et comment les données sont traitées. Pour un assistant sur votre site, c'est votre organisation
- Le sous-traitant traite les données pour le compte du responsable, selon ses instructions. La plateforme qui fournit l'assistant, son hébergeur et le fournisseur du modèle de langage sont des sous-traitants ou des sous-traitants ultérieurs
La relation entre les deux est encadrée par un contrat de sous-traitance, prévu à l'article 28.
Les transferts hors de l'Union
Quand des données quittent l'Espace économique européen, par exemple vers un fournisseur de modèle établi aux États-Unis, le transfert doit être encadré : décision d'adéquation de la Commission européenne, clauses contractuelles types ou autre mécanisme prévu au chapitre V. Pour les États-Unis, la décision d'adéquation du 10 juillet 2023 couvre les entreprises certifiées dans le cadre du Data Privacy Framework.
Les sanctions
Les amendes peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les manquements les plus graves. En Belgique, l'autorité de contrôle est l'Autorité de protection des données (APD), qui reçoit les plaintes, mène des enquêtes et peut prononcer des sanctions. Au-delà des amendes, le risque principal pour une PME est souvent la perte de confiance de ses clients.
Le RGPD et les assistants IA
Un assistant IA ne change pas les règles, mais il multiplie les points d'attention : ce que les visiteurs écrivent librement, ce que l'assistant retient, où les messages sont traités, combien de temps ils sont conservés, s'ils servent à entraîner un modèle. Notre article assistant IA et RGPD détaille la méthode pour une PME. Le règlement européen sur l'IA, l'AI Act, ajoute ses propres obligations, sans remplacer le RGPD.
Le RGPD dans KernChat
KernChat est hébergé dans l'Union européenne. Les conversations sont conservées 365 jours par défaut, avec une durée que l'organisation peut modifier, puis purgées. La mémoire des contacts repose sur l'accord du contact quand l'organisation le requiert, et chaque information retenue peut être exportée ou supprimée. Les messages sont transmis au fournisseur du modèle uniquement pour générer la réponse ; KERN-IT ne les utilise pas pour entraîner un modèle.