En 30 secondes
- Coller des données clients dans une IA est un traitement de données : le RGPD s’applique et votre magasin reste responsable.
- Depuis le 2 août 2026, si un assistant converse avec des clients, ceux-ci doivent savoir qu’ils parlent à une IA.
- Utilisez des offres entreprise avec un contrat de traitement des données, pas des comptes personnels.
- Anonymisez avant de coller et relisez toujours ce que l’IA publie.
ChatGPT, Claude ou Copilot sont déjà des outils du quotidien dans de nombreux commerces : descriptions de produits, e-mails, analyse des ventes. Le risque apparaît quand quelqu’un colle une liste de clients, un contrat ou les données d’un salarié sans se demander où elles finissent. Ce guide vous aide à mettre de l’ordre sans vous compliquer la vie.
Les deux textes qui comptent
RGPD
Il s’applique chaque fois que vous traitez des données de personnes identifiables : nom, téléphone, e-mail, adresse, historique d’achats. Les coller dans une IA est un traitement de données, et votre magasin reste responsable.
Règlement européen sur l’IA
Le règlement (UE) 2024/1689, connu sous le nom d’AI Act, s’applique par étapes. Pour un magasin qui utilise une IA à usage général, le plus important est l’obligation de transparence de l’article 50.
Ce que le RGPD exige en pratique
Base légale
Pour utiliser ces données dans ce but. Qu’un client vous ait donné son e-mail pour le ticket ne vous autorise pas à l’utiliser pour autre chose.
Minimisation
N’utilisez que les données nécessaires. Si l’IA n’a pas besoin du nom, ne le mettez pas.
Contrat de sous-traitance
Avec le fournisseur d’IA si vous lui transmettez des données personnelles. C’est ce que proposent les offres entreprise.
Informer
Indiquez dans votre politique de confidentialité si vous utilisez des outils tiers pour traiter des données clients.
L’Italie inflige une amende de 15 millions d’euros à OpenAI
L’autorité italienne de protection des données a sanctionné OpenAI pour avoir utilisé des données personnelles afin d’entraîner ChatGPT sans base légale adéquate, pour manque de transparence envers les utilisateurs, pour ne pas avoir notifié une violation de données de mars 2023 et pour ne pas avoir vérifié l’âge des utilisateurs. Elle l’a aussi obligée à mener une campagne d’information de six mois.
Ce qu’il faut retenir : les fournisseurs d’IA eux-mêmes sont sous surveillance. Choisissez des offres avec un contrat de traitement des données et l’option qui empêche l’utilisation de vos conversations pour l’entraînement.
Source : LaPresse, 20 décembre 2024 ↗
Ce qu’exige le règlement sur l’IA
- Si vous mettez en place un assistant qui converse avec des clients, les personnes doivent savoir qu’elles parlent à une IA, sauf si c’est évident.
- Attention aux contenus générés ou manipulés par l’IA qui pourraient sembler réels, comme des images ou des vidéos de personnes.
- Votre personnel doit avoir un niveau suffisant de maîtrise de l’IA (art. 4, obligatoire depuis février 2025).
Offre personnelle ou offre entreprise
Le compte gratuit que quelqu’un a ouvert avec son e-mail personnel n’a rien à voir avec une offre entreprise souscrite par le magasin. En règle générale :
| Aspect | Offres personnelles (gratuites ou payantes individuelles) | Offres entreprise (Team, Business, Enterprise, API) |
|---|---|---|
| Utilisation de vos conversations pour entraîner les modèles | Peut être activée selon le fournisseur et la configuration ; vérifiez les paramètres | Par défaut, elles ne servent pas à l’entraînement |
| Accord de traitement des données | En général, il n’y en a pas | Disponible, avec des conditions adaptées au RGPD |
| Gestion des utilisateurs | Chaque personne gère son compte | L’entreprise crée et supprime les accès des utilisateurs |
| Qui est titulaire du compte | Le salarié | L’entreprise |
Ce que vous pouvez coller, et ce que vous ne pouvez pas
Des ingénieurs de Samsung collent du code interne dans ChatGPT
Plusieurs ingénieurs ont envoyé du code source de l’entreprise dans ChatGPT. Samsung a interdit les outils d’IA générative sur ses appareils et réseaux internes, a demandé de ne pas partager d’informations de l’entreprise depuis des appareils personnels et a averti de sanctions pouvant aller jusqu’au licenciement.
À retenir : ce que vous collez dans une IA sort de votre entreprise. Mieux vaut avoir une politique interne avant que l’équipe commence à l’utiliser chacun de son côté.
Source : Bloomberg Línea, 2 mai 2023 ↗
| Type d’information | Offre personnelle | Offre entreprise avec contrat |
|---|---|---|
| Descriptions de produits, textes marketing, idées | Oui | Oui |
| Ventes agrégées sans données personnelles (par boutique, par catégorie) | Oui, si ce ne sont pas des informations confidentielles de l’entreprise | Oui |
| Avis publics, sans le nom de l’auteur | Oui | Oui |
| E-mails de clients avec nom, téléphone ou adresse | Non. Anonymisez d’abord | Seulement si c’est nécessaire et avec une base légale |
| Listes de clients ou bases de données | Non | Seulement avec une finalité claire et le minimum de données |
| Données des salariés : fiches de paie, évaluations, arrêts de travail | Non | Avec beaucoup de prudence ; les données de santé, mieux vaut jamais |
| Numéros d’identité (DNI), coordonnées bancaires ou de carte | Non | Non |
| Mots de passe et identifiants d’accès | Non | Non |
Comment anonymiser
La plupart du temps, l’IA n’a pas besoin de savoir qui est le client. Il suffit de supprimer ou de remplacer ce qui permet de l’identifier :
Les données identifiantes sont les noms, e-mails, téléphones, adresses, numéros de commande ou d’adhérent, et tout détail qui permet de reconnaître quelqu’un.
Exemple Un e-mail inventé, avant et après anonymisation :
L’e-mail de la cliente
«Bonjour, je suis Laura Gómez, adhérente numéro 48213. J’ai acheté un manteau dans votre boutique de la calle Mayor le 3 et la fermeture éclair s’est cassée. Mon téléphone est le 600 000 000. Je suis très déçue.»
Ce que vous collez dans l’IA
«Bonjour, je suis [CLIENT]. J’ai acheté un manteau dans votre boutique [BOUTIQUE] il y a quelques jours et la fermeture éclair s’est cassée. Je suis très déçue.»
Modèle de politique interne
Une page de règles évite bien des doutes à l’équipe. Vous pouvez copier celle-ci et l’adapter, ou la télécharger au format Word, prête à signer :
DOCXModèle : politique d’utilisation de l’IAWord modifiable avec les 7 points et un tableau de signatures pour l’équipe (en espagnol).Télécharger ↓Politique d’utilisation de l’IA de [NOM DE LA BOUTIQUE]
1. Outils autorisés. Seuls les outils souscrits par l’entreprise sont utilisés : [par exemple, ChatGPT Business, Claude Team ou Microsoft 365 Copilot]. Aucun compte personnel n’est utilisé pour le travail.
2. Usages autorisés. Textes produits et marketing, brouillons d’e-mails, résumés, idées, analyse de données agrégées et aide aux tâches internes.
3. Données interdites. On ne saisit jamais de numéros d’identité, de coordonnées bancaires ou de carte, de mots de passe, de données de santé ni de données des salariés. Les données clients sont anonymisées chaque fois que c’est possible.
4. Relecture humaine. Tout ce qui part vers un client ou qui est publié (réponses aux avis, e-mails, textes du site) est d’abord relu par une personne.
5. Transparence. Si un client échange avec un assistant IA, il en est informé clairement dès le début.
6. Doutes et incidents. Si quelqu’un saisit par erreur des données qu’il ne devait pas, il prévient [RESPONSABLE] le jour même. Prévenir n’a aucune conséquence ; le cacher, si.
7. Responsable. [NOM] révise cette politique tous les six mois, et crée et supprime les accès.
Date : [DATE]. Lue et acceptée par : [NOM ET SIGNATURE].
Avant de lancer un chatbot
Air Canada doit répondre de ce qu’a dit son chatbot
L’assistant de son site a dit à un client qu’il pouvait demander le tarif réduit pour décès d’un proche après son vol. La politique réelle disait le contraire. La compagnie a soutenu que le chatbot était responsable de ses propres actes, mais le tribunal a rejeté cet argument et l’a obligée à indemniser le client.
À retenir : ce que dit votre chatbot, c’est votre boutique qui le dit. Limitez-le à des informations que vous avez vérifiées.
Un assistant sur le site ou sur WhatsApp qui répond aux questions sur les horaires, les livraisons ou les retours peut être très utile. Avant de l’activer, cochez chaque point :
- Le premier message indique clairement qu’il s’agit d’un assistant IA. Par exemple : «Bonjour, je suis l’assistant virtuel de [BOUTIQUE], une intelligence artificielle. Si vous préférez parler à une personne, écrivez PERSONNE».
- Il existe un moyen simple de passer à une personne, et quelqu’un traite ces cas.
- Il ne répond qu’avec des informations que vous lui avez fournies : horaires, politiques de livraison et de retour, questions fréquentes.
- Vous avez testé des questions difficiles : réclamations, demandes de remise, questions hors sujet, tentatives pour lui faire dire quelque chose d’inapproprié.
- Il ne demande pas de données dont il n’a pas besoin. S’il faut un numéro de commande, il ne demande pas de pièce d’identité.
- Vous avez un accord de traitement des données avec le fournisseur de l’outil.
- Votre politique de confidentialité mentionne l’assistant et le fournisseur.
- Vous savez combien de temps et où les conversations sont conservées.
- Quelqu’un relit un échantillon de conversations chaque semaine pendant le premier mois.
- Il existe un plan pour le couper rapidement s’il commence à mal répondre.
Relisez ce que publie l’IA
L’IA propose ; vous décidez.
Par où commencer
Cinq étapes pour cette semaine :
- Demandez à l’équipe quels outils d’IA elle utilise et avec quels comptes. Sans juger : l’objectif est de savoir.
- Choisissez l’outil professionnel que vous allez utiliser et souscrivez l’offre adaptée.
- Adaptez le modèle de politique, présentez-le lors d’une courte réunion et demandez à chacun de le signer.
- Montrez avec un exemple réel comment anonymiser un e-mail.
- Si vous allez lancer un chatbot, passez en revue la liste ci-dessus avant de l’activer.
Cet article est indicatif et ne remplace pas un conseil juridique. Les conditions des fournisseurs et l’application de la réglementation peuvent changer. Si vous traitez des données sensibles ou avez des questions précises, consultez votre délégué à la protection des données ou un avocat spécialisé.