IA et RGPD : ce que tout gérant d'agence doit savoir en 2026

Depuis l'entrée en application complète de l'AI Act européen en août 2025, utiliser une IA en relation client n'est plus seulement un sujet technique : c'est aussi un sujet juridique, qui peut coûter cher en cas de manquement. Voici ce qu'un gérant d'agence doit absolument vérifier avant de déployer le moindre agent IA.

Les 3 obligations majeures issues de l'AI Act

1. Transparence

Toute personne en interaction avec un système d'IA doit en être informée. Concrètement, votre agent vocal doit annoncer dès la première phrase qu'il s'agit d'un assistant virtuel. Le manquement à cette obligation est sanctionnable jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial.

2. Consentement explicite à l'enregistrement

Si vous enregistrez les appels (pour transcription ou contrôle qualité), le double opt-in est obligatoire : annonce verbale en début d'appel + acceptation explicite de l'interlocuteur. L'enregistrement silencieux est interdit.

3. Localisation des données en UE

Les données personnelles collectées (nom, téléphone, projet immobilier, situation financière) doivent être stockées et traitées sur des serveurs localisés en Union européenne. C'est la garantie RGPD de base, renforcée par les recommandations CNIL de mars 2024.

Les zones grises où beaucoup d'agences se font piéger

• Utiliser ChatGPT en direct pour rédiger des annonces avec des données clients : transfert vers les États-Unis, non conforme.
• Stocker les transcriptions d'appel dans un Google Drive personnel : aucune base légale, aucune garantie d'effacement.
• Connecter un chatbot américain à votre site sans bandeau cookies adapté : sanction RGPD probable.
• Conserver les enregistrements au-delà de 6 mois sans justification précise.

Ce que nous garantissons chez L'IAgence

• Infrastructure 100 % européenne (Scaleway et OVHcloud, datacenters Paris et Gravelines).
• Aucune donnée client transférée hors UE, jamais.
• Modèles IA opérés en propre, sans réutilisation des données pour entraînement.
• Conservation des transcriptions : 90 jours par défaut, paramétrable.
• DPO dédié, registre de traitement à votre disposition, contrat de sous-traitance RGPD signé.

Le check-list à exiger de tout prestataire IA

• Où sont hébergées les données ? (réponse acceptable : UE)
• Quels modèles sont utilisés et sont-ils ré-entraînés sur vos données ?
• Qui est le DPO du prestataire et comment le contacter ?
• Où trouver la politique de confidentialité applicable au service ?
• Quel est le délai de purge garanti en fin de contrat ?

« Le RGPD n'est pas un frein à l'innovation. C'est un cahier des charges. Bien lu, il vous évite des sanctions et vous différencie de concurrents moins rigoureux. »