Automatiser un process avec des données clients : la méthode RGPD

Automatiser un process qui manipule des données clients — relances, devis, suivi, tri des demandes — proprement, cela se décide avant d'écrire la première ligne, pas après la mise en service de l'outil. Ce sont des décisions qui coûtent une conversation quand elles sont prises au départ, et une refonte complète quand on les découvre après coup. Chez Blyx, cabinet d'experts IA et développement pour les TPE-PME, ce cadrage fait partie de chaque Solution sur mesure, en appui de l'Audit IA qui cartographie vos process en amont, prolongé si besoin par une Formation pour que vos équipes gardent les bons réflexes une fois l'outil livré.

Cet article n'est pas un cours de droit. C'est une suite de décisions concrètes, dans l'ordre où elles se prennent sur un projet : pourquoi vous traitez ces données, combien de temps vous les gardez, ce que vous dites aux personnes concernées, ce que prévoit le contrat de votre prestataire, quand une analyse d'impact s'impose, la place de l'humain dans la décision, et où vont les données si l'outil choisi est américain.

Pourquoi ces données et pas d'autres

Avant d'écrire la moindre ligne, posez une question simple : pourquoi ce process a-t-il besoin de cette donnée précise. Une relance de facture a besoin d'un montant et d'une échéance, pas de l'historique complet du client. Un tri de demandes entrantes a besoin d'un motif, pas de tout ce qui traîne dans votre fichier client. C'est ce que le RGPD appelle la minimisation : ne traiter que ce qui est nécessaire à l'objectif fixé.

C'est le point qui coûte le moins cher — une conversation avant de commencer à construire — et qu'on saute presque systématiquement. Le réflexe naturel, en automatisant un process existant, c'est de reprendre tous les champs du fichier en place, parce que ça ne coûte rien de les garder. C'est l'inverse qui est vrai : chaque champ en trop est une donnée de plus à protéger et à justifier le jour où quelqu'un demande pourquoi elle est là.

Combien de temps garder ces données

La deuxième décision suit la première : combien de temps ces données resteront dans votre système, et qui déclenche leur suppression. Le RGPD impose de fixer cette durée à l'avance, pas de la découvrir quand la base déborde.

Selon la doctrine de la CNIL sur la gestion commerciale, un repère existe pour des données clients : les conserver pendant la relation commerciale, puis trois ans de plus après sa fin, sauf motif particulier de les garder davantage. Ce n'est pas un chiffre gravé dans le texte de loi lui-même — une entreprise peut s'en écarter — mais c'est la référence que la CNIL applique en pratique, à charge de justifier un autre délai en cas de contrôle.

Concrètement, l'outil que vous faites construire doit intégrer, dès la conception, une règle de purge ou d'archivage. Pas une case à cocher qu'on ajoutera plus tard, qui en pratique n'arrive jamais.

Que dire à vos clients sur leurs données

Troisième décision : dire aux personnes concernées ce que vous faites de leurs informations. Un client dont les données alimentent un process automatisé a le droit de savoir que ce traitement existe, à quoi il sert, et comment consulter, corriger ou supprimer ses données.

Cela ne demande pas un document de vingt pages ni un service juridique dédié. Une mention claire dans vos conditions générales, quelques lignes dans le mail de bienvenue ou sur le formulaire de contact, suffisent dans la plupart des cas de PME. Ce qui compte, c'est que l'information existe avant qu'un client la demande — pas qu'elle s'improvise le jour où quelqu'un pose la question.

Comment encadrer le prestataire qui automatise

Quatrième décision, souvent oubliée : quand une entreprise externe traite vos données clients pour votre compte — hébergement, automatisation, outil d'IA — elle devient, au sens du RGPD, votre sous-traitant. Un contrat écrit est obligatoire, pas une option de confort.

Ce contrat doit, à minima, couvrir plusieurs points :

• ce que le prestataire a le droit de faire de vos données, et pour quel usage ;
• la durée du traitement, et ses engagements de sécurité et de confidentialité ;
• la possibilité, ou non, pour le prestataire de faire appel à d'autres sous-traitants ;
• ce qui arrive à vos données à la fin du contrat, suppression ou restitution.

La CNIL met à disposition un modèle de clauses type, utilisable si votre contrat ne couvre pas déjà ces points.

C'est exactement ce type de cadrage qu'on retrouve dans un cabinet de courtage où les données de contrats sont désormais extraites automatiquement : des informations qui touchent à l'identité et à la situation des clients, et dont le contrat avec le prestataire technique doit prévoir l'usage dès le départ, plutôt que d'être rédigé après coup. C'est précisément le travail mené en amont de chaque solution sur mesure construite par Blyx, et la liste des points à vérifier avant de choisir ce type de prestataire est détaillée dans notre article sur la sécurité des données face à l'IA en entreprise.

Quand une analyse d'impact est nécessaire

Cinquième décision : savoir si votre projet exige une analyse d'impact relative à la protection des données avant sa mise en service. Ce n'est pas systématique — la plupart des automatisations de PME n'en ont pas besoin — mais trois situations la déclenchent : un traitement qui note ou évalue systématiquement des personnes de façon automatisée et sert de base à des décisions qui les affectent nettement, un traitement à grande échelle portant sur des données sensibles, ou une surveillance systématique à grande échelle d'un lieu public.

La CNIL publie une liste officielle des traitements concernés, à consulter au cas par cas. Pour un process de relance, de devis ou de tri classique, l'analyse d'impact n'est en général pas requise. Mais dès qu'un outil se met à noter, classer ou prioriser des clients sur des critères qui pèsent sur eux, la question mérite d'être posée avant, pas après le lancement.

Peut-on laisser l'IA décider seule d'un dossier client

Sixième décision, la plus structurante pour un outil qui automatise un process client : une décision qui a un effet important sur une personne — refuser un dossier, résilier un contrat, écarter une demande — ne peut pas, en principe, être prise uniquement par une machine, sans intervention humaine.

Le RGPD prévoit seulement trois exceptions :

• la personne a donné un accord explicite ;
• la décision automatisée est nécessaire à l'exécution d'un contrat avec elle ;
• un texte de loi l'autorise spécifiquement.

Même dans ces cas, elle garde le droit de demander qu'un humain réexamine sa situation, d'exprimer son point de vue, et de contester la décision.

En pratique, cela ne bloque presque rien de ce qu'une PME automatise habituellement. Un outil qui trie des demandes, priorise des relances ou prépare un devis peut tourner seul, tant qu'une personne reste en mesure de revoir ou refuser ce que la machine propose. C'est la différence entre une IA qui prépare une décision et une IA qui la prend seule — un risque voisin de celui des hallucinations de l'IA, détaillé dans notre article sur les hallucinations de l'IA et la responsabilité de l'entreprise.

Que vérifier si l'outil d'IA est américain

Septième décision : où vont les données quand l'outil d'IA ou d'automatisation que vous utilisez est américain. La réponse n'est ni « c'est interdit » ni « c'est réglé pour toujours » — c'est justement ce qu'il faut comprendre pour ne pas se tromper.

Un outil américain reste utilisable sans clause contractuelle supplémentaire si son éditeur adhère à la décision d'adéquation prise par la Commission européenne pour les transferts de données vers les États-Unis, la Commission jugeant ce cadre suffisamment protecteur. Mais ce cadre a déjà été attaqué devant la justice européenne : un premier recours a été rejeté, l'affaire a été portée en appel devant la plus haute juridiction européenne, et elle n'est pas encore tranchée à l'heure où cet article est écrit.

Concrètement, pour une PME qui automatise un process avec un outil américain, cela veut dire deux choses : vérifier que le fournisseur adhère réellement à ce cadre plutôt que le supposer, et ne pas construire son projet sur l'hypothèse qu'elle restera identique. Ce sujet rejoint la question plus large de l'endroit où vivent vos données une fois envoyées à un outil d'IA, détaillée dans notre article sur l'IA souveraine en entreprise.

Ces sept décisions se résument dans le tableau suivant, avec ce qui se joue concrètement quand l'une d'elles est sautée.

Quelles idées reçues coûtent cher aux PME

Deux idées reçues reviennent sans cesse chez les dirigeants de PME, et les deux coûtent cher si elles restent sans réponse.

La première : « je suis en dessous de 250 salariés, donc je n'ai pas besoin de registre des traitements ». Faux dans la quasi-totalité des cas réels. L'exemption ne s'applique qu'à des traitements occasionnels, sans risque et sans données sensibles — une exception étroite. Dès qu'il y a une gestion habituelle de clients, de prospects ou de paie, le registre reste attendu. Automatiser un process de relance ou de suivi client n'a, par définition, rien d'occasionnel.

La seconde : « je dois désigner un délégué à la protection des données dès que je traite des informations sur mes clients ». Faux également. Le DPO n'est obligatoire que dans trois cas précis : une autorité ou un organisme public, un suivi systématique à grande échelle des personnes, ou un traitement à grande échelle de données sensibles. La plupart des PME classiques n'entrent dans aucun de ces cas, même si la CNIL le recommande souvent comme bonne pratique. Le plafond de sanction en cas de manquement grave peut, en théorie, atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial — un montant réservé aux manquements les plus graves, la CNIL ajustant ses sanctions selon la gravité et la bonne foi de l'entreprise.

Face à ces deux angles morts, un audit IA permet de vérifier ce qui s'applique réellement à votre entreprise, avant de construire quoi que ce soit.

Ce qu'il faut retenir

• Cadrer un process qui touche des données clients avant de le construire coûte une conversation ; le rattraper après coûte une refonte.
• Minimisation, durée de conservation et information des personnes sont les trois décisions les moins chères et les plus souvent oubliées.
• Un contrat avec le prestataire technique et une vigilance sur la décision automatisée protègent l'entreprise autant que les personnes concernées.
• Registre des traitements et DPO : deux idées reçues qui ne dispensent presque jamais une PME de ses obligations, contrairement à ce qu'on croit.

Bon à savoir

Questions fréquentes

Une PME de moins de 250 salariés est-elle dispensée du registre des traitements ?+

Non, dans la quasi-totalité des cas réels. L'exemption ne concerne que les traitements occasionnels, sans risque et sans données sensibles. Dès qu'il y a une gestion habituelle de clients, de prospects ou de paie, le registre reste attendu, quelle que soit la taille de l'entreprise.

Faut-il désigner un délégué à la protection des données pour automatiser un process client ?+

Non, dans la plupart des cas. Le DPO n'est obligatoire que pour une autorité publique, un suivi systématique à grande échelle des personnes, ou un traitement à grande échelle de données sensibles. La majorité des PME classiques n'entrent dans aucun de ces trois cas.

Que doit contenir le contrat avec le prestataire qui automatise un process de données clients ?+

Au minimum, ce qu'il a le droit de faire de vos données, la durée du traitement, ses engagements de sécurité et de confidentialité, le sort des sous-traitants qu'il emploierait, et ce qui arrive aux données à la fin du contrat, suppression ou restitution.

Peut-on laisser une IA décider seule d'un sujet qui touche un client ?+

Pas quand l'effet est important pour la personne, comme refuser un dossier. Le RGPD impose alors un regard humain, sauf accord explicite de la personne, nécessité contractuelle, ou autorisation légale précise. Même alors, elle garde le droit de demander qu'un humain réexamine sa situation.

Un outil d'IA américain peut-il traiter légalement des données de mes clients ?+

Oui, en général, si l'éditeur adhère à la décision d'adéquation entre l'Union européenne et les États-Unis. Ce cadre reste en vigueur mais fait l'objet d'un recours toujours en cours devant la justice européenne : vérifiez l'adhésion réelle du fournisseur plutôt que de la supposer.

Quand une analyse d'impact est-elle obligatoire avant d'automatiser un process ?+

Quand le traitement note ou évalue systématiquement des personnes pour des décisions qui les affectent nettement, porte à grande échelle sur des données sensibles, ou surveille systématiquement un lieu public à grande échelle. La plupart des automatisations classiques de PME n'entrent pas dans ces cas.