Oui, vous pouvez utiliser une IA au service client en respectant le RGPD, à condition de cadrer cinq points : un contrat de sous-traitance avec l'éditeur, une base légale et une information claire des clients, la minimisation des données envoyées aux modèles, la maîtrise des transferts hors de l'Union européenne, et une intervention humaine sur les décisions qui comptent. Depuis le 2 août 2026, le règlement européen sur l'IA ajoute une obligation simple : dire au client qu'il échange avec une IA.
Ce guide détaille chaque point, les questions à poser à un éditeur et la façon dont Klark traite les données personnelles. Il ne constitue pas un avis juridique : faites valider votre projet par votre DPO ou un juriste.
Un ticket e-commerce en contient presque toujours : nom, e-mail, téléphone, adresse de livraison, numéro de commande, parfois un IBAN pour un remboursement ou une photo du produit reçu. Certains messages vont plus loin : un cadeau de naissance, un deuil, un problème de santé évoqué en passant. Une responsable d'une marque de cartes personnalisées le disait en rendez-vous : « on partage des données qui sont très sensibles », avec « des moments de vie qui sont importants ».
L'IA lit ces messages pour proposer ou envoyer une réponse. Elle s'appuie aussi sur votre historique de tickets pour apprendre votre ton et vos réponses. Ces deux usages sont des traitements de données personnelles au sens du RGPD.
En général, votre marque est responsable du traitement : elle décide pourquoi et comment les données de ses clients sont utilisées. L'éditeur de l'IA est sous-traitant : il traite les données pour votre compte. L'article 28 du RGPD impose alors un contrat de sous-traitance (souvent appelé DPA) qui fixe les instructions, la sécurité, la confidentialité et l'accord préalable pour les sous-traitants ultérieurs, comme un fournisseur de modèle de langage.
La question revient souvent en démo, sous cette forme directe : « Vous avez un DPA là-dessus ? » Exigez-le avant tout test sur données réelles, et lisez la liste des sous-traitants ultérieurs.
Répondre à un client qui vous écrit relève en général de l'exécution du contrat ou de votre intérêt légitime à traiter sa demande. Utiliser l'historique de tickets pour améliorer les réponses est un usage distinct, à documenter.
Dans ses recommandations du 19 juin 2025, la CNIL indique que l'intérêt légitime est une base possible pour développer un système d'IA, avec des garanties fortes. Elle cite l'exemple de conversations d'un agent conversationnel réutilisées pour améliorer un modèle : il faut alors informer les personnes, leur permettre de s'opposer et se limiter à des données pseudonymisées ou anonymisées.
Dans tous les cas, mettez à jour votre politique de confidentialité : usage d'une IA, finalités, sous-traitants, durées de conservation.
Oui. L'article 50 du règlement européen sur l'IA (règlement 2024/1689) impose d'informer les personnes qu'elles interagissent avec un système d'IA, sauf si c'est évident. Cette obligation s'applique depuis le 2 août 2026. Le « Digital Omnibus » adopté en 2026 a reporté les échéances des systèmes à haut risque, mais pas cette obligation d'information.
En pratique :
Nous détaillons ce règlement dans notre article sur le RIA et le service client.
C'est le point le plus délicat. L'article 22 du RGPD donne aux personnes le droit de ne pas faire l'objet d'une décision fondée uniquement sur un traitement automatisé, quand elle produit des effets juridiques ou les affecte de manière significative. Un refus de remboursement ou de garantie décidé par une IA, sans humain, peut entrer dans ce cadre.
La règle simple : laissez l'IA informer (politique de retour, statut d'un remboursement, étapes à suivre) et gardez les décisions engageantes chez un agent. Prévoyez toujours un moyen de joindre un humain et de contester.
Les grands modèles de langage sont souvent proposés par des entreprises américaines. Un prospect posait la question franchement : « Anthropic et OpenAI, ils sont américains ? » Un transfert hors de l'UE est possible s'il est encadré : décision d'adéquation, clauses contractuelles types ou autre garantie prévue par le chapitre V du RGPD.
Pour les États-Unis, le Data Privacy Framework sert de décision d'adéquation. Le Tribunal de l'Union européenne l'a validé le 3 septembre 2025 (affaire T-553/23), et un pourvoi est pendant devant la Cour de justice (affaire C-703/25 P). Le cadre s'applique donc, mais il peut évoluer. La meilleure protection reste de ne pas envoyer de données personnelles aux modèles.
L'article 35 du RGPD impose une analyse d'impact quand un traitement présente un risque élevé, notamment avec une nouvelle technologie. Une IA qui lit tous vos tickets peut en relever selon le volume, la nature des données et le degré d'automatisation. Votre DPO tranche. Demandez à l'éditeur la documentation qui vous aidera à la remplir : flux de données, sous-traitants, mesures de sécurité.
| Question | Pourquoi la poser | Réponse attendue |
|---|---|---|
| Avez-vous un contrat de sous-traitance (DPA) ? | Obligatoire (art. 28) | Oui, avec la liste des sous-traitants ultérieurs |
| Où sont hébergées les données ? | Transferts hors UE (chapitre V) | Un lieu précis et des garanties écrites |
| Quelles données envoyez-vous aux modèles ? | Minimisation | Des données pseudonymisées, sans identifiants directs |
| Vos modèles s'entraînent-ils sur nos tickets ? | Finalité et confidentialité | Non, ou seulement avec votre accord écrit |
| Nos données sont-elles séparées de celles des autres clients ? | Confidentialité | Oui, cloisonnement par client |
| Combien de temps gardez-vous les données ? | Limitation de la conservation | Des durées écrites, par type de donnée |
| Quelles décisions l'IA prend-elle seule ? | Décision automatisée (art. 22) | Aucune décision engageante sans humain |
| Quelles certifications de sécurité avez-vous ? | Sécurité (art. 32) | Un audit externe et des rapports disponibles |
Klark traite les données personnelles selon un principe simple : les modèles de langage ne reçoivent jamais d'identifiants directs.
Le détail est sur notre page sécurité et RGPD. Pour comprendre comment l'IA apprend de vos tickets, lisez notre article sur la base de connaissances construite à partir des tickets.
Pour aller plus loin sur le cadrage d'un projet, voir aussi les questions à se poser avant de se lancer.
Oui, si le traitement est encadré : contrat de sous-traitance, base légale, information des clients, minimisation des données, transferts maîtrisés et intervention humaine sur les décisions importantes.
Pas forcément. Répondre à une demande relève souvent du contrat ou de l'intérêt légitime. Réutiliser les conversations pour améliorer un modèle demande des garanties supplémentaires, selon la CNIL : information, droit d'opposition, données pseudonymisées.
Oui. L'article 50 du règlement européen sur l'IA l'impose depuis le 2 août 2026, sauf si c'est évident.
Oui, avec des garanties de transfert. Le plus sûr est de ne leur envoyer que des données pseudonymisées, sans nom, e-mail ni adresse.
Mieux vaut l'éviter. Une décision défavorable prise uniquement par une machine peut relever de l'article 22 du RGPD. Laissez l'IA informer et un agent décider.
La marque, en tant que responsable du traitement. L'éditeur doit lui fournir les informations nécessaires.
Vous voulez voir comment Klark traite vos tickets sans exposer les données de vos clients ? Demandez une démo.
