IA et données clients : ce que le RGPD et l’AI Act demandent à votre bureau

Votre bureau reste responsable du traitement

Votre bureau détermine pourquoi et comment les données de vos clients sont traitées. Au sens du RGPD, vous êtes donc responsable du traitement. Le fournisseur d’un outil d’IA qui traite des entretiens pour vous est votre sous-traitant.

Avec chaque sous-traitant, vous concluez un contrat de sous-traitance écrit (article 28 du RGPD). Il prévoit notamment que le sous-traitant n’agit que sur vos instructions, que son personnel est tenu à la confidentialité, qu’il sécurise les données, qu’il ne fait appel à d’autres sous-traitants qu’avec votre accord, et qu’il supprime ou restitue les données à la fin du contrat.

Les données de santé demandent une attention particulière

Dans un entretien sur une assurance hospitalisation, un revenu garanti ou une assurance solde restant dû, des données de santé apparaissent vite. Le RGPD les range parmi les catégories particulières de données personnelles (article 9), soumises à des conditions plus strictes.

Ne traitez que ce dont le dossier a besoin. Une analyse d’impact relative à la protection des données (AIPD, article 35) est obligatoire quand un traitement est susceptible d’engendrer un risque élevé pour vos clients. Une nouvelle technologie combinée à des données de santé est une raison de le vérifier avant de commencer.

Informer votre client

Votre client a le droit de savoir ce que vous faites de ses données (article 13 du RGPD). Si vous utilisez un outil qui traite l’entretien, dites-le : quel outil, dans quel but, qui voit les données et combien de temps elles sont conservées. Une phrase au début de l’entretien et un paragraphe dans votre déclaration de confidentialité suffisent en général.

Où vont les données

Un transfert de données vers un pays situé hors de l’Espace économique européen n’est permis qu’avec des garanties, comme une décision d’adéquation de la Commission européenne ou des clauses contractuelles types. Demandez donc à votre fournisseur quels sous-traitants il utilise, où ils traitent les données et où elles sont stockées.

Ce que l’AI Act signifie pour un bureau de courtage

Le règlement européen sur l’intelligence artificielle (2024/1689) fixe des règles selon le risque d’une application. La liste des IA à haut risque comprend les systèmes d’évaluation des risques et de tarification en assurance vie et en assurance maladie pour les personnes physiques. Depuis la modification de 2026, les règles applicables à ces systèmes s’appliquent à partir du 2 décembre 2027. Un outil qui transcrit un entretien et le résume pour que le courtier le vérifie ne relève pas, selon notre lecture, de cette catégorie.

Les règles de transparence de l’article 50 s’appliquent depuis le 2 août 2026. Elles visent surtout les fournisseurs, qui doivent par exemple marquer de façon lisible par machine les contenus générés par l’IA, et les agents conversationnels qui dialoguent avec des personnes. Les notes de dossier internes de votre bureau ne relèvent pas de la règle sur les textes générés par l’IA publiés pour informer le public sur des questions d’intérêt public.

Le règlement demande aussi d’agir pour la maîtrise de l’IA. La modification de 2026 a allégé cette obligation, mais il reste sage que chacun dans votre bureau sache ce que fait un outil et où il peut se tromper.

L’essentiel figure dans l’IDD plutôt que dans l’AI Act : vous restez responsable de votre analyse des besoins et de votre conseil. Relisez ce qu’un outil d’IA prépare avant de le verser au dossier.

Huit questions pour tout fournisseur

1. Où nos données sont-elles traitées et stockées, et par quels sous-traitants ?
2. Vous-même ou l’un de vos fournisseurs d’IA utilisez-vous nos données clients pour entraîner des modèles ?
3. Qui chez vous peut voir le contenu de nos entretiens, et dans quels cas ?
4. Le son de l’entretien est-il conservé ?
5. Combien de temps conservez-vous les transcriptions et les synthèses, et pouvons-nous régler cette durée ?
6. Que deviennent nos données si nous arrêtons ?
7. Recevons-nous un contrat de sous-traitance et la liste des sous-traitants ultérieurs avant de commencer ?
8. Comment et dans quel délai nous signalez-vous une fuite de données ?

Les réponses d’Avenro

Notre page Sécurité et données répond à ces questions pour Avenro et indique les documents que vous recevez de notre part avant de commencer.

Autres guides

• L’analyse des besoins : ce qu’elle doit contenir et comment la consignerSon contenu, le bon moment pour la faire, ce que la FSMA refuse et la durée de conservation.
• Ce que contient votre dossier client IDDCe que votre client reçoit avant le contrat, ce que vous conservez et une liste de contrôle par dossier.

Tous les guides