Automatiser un processus en respectant le RGPD
· par Panayot Dimkov
Presque tout processus administratif que vous automatisez touche à des données personnelles. Une facture porte le nom d'un contact ; une intégration de salarié porte la moitié de la vie d'une personne ; un flux qui trie les courriels lit ce qu'écrivent des clients identifiables. Dès qu'un robot ou un modèle d'IA passe par là, il y a traitement de données personnelles et le RGPD s'applique.
Cet article parcourt les points où une automatisation dérape, ce qu'il faut exiger de l'éditeur et ce qu'il faut vérifier avant de mettre un flux en production. Si c'est le coût qui vous intéresse, nous le traitons dans combien coûte l'automatisation d'un processus avec l'IA.
1Les cinq erreurs RGPD qui reviennent quand on automatise
Elles ne sont pas théoriques. Ce sont celles qui apparaissent encore et encore lorsqu'on relit un flux déjà monté.
2Ce qu'il faut mettre à jour quand on automatise
Trois documents que presque personne ne touche en montant un flux cessent de refléter la réalité dès sa mise en service.
| Document | Ce qui change avec l'automatisation |
|---|---|
| Registre des activités de traitement | De nouveaux destinataires apparaissent (les outils), parfois de nouveaux transferts internationaux et, souvent, des durées de conservation différentes |
| Information des personnes concernées | S'il y a des décisions automatisées relevant de l'article 22, y compris du profilage, il faut les signaler, avec la logique appliquée et les conséquences prévues |
| Analyse d'impact | Elle peut devenir obligatoire. L'autorité espagnole (AEPD) l'estime nécessaire dans la plupart des cas qui réunissent au moins deux critères de sa liste, dont le profilage, les décisions automatisées, les données à grande échelle, le croisement de bases aux finalités différentes ou l'usage innovant de technologies |
L'analyse d'impact effraie plus qu'elle ne le devrait. Ce n'est pas une formalité auprès de l'autorité : c'est une analyse interne, qui tient en quelques pages sur un petit projet. Il ne faut consulter l'autorité de contrôle que si le risque reste élevé une fois les mesures appliquées. Ce qui tourne mal, c'est de ne pas l'avoir envisagée au bon moment.
3Règlement sur l'IA : ce qui s'applique déjà et ce qui ne s'applique pas encore
Le règlement européen sur l'intelligence artificielle s'ajoute désormais au RGPD, et il ne faut pas les confondre : l'un protège les données personnelles, l'autre encadre les systèmes d'IA selon leur niveau de risque.
4Ce qu'il faut exiger de l'éditeur
Voici les cinq éléments à obtenir par écrit avant de connecter un outil à des données réelles.
- Un contrat de sous-traitance comportant les clauses de l'article 28, et non de simples conditions de service acceptées d'un clic.
- La liste des sous-traitants ultérieurs et un préavis en cas de changement. Presque toutes les plateformes s'appuient sur des tiers ; le problème est de ne pas savoir lesquels.
- Le lieu du traitement et, s'il sort de l'Espace économique européen, ce sur quoi repose le transfert (une décision d'adéquation ou des clauses contractuelles types, par exemple).
- Un engagement de ne pas entraîner sur vos données, si vous utilisez un service d'IA. Beaucoup de fournisseurs le proposent, parfois par défaut dans leurs offres entreprise, parfois comme option à activer ; dans tous les cas, faites-le consigner par écrit.
- Les durées de conservation et de suppression, y compris pour les journaux d'exécution du flux, qui contiennent souvent des données et y restent indéfiniment.
5Comment concevoir un flux conforme au RGPD
La protection des données dès la conception n'est pas une formule de manuel : ce sont des décisions concrètes prises en montant le flux.
La référence officielle en Espagne est l'Agence espagnole de protection des données, qui publie des guides spécifiques sur l'intelligence artificielle et les analyses d'impact. Cet article est informatif et ne remplace pas un conseil juridique.
Questions fréquentes
Puis-je utiliser un service d'IA avec les données personnelles de mes clients ?
Oui, à condition d'avoir une base légale, un contrat de sous-traitance avec le fournisseur, d'informer les personnes concernées de ce qui doit l'être et de savoir où les données sont traitées. Ce qui est exclu, c'est de coller des informations clients dans un outil public sans contrat et sans savoir ce qu'il en fait.
Faut-il une analyse d'impact pour automatiser un processus ?
Cela dépend du traitement, pas de la technologie. Elle est exigée lorsqu'un risque élevé pour les droits des personnes est probable, ce qui arrive généralement quand plusieurs facteurs se cumulent, comme les traitements à grande échelle, l'évaluation systématique d'aspects personnels ou des technologies nouvelles dans des contextes sensibles. Automatiser l'enregistrement des factures n'en demande généralement pas ; automatiser le tri des candidatures, presque toujours si.
Que dit le RGPD des décisions automatisées ?
L'article 22 encadre les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant significativement une personne, et reconnaît le droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision. Le mot clé est « exclusivement » : si une personne examine avec discernement et peut modifier le résultat, la situation est différente.
Le règlement sur l'IA me concerne-t-il si je n'automatise que des tâches administratives ?
Depuis le 2 août 2026, l'essentiel du règlement s'applique, y compris les obligations de transparence sur l'interaction avec des systèmes d'IA et l'étiquetage de certains contenus générés. Les obligations des systèmes à haut risque de l'annexe III ont été reportées au 2 décembre 2027, et la plupart des automatisations administratives n'entrent pas dans cette catégorie.
Et les données qui restent dans les journaux du flux ?
Ce sont des données personnelles comme les autres et c'est généralement l'angle mort du projet. Les journaux d'exécution conservent souvent le contenu de ce qui a été traité et personne ne leur fixe d'échéance. Définir une durée de conservation et une suppression automatique est l'une des mesures les moins coûteuses et les plus efficaces.
En résumé
Le RGPD n'est pas un obstacle à l'automatisation ; c'est un guide de conception plutôt raisonnable. Ne déplacer que les champs nécessaires, savoir où se fait le traitement, avoir le contrat signé et laisser une personne sur les décisions qui comptent vraiment sont des mesures qui rendent aussi le flux plus propre et plus facile à maintenir.
Ce qui pose problème, c'est de le découvrir à la fin. Poser ces questions à la conception coûte quelques heures ; les résoudre avec le flux en production revient à le refaire. C'est ainsi que nous abordons l'automatisation des processus par l'IA.
Automatiser sans mauvaise surprise juridique ?
Dites-nous quel processus vous avez en tête et avec quelles données il travaille. Nous concevons le flux en tenant compte de la minimisation, du lieu de traitement et de l'intervention humaine dès la première esquisse.
Demander une analyse des processusNexum Blog
Articles associés
9 oct. 2026
Facture électronique obligatoire en Espagne
La facture électronique obligatoire en Espagne a son règlement : dates prévues, différence avec Verifactu et comment s'y préparer en automatisant.
14 août 2026
Modbus vs Profinet vs OPC UA : lequel choisir
Modbus, Profinet et OPC UA comparés : vitesse, déterminisme, sécurité et coût. Découvrez quel protocole utiliser à chaque niveau de l'usine.
8 avr. 2026
La maintenance prédictive dans les installations automatisées : qu'est-ce que c'est et comment la mettre en œuvre ?
Découvrez ce qu'est la maintenance prédictive dans les installations automatisées, comment la mettre en œuvre étape par étape et quelles sont les technologies dont vous avez besoin pour réduire les temps d'arrêt et les coûts.