Registre RGPD : décrire un assistant IA qui lit vos documents
— L'équipe Mnemetic
Comment décrire dans le registre des traitements RGPD un outil d'IA qui a accès à des documents internes de l'entreprise ?
La bonne entrée du registre n'est pas le nom du logiciel
Un dirigeant qui installe un assistant documentaire se demande souvent : « comment j'appelle cette ligne dans mon registre ? ». La question n'est pas le nom de l'outil, elle est la finalité réelle de l'usage. Reglementia le formule ainsi : une même licence peut servir au support client, à la rédaction commerciale et à la recherche interne, et ces trois usages peuvent engager des personnes, des données et des destinataires différents. Les regrouper sous « utilisation de l'assistant X » masque ce qu'il faut réellement documenter.
La phrase qui ouvre une fiche de registre doit donc décrire un service rendu à un destinataire précis : « aider les équipes à retrouver une procédure interne », « préparer une réponse à une demande client ». Une formule comme « améliorer la productivité » ne dit rien de ce qui arrive aux données, et c'est précisément cette information que le registre doit porter. C'est le point de départ qui évite l'erreur la plus fréquente : documenter un logiciel plutôt qu'un traitement.
Cette distinction compte particulièrement pour une PME qui a connecté un outil à ses documents internes. Le même outil peut lire une procédure RH un jour, une fiche produit le lendemain, un contrat signé la semaine suivante. Ce n'est pas l'outil qui définit le traitement, c'est ce qu'on l'a autorisé à lire pour quelle finalité.
Ce que l'article 30 impose, selon votre rôle
Le contenu exigé n'est pas le même si votre entreprise agit comme responsable du traitement ou comme sous-traitant pour un client. Les deux rôles peuvent d'ailleurs coexister dans la même structure, sur des traitements différents.
| Rubrique | Responsable du traitement | Sous-traitant |
|---|---|---|
| Acteurs | Responsable, représentant, DPO le cas échéant | Sous-traitant, chaque client responsable, DPO le cas échéant |
| Périmètre | Finalités, catégories de personnes et de données | Catégories de traitements effectués pour chaque client |
| Destinataires et transferts | Catégories de destinataires et transferts | Transferts concernés, chaîne de sous-traitance |
| Conservation | Délais d'effacement, dans la mesure du possible | Non exigée directement, à rapprocher des instructions du client |
| Sécurité | Description générale des mesures | Description générale des mesures |
Ce tableau reprend les rubriques fixées par l'article 30 du RGPD, telles que les détaille la CNPD pour le registre du responsable et celui du sous-traitant, et telles que Reglementia les distingue pour un usage d'assistant IA. Une PME qui vend elle-même une prestation logicielle tout en gérant ses données RH internes tient les deux registres, séparément : nous l'avions déjà détaillé pour le cas du registre du sous-traitant, qui documente ce qu'on exécute pour un client, pas pourquoi on le fait.
La rubrique destinataires : trois cases, pas une marque commerciale
C'est l'endroit où la plupart des fiches de registre restent vagues, et c'est exactement l'endroit où se joue la conformité d'un usage d'IA documentaire. Écrire « assistant X » dans la case destinataires ne dit rien de ce qui se passe réellement.
| Case | Ce qu'elle décrit |
|---|---|
| Utilisateurs habilités | Les collaborateurs qui ont accès à l'outil et aux documents qu'il lit |
| Opérateur du modèle | L'entité qui héberge ou exploite le modèle utilisé par l'outil |
| Extraits réellement envoyés | Ce qui part effectivement vers le modèle : un extrait de document, pas le fichier entier |
Reglementia insiste sur ce point : une fonction de recherche documentaire peut envoyer des extraits au modèle alors que les fichiers sources restent dans l'infrastructure de l'entreprise. La fiche doit refléter cette différence, et une marque commerciale ne suffit pas à identifier qui reçoit quoi. Demander au fournisseur une réponse qui couvre l'offre souscrite, les fonctions activées et les connecteurs branchés est, selon la même source, la façon de remplir cette case avec des faits plutôt qu'avec une hypothèse.
C'est ici que se concentre l'essentiel du travail : pas dans le choix du logiciel, mais dans la décision, prise en amont, de ce qu'il a le droit de lire et de transmettre. Un connecteur mal cadré peut faire lire à un modèle des documents RH alors que l'usage déclaré ne portait que sur des procédures techniques.
La dérogation des moins de 250 salariés ne couvre presque jamais cet usage
Un dirigeant de PME entend parfois qu'en dessous de 250 salariés, le registre n'est pas obligatoire. La CNPD fixe quatre conditions cumulatives à cette dérogation : moins de 250 employés, traitement sans risque pour les droits et libertés, traitement occasionnel, et absence de données sensibles ou pénales.
Un assistant documentaire utilisé chaque semaine, qui lit des documents comportant des coordonnées de clients ou de collaborateurs, échoue sur la condition la plus simple à vérifier : l'usage n'est pas occasionnel. Dès lors, la dérogation ne s'applique pas. C'est le même constat qui vaut côté sous-traitant : nous l'avions montré pour une PME qui travaille comme prestataire, où traiter des données de façon répétée pour les mêmes clients suffit à écarter la dérogation, sans même examiner le risque ou la nature des données.
Quand réactualiser la fiche
Un registre complété une fois et jamais relu décrit un usage qui n'existe peut-être plus. Reglementia recommande de réexaminer la fiche à chaque changement réel, pas selon une fréquence fixe :
- un nouveau connecteur est branché sur l'outil (un nouveau dossier, une nouvelle messagerie, un nouveau logiciel source) ;
- le modèle utilisé change, ou son mode d'hébergement change ;
- une nouvelle population de collaborateurs obtient l'accès à l'outil ;
- la durée de conservation des conversations ou des extraits est modifiée ;
- une mesure de sécurité annoncée n'est plus celle réellement appliquée.
Tenir cette liste à jour n'est pas un exercice de paperasse supplémentaire : c'est l'occasion, à chaque évolution, de revoir si l'outil a encore de bonnes raisons de lire ce qu'il lit. C'est cette question, posée avant de brancher un nouveau connecteur plutôt qu'après un incident, qui distingue un registre qui protège l'entreprise d'un registre qui se contente d'exister sur un fichier.