Aller au contenu principal
Quel logiciel RGPD

Votre éditeur RGPD utilise de l’IA : que lui demander ?

Pour qui : Vous achetez ou utilisez un logiciel RGPD, et une mention d’IA apparaît : assistant, agents, génération de fiches. Vous devez savoir ce que cela change pour vos données avant de l’activer.

Envoyez quatre questions à votre éditeur, et demandez une réponse écrite rattachée au contrat : quels fournisseurs d’IA, où passent les requêtes, quelles données partent, servent-elles à entraîner un modèle ?

Vérifiez ensuite sa liste de sous-traitants et la façon dont il vous prévient d’un changement. N’activez pas la fonction tant que vous n’avez pas ces réponses. Si elle est active par défaut, demandez par écrit comment la désactiver.

Notre avis

Une mention d’IA n’est ni un défaut ni une garantie. Traitez chaque fournisseur d’IA comme un sous-traitant ordinaire : il doit être connu, encadré et surveillé. L’éditeur qui répond clairement mérite d’être préféré, à fonctions égales, sur ce point.

Pourquoi

  • Le logiciel contient vos contrats, vos failles éventuelles et des demandes de personnes : ce que le modèle reçoit compte davantage que le nom du modèle.
  • Des réponses publiques détaillées existent : vous pouvez demander le même niveau de précision à tout éditeur.
  • Hébergement de l’application et chemin de la requête d’IA peuvent différer : un même éditeur lu héberge en Europe et prévoit une route d’IA qui peut impliquer les États-Unis.

Ce qui change le choix

Réutilisation de vos données pour améliorer le produit : la décision vous revient, traitement par traitement. Fournisseur ou serveur que vous connectez vous-même : le contrat de l’éditeur ne le couvre pas forcément.

L’ordre à suivre

  1. Réponses écrites complètes et rattachées au contrat : activez, en commençant par les fiches du registre.
  2. Réponses partielles : gardez l’IA désactivée sur les demandes de droits et les violations, et insistez.
  3. Aucune réponse ou fonction impossible à désactiver : ne l’activez pas, et revoyez le contrat ou l’outil.

Les quatre questions, à copier dans votre message

Ces formulations sont les nôtres. Ajoutez le nom du module concerné.

  1. Quels fournisseurs et quels modèles traitent nos contenus pour cette fonction ? Sont-ils sur votre liste de sous-traitants ? Article 28 : un sous-traitant ne recrute pas un autre sous-traitant sans autorisation écrite. En cas d’autorisation générale, il vous informe des changements et vous pouvez vous y opposer.
  2. Où sont traitées les requêtes, et sur quelle base en cas de transfert hors de l’Union européenne ? Selon la CNIL, en cas de transfert, l’organisme doit encadrer le traitement par le destinataire.
  3. Quelles données partent vers le modèle pour chaque fonction ? Combien de temps sont-elles conservées, et par qui ? Demandez le détail par fonction. Les demandes de droits contiennent des données de personnes.
  4. Nos contenus servent-ils à entraîner ou à améliorer un modèle, le vôtre ou celui d’un tiers ? Selon la CNIL, une réutilisation pour le compte du sous-traitant demande une autorisation écrite, après un test de compatibilité, et une autorisation générale préalable n’est pas légale. Cette page ne vise pas l’IA : l’appliquer à l’entraînement d’un modèle est notre lecture.

À quoi ressemble une réponse précise

Ces extraits montrent des formes de réponse, sans juger aucun des produits ni vérifier leur fonctionnement réel. Nous les avons lus le 5 novembre 2026.

Ce que quatre éditeurs publient sur leur IA
ÉditeurFournisseursLieu annoncéEntraînement annoncéÀ demander
DastraFamilles OpenAI, Mistral et open source via Microsoft Azure ; votre propre fournisseur en optionAzure en FrancePas d’entraînement ni d’amélioration des modèles de baseL’exception de conservation pour détection des abus, votre responsabilité si vous connectez votre fournisseur, et comment exclure l’IA d’un module : sa FAQ indique que l’application n’a pas d’interrupteur pour l’assistant, dont l’accès dépend de l’offre, et que l’analyse automatique des preuves est activée par défaut, désactivable par espace de travail
LegiscopeOpenAI, Anthropic, Google Gemini, choisis par l’éditeur selon la tâcheApplication en Union européenne ; routes d’IA pouvant impliquer les États-Unis ou un traitement mondial, sous clauses typesContenus du client non utilisés pour entraîner ou affinerQuel fournisseur pour quelle fonction, si vous voulez en exclure un
WitikNon trouvés dans ce que nous avons luNon trouvé pour la route d’IA« Aucun stockage ou entraînement », dans un environnement présenté comme isoléLes noms des fournisseurs et le contrat
LetoNon trouvés dans ce que nous avons luNon trouvé pour la route d’IA« Sans jamais entraîner de modèle tiers »Les noms, le lieu, et si ses propres modèles sont aussi visés

Après les réponses : que faire de chaque cas

Sur le fond, nous vous conseillons de commencer par les fiches du registre et de réserver à plus tard les demandes de droits et les violations de données, qui contiennent le plus de données de personnes.

Demandez qui peut déclencher la fonction et comment la désactiver, pour toute l’organisation et par module. Faites-vous confirmer que le réglage survit à une mise à jour.

Demandez la manière dont vous serez prévenu. Le contrat de Legiscope décrit un avis par courriel qui identifie le nouveau sous-traitant, son rôle, les données et les transferts, puis une sortie possible si aucune solution n’est trouvée. Exigez un équivalent, sans en reprendre forcément les termes.

Connecter votre propre fournisseur ou votre propre assistant change la donne. Dastra écrit qu’avec un fournisseur personnalisé, les données relèvent de la politique de ce fournisseur et sortent de ses garanties décrites. Vous devez alors vérifier ce contrat vous-même.

Si l’éditeur demande à réutiliser vos données

La CNIL cite l’amélioration des services ou des produits comme objectif courant de ces réutilisations. Cette autorisation vous appartient. Selon la CNIL, vous devez faire le test de compatibilité pour chaque traitement concerné, refuser s’il n’est pas satisfait, donner votre accord par écrit, et en principe informer les personnes. Un sous-traitant qui réutilise les données de sa propre initiative est considéré comme responsable de ce traitement. Sur un cas réel, ou si l’enjeu porte sur des données sensibles, faites-vous conseiller.

Limites de cette page

Ces descriptions sont celles des éditeurs : aucun flux n’a été observé et aucune clause signée n’a été lue, hors documents publics. Une absence dans nos lectures ne prouve pas que l’information n’existe pas : demandez-la. Ces pages changent sans préavis, relisez-les au moment de signer.

Prochaine action

Envoyez ces quatre questions à votre éditeur et classez sa réponse avec votre contrat. Si la fonction est désactivable, faites confirmer le réglage par écrit. Sans réponse, laissez-la inactive sur les demandes de droits et les violations.

Preuves et sources

Lu le 5 novembre 2026 : l’article 28 du RGPD publié par la CNIL, sa page du 11 janvier 2022 sur la réutilisation par un sous-traitant, ses questions-réponses du 18 juillet 2024 sur l’IA générative, l’avis 22/2024 du CEPD (comité européen de la protection des données) ; le contrat de sous-traitance et le registre de Legiscope, la documentation de Dastra, les pages de Witik et de Leto.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. L’article 28 du RGPD prévoit que le sous-traitant ne recrute pas un autre sous-traitant sans autorisation écrite préalable, spécifique ou générale, et qu’en cas d’autorisation générale il informe le responsable de tout changement, celui-ci pouvant s’y opposer.

    Portée : RGPD, article 28, paragraphe 2, texte publié par la CNIL.

    Réserve : Numéros de paragraphe rétablis d’après l’ordre du texte.

  • Déclaration de l’éditeur. Dans son avis 22/2024, le CEPD considère que le responsable devrait disposer à tout moment de l’identité de tous les sous-traitants et sous-traitants ultérieurs, quel que soit le risque.

    Portée : Avis 22/2024 du CEPD, résumé.

    Réserve : Avis, sans valeur de texte du règlement.

  • Fait lu. La CNIL écrit qu’un sous-traitant ne peut réutiliser des données pour son propre compte que si la réutilisation est compatible avec le traitement initial et que le responsable l’a autorisée par écrit, après un test de compatibilité pour un traitement déterminé, une autorisation préalable et générale n’étant pas légale.

    Portée : Page CNIL du 11 janvier 2022.

    Réserve : Page non consacrée à l’IA : l’application à l’entraînement d’un modèle est notre lecture.

  • Fait lu. Selon la CNIL, le sous-traitant qui réutilise les données de sa propre initiative est qualifié de responsable de ce traitement, et il revient en principe au responsable initial d’informer les personnes de la transmission.

    Portée : Page CNIL du 11 janvier 2022 ; RGPD, article 28, paragraphe 10.

    Réserve : Sanctions et cas particuliers non détaillés ici.

  • Déclaration de l’éditeur. Selon la CNIL, le recours à une infrastructure externe pour un système d’IA générative se sécurise par un contrat de sous-traitance avec l’hébergeur et, le cas échéant, le fournisseur du système, et un transfert hors de l’Union européenne doit être encadré ; avec une API, la maîtrise du système est presque exclusivement entre les mains du fournisseur.

    Portée : Questions-réponses de la CNIL du 18 juillet 2024.

    Réserve : Vise le déployeur de façon générale.

  • Déclaration de l’éditeur. La documentation de Dastra annonce des modèles des familles OpenAI, Mistral et open source hébergés sur Microsoft Azure en France, sans entraînement des modèles de base, avec une conservation temporaire exceptionnelle pour la détection des abus ; sa FAQ indique que l’application ne propose pas d’interrupteur pour désactiver l’assistant, dont la disponibilité dépend de l’offre et des modules, et que l’analyse automatique des preuves est activée par défaut, désactivable par espace de travail.

    Portée : Documentation lue le 5 novembre 2026.

    Réserve : Flux non observés, contrat non lu.

  • Déclaration de l’éditeur. Dastra écrit qu’avec un fournisseur d’IA personnalisé, les données transmises sont soumises à la politique de confidentialité de ce fournisseur, et non aux garanties Azure décrites sur sa page.

    Portée : Documentation lue le 5 novembre 2026.

    Réserve : Le contrat de ce fournisseur reste à lire par le client.

  • Fait lu. L’annexe IV du contrat de sous-traitance de Legiscope liste OpenAI, Anthropic et Google Gemini comme fournisseurs d’IA, l’éditeur pouvant choisir l’un d’eux selon la tâche ; elle décrit une application hébergée en Union européenne et des routes pouvant impliquer des entités aux États-Unis ou un traitement mondial, sous clauses contractuelles types.

    Portée : Annexe IV du contrat lue le 5 novembre 2026.

    Réserve : Documents de l’éditeur, flux non observés.

  • Fait lu. Les conditions et le contrat de sous-traitance de Legiscope indiquent que les contenus du client ne servent pas à entraîner ou à affiner un modèle, et que l’avis de changement identifie le sous-traitant, sa finalité, les données, les lieux et le mécanisme de transfert, avec une sortie possible si aucune solution n’est trouvée après une objection.

    Portée : Terms section 7 et clause 12 du contrat, lus le 5 novembre 2026.

    Réserve : Citée comme forme de réponse, sans jugement sur le produit.

  • Déclaration de l’éditeur. La FAQ de Witik indique que les données sont envoyées pour analyse puis supprimées et qu’« aucun stockage ou entraînement n’est effectué » ; nous n’avons pas trouvé les noms de ses fournisseurs d’IA dans ce que nous avons lu le 5 novembre 2026.

    Portée : Page produit et politique de protection des données lues.

    Réserve : Absence constatée dans nos lectures seulement. Contrat non public.

  • Déclaration de l’éditeur. Leto écrit que son assistant analyse la conformité « sans jamais entraîner de modèle tiers sur vos données » ; nous n’avons pas trouvé les noms de ses fournisseurs d’IA dans ce que nous avons lu le 5 novembre 2026.

    Portée : Pages d’accueil et API lues.

    Réserve : Absence constatée dans nos lectures seulement.

  • Notre calcul ou déduction. Hébergement de l’application et chemin de la requête d’IA peuvent différer, comme le montre le registre lu de Legiscope.

    Portée : Comparaison, dans les documents d’un même éditeur, de l’hébergement et des routes d’IA.

    Réserve : Un exemple lu, sans généralisation au marché.

  • Notre avis. Commencer par les fiches du registre et garder l’IA inactive sur les demandes de droits et les violations tant que les réponses sont partielles est notre avis, fondé sur la présence de données de personnes dans ces dossiers.

    Portée : Logiciels RGPD avec fonctions d’IA.

    Réserve : Un registre peut aussi contenir des informations sensibles sur la sécurité.

    Daté du 5 novembre 2026.