Bases de connaissances IA et confidentialité : 7 questions que tout prestataire de services devrait se poser avant d’enregistrer les conversations avec ses clients

Pourquoi cet article

Une base de connaissances IA qui enregistre, transcrit et rend les conversations avec les clients consultables représente un gain de productivité majeur pour les prestataires de services. Nous avons déjà écrit sur la façon dont les bases de connaissances IA par projet deviennent enfin intelligentes à partir de votre entreprise — mais dès que vous commencez à capturer de la voix, de la vidéo ou du chat, la discussion passe de « outil utile » à « évaluation juridique ».

Cet article est une checklist de sept questions auxquelles vous devez pouvoir répondre avant de déployer un outil comme Symphoria (partenaire de Wux Webtools, et la plateforme que nous utilisons nous-mêmes) ou une alternative. Ces questions s’appuient sur le RGPD, l’EU AI Act, les lignes directrices de l’EDPB et la pratique quotidienne des prestataires de services néerlandais qui veulent rester conformes sans que la conformité ne bloque le travail.

Le contexte : vous êtes un prestataire de services — conseil, développement, agence marketing, expert-comptable — et vous aidez des clients sur des projets qui durent des mois et génèrent des dizaines de conversations. Vous voulez qu’une IA résume ces conversations, en extraie les actions à mener et réponde à des questions comme « qu’a dit le client la semaine dernière au sujet du budget ? ». C’est possible. Mais pas sans ces sept réponses.

1. Qui donne son consentement à l’enregistrement — et comment l’enregistrez-vous ?

Le RGPD exige une base juridique pour chaque traitement de données personnelles (art. 6). Pour les enregistrements de conversations, vous avez généralement besoin du consentement (art. 6(1)(a)) ou d’un intérêt légitime (art. 6(1)(f)). Le consentement doit être préalable, spécifique, éclairé et librement donné (art. 7). Cela signifie : pas de cases précochées, pas de clauses cachées dans les conditions générales, et certainement pas de « nous enregistrons sauf si vous vous y opposez ».

Ce que vous devez rechercher : Un moment clair d’opt-in avant l’enregistrement de la première conversation. Il peut s’agir d’une case à cocher lors de l’onboarding du projet (« J’accepte l’enregistrement des réunions à des fins de documentation du projet et d’assistance IA »), d’une confirmation verbale au début d’un appel (« Cet appel est enregistré pour notre base de connaissances interne — êtes-vous d’accord ? »), ou d’un e-mail de consentement séparé. Le consentement doit être journalisé : qui, quand, dans quel but, et avec quelle formulation.

Comment Symphoria résout ce point : Symphoria propose une couche de consentement par projet. Avant le démarrage d’un enregistrement, le système demande explicitement le consentement de tous les participants. Ce consentement est conservé avec un horodatage et une adresse IP, et peut être retiré par projet. Cela facilite le respect de l’art. 7(3) du RGPD (« il doit être aussi facile de retirer que de donner son consentement »).

2. Où les données sont-elles physiquement stockées, et quelle loi s’applique ?

En principe, le RGPD interdit les transferts de données personnelles vers des pays situés en dehors de l’EEE sans garanties appropriées (art. 44-50). Depuis l’arrêt Schrems II (2020), les clauses contractuelles types (SCC) ne suffisent plus si le destinataire est soumis à une législation de surveillance comme FISA 702 aux États-Unis. L’EU AI Act (2024) ajoute une couche supplémentaire : les systèmes d’IA à haut risque doivent respecter des exigences de transparence et d’audit difficiles à faire appliquer si les données sont stockées hors de l’UE.

Ce que vous devez rechercher : Une déclaration claire sur l’endroit où les données sont physiquement stockées (quel centre de données, quel pays), les sous-traitants qui y ont accès, et si ces parties sont soumises à des législations de surveillance non européennes. Idéalement : un stockage au sein de l’UE, avec un fournisseur qui n’a pas de société mère américaine ou qui propose explicitement un mode « EU-only ».

Comment Symphoria résout ce point : Symphoria fonctionne entièrement sur une infrastructure européenne (AWS eu-west-1, Francfort) et n’utilise pas de sous-traitants américains pour stocker ou traiter les transcriptions. Cela facilite la conformité avec Schrems II sans analyses d’impact complexes.

3. Quel modèle traite les transcriptions, et sont-elles utilisées pour l’entraînement ?

La plupart des bases de connaissances IA utilisent un LLM externe (OpenAI, Anthropic, Google) pour traiter les transcriptions. Cela soulève deux questions : (1) les transcriptions sont-elles utilisées pour entraîner le modèle ? et (2) qui a accès aux prompts et aux réponses ? Les conditions d’utilisation de l’API d’OpenAI indiquent depuis mars 2023 que les données envoyées via l’API ne sont pas utilisées pour l’entraînement — sauf si vous y consentez explicitement via un programme distinct. Mais cette garantie ne s’applique pas à tous les fournisseurs, et certainement pas aux accès gratuits ou de « recherche ».

Ce que vous devez rechercher : Une déclaration explicite indiquant que les transcriptions ne sont pas utilisées pour l’entraînement des modèles, et qu’après traitement elles ne sont plus accessibles au fournisseur du LLM. Cela doit figurer dans l’accord de traitement des données, pas seulement dans une FAQ. Bonus : la plateforme utilise un modèle que vous pouvez héberger vous-même (p. ex. Llama, Mistral) ou un fournisseur européen avec une clause stricte de non-entraînement.

Comment Symphoria résout ce point : Symphoria utilise l’API d’OpenAI avec un Business Associate Agreement (BAA) et une clause de non-entraînement. Les transcriptions sont traitées via l’API, mais ne sont pas stockées par OpenAI et ne sont pas intégrées aux futures versions des modèles. Cela est explicitement indiqué dans la liste des sous-traitants.

4. Combien de temps conservez-vous les enregistrements et les embeddings, et qui peut les supprimer ?

Le RGPD exige que les données personnelles ne soient pas conservées plus longtemps que nécessaire au regard de la finalité pour laquelle elles ont été collectées (art. 5(1)(e) : limitation de la conservation). Pour une base de connaissances IA, cela signifie que vous devez pouvoir expliquer pourquoi un enregistrement datant de six mois est encore pertinent, et disposer d’un processus pour supprimer les anciennes données. Cela s’applique aussi aux données dérivées : les embeddings (représentations vectorielles du texte) sont des données personnelles s’ils peuvent être rattachés à une personne.

Ce que vous devez rechercher : Une période de conservation configurable par projet (p. ex. « supprimer automatiquement les enregistrements après 12 mois »), un bouton permettant à un chef de projet de supprimer manuellement un enregistrement, et une garantie que la suppression concerne aussi les embeddings et les index — pas seulement le fichier audio. Idéalement : un journal d’audit indiquant quand un élément a été supprimé et par qui.

Comment Symphoria résout ce point : Symphoria propose une « politique de conservation » par projet. Vous pouvez configurer la suppression automatique des enregistrements après X mois, y compris les transcriptions et les embeddings. La suppression manuelle est possible via l’interface du projet, et chaque suppression est enregistrée dans la piste d’audit.

5. Quels journaux d’audit sont disponibles — un client pourra-t-il voir plus tard ce qui est arrivé à « sa » conversation ?

La transparence est un principe central du RGPD (art. 5(1)(a)). Cela signifie que vous devez pouvoir expliquer ce que vous avez fait des données d’une personne — même après coup. Pour une base de connaissances IA, cela signifie que vous devez pouvoir montrer quels enregistrements ont été réalisés, qui les a consultés, quelles requêtes ont été lancées, et si des données ont été exportées ou supprimées. Sans journaux d’audit, vous ne pouvez pas répondre à ces questions, et vous risquez des amendes en cas de violation de données ou de plainte.

Ce que vous devez rechercher : Un journal d’audit par projet qui suit au minimum : (1) qui a démarré un enregistrement, (2) qui a consulté une transcription, (3) quelles requêtes ont été exécutées sur la base de connaissances, (4) si des données ont été exportées, et (5) si des données ont été supprimées. Ce journal doit être consultable et conservé pendant au moins 12 mois (plus longtemps si vous travaillez dans un secteur réglementé).

Comment Symphoria résout ce point : Symphoria journalise toutes les actions au niveau du projet : enregistrements, consultations, requêtes, exports et suppressions. Ces journaux sont accessibles au propriétaire du projet et peuvent être exportés au format CSV. Cela facilite la réponse à une demande d’accès (art. 15 du RGPD) ou l’enquête sur un incident.

6. Quelle est la stratégie de sortie ? (Pouvez-vous exporter votre base de connaissances dans un format ouvert ?)

Le verrouillage fournisseur est un risque avec tout outil SaaS, mais avec une base de connaissances IA, il est particulièrement douloureux : vous avez collecté des mois de conversations, de transcriptions et de métadonnées, et si vous ne pouvez pas les exporter, vous perdez cette connaissance. Le RGPD vous donne un droit à la portabilité des données (art. 20), mais celui-ci ne s’applique qu’aux données que vous avez fournies vous-même — pas aux données dérivées comme les embeddings ou les résumés. Il reste toutefois prudent d’exiger de pouvoir exporter tout, dans un format importable chez un autre fournisseur.

Ce que vous devez rechercher : Un bouton d’export qui vous fournit au minimum : (1) tous les fichiers audio ou vidéo, (2) toutes les transcriptions en texte brut ou en JSON, (3) toutes les métadonnées (horodatages, participants, tags), et (4) idéalement aussi les embeddings dans un format ouvert comme Parquet ou JSONL. Bonus : l’export est automatisé et peut être planifié (p. ex. sauvegarde hebdomadaire vers votre propre bucket S3).

7. Qui est le sous-traitant, qui est le responsable du traitement, et cela est-il documenté dans un accord de traitement des données ?

Le RGPD distingue le responsable du traitement (la partie qui détermine pourquoi et comment les données personnelles sont traitées) du sous-traitant (la partie qui traite les données pour le compte du responsable du traitement). En tant que prestataire de services, vous êtes généralement le responsable du traitement, et la base de connaissances IA est le sous-traitant. Cela signifie que vous avez besoin d’un accord de traitement des données (art. 28 du RGPD) qui précise exactement ce que le sous-traitant peut faire, pendant combien de temps, avec quels sous-traitants ultérieurs, et ce qui se passe en cas de violation de données.

Ce que vous devez rechercher : Un Data Processing Agreement (DPA) conforme à l’art. 28(3) du RGPD. Il doit inclure au minimum : (1) l’objet et la durée du traitement, (2) la nature et la finalité du traitement, (3) le type de données personnelles et les catégories de personnes concernées, (4) les droits et obligations du responsable du traitement, (5) une liste des sous-traitants, et (6) une procédure en cas de violation de données. Cet accord doit être signé avant que vous ne commenciez à enregistrer.

Comment Symphoria résout ce point : Symphoria propose un DPA standard conforme à l’art. 28 du RGPD. Vous pouvez le signer via l’interface de la plateforme, et il est automatiquement mis à jour lorsqu’un nouveau sous-traitant est ajouté. Cela facilite le maintien de la conformité sans impliquer une équipe juridique à chaque fois.

TL;DR checklist

• Consentement : Enregistrez un consentement préalable et spécifique — avec un horodatage et une option de retrait.
• Stockage : Vérifiez si les données sont stockées au sein de l’UE et ne sont pas soumises à des législations de surveillance non européennes.
• Entraînement : Exigez une garantie explicite que les transcriptions ne sont pas utilisées pour l’entraînement des modèles.
• Conservation : Définissez une période de conservation et assurez-vous que la suppression concerne aussi les embeddings.
• Audit : Exigez des journaux indiquant qui a consulté, interrogé et supprimé quoi.
• Export : Vérifiez si vous pouvez exporter toutes les données dans un format ouvert.
• DPA : Signez un accord de traitement des données avant de commencer à enregistrer.

Ce que cela signifie pour votre organisation

Si vous pouvez répondre à ces sept questions, vous êtes déjà sur la bonne voie. Mais attention : la conformité n’est pas une checklist ponctuelle. Le RGPD exige que vous vérifiiez régulièrement que vous respectez toujours les exigences (art. 24 : « mesures techniques et organisationnelles appropriées »), et l’EU AI Act ajoute une couche supplémentaire pour les systèmes à haut risque. Cela signifie : audits périodiques, DPIA pour les nouveaux cas d’usage, et processus de réponse aux demandes d’accès et aux violations de données.

Vous voulez voir comment cela fonctionne en pratique ? Lisez une semaine avec une base de connaissances IA : comment elle transforme le travail d’un chef de projet chez un prestataire de services — un cas narratif dans lequel nous montrons précisément comment ces questions apparaissent dans la pratique quotidienne.

La leçon essentielle : une base de connaissances IA ne devient un gain de productivité que si vous conservez la confiance de vos clients. Et cette confiance se gagne en posant — et en sachant répondre à — ces questions avant d’appuyer sur « enregistrer ».