Le consultant est-il toujours sous-traitant de son client ?

Non. Il l'est quand il traite des données personnelles pour le compte, sur instruction et sous l'autorité du client. S'il décide lui-même des finalités et des moyens d'un traitement, il est responsable de ce traitement. La qualification se fait au cas par cas.

Peut-on mettre un document confidentiel dans un assistant interne ?

Seulement avec l'accord écrit du client, si les personnes qui interrogent l'assistant ont le droit d'en connaître le contenu, et si l'outil offre des garanties suffisantes. Dans le doute, laissez-le dehors.

Que faire des documents à la fin de la mission ?

Les restituer ou les supprimer selon ce que prévoit le contrat, y compris dans les outils où vous les avez chargés. Écrivez ce point avant de commencer.

Consultant : utiliser l'IA avec les documents d'un client

Avant de confier les documents d'un client à un outil d'IA, qu'il s'agisse d'un outil que vous utilisez pour vos analyses ou d'un assistant que vous mettez en place pour lui, trois choses doivent être réglées : l'accord écrit du client, le tri des données personnelles et votre rôle au regard du RGPD, le règlement général sur la protection des données. Sans ces trois points, vous prenez un risque pour votre client et pour vous. Cette page donne des informations générales. Pour un cas précis, consultez un avocat ou le délégué à la protection des données de votre client.

Deux situations différentes

	Vous utilisez l'IA pour votre travail	Vous livrez un assistant au client
Qui consulte les documents	Vous, à travers l'outil	Les équipes du client
Combien de temps	La durée de l'analyse	La durée de vie de l'assistant
Ce qu'il faut vérifier	Les conditions de l'outil, l'accord du client	En plus : qui a le droit de voir quoi, la mise à jour, la fin

Dans les deux cas, l'accord du client doit être écrit, et précis sur les documents concernés.

Point 1 : l'accord écrit du client

Votre lettre de mission ou un avenant doit dire :

quels documents vous pouvez traiter avec un outil d'IA ;
quel outil, ou quel type d'outil, et où sont traitées les données ;
ce qui est exclu (documents confidentiels, données sensibles) ;
ce que deviennent les documents à la fin de la mission.

Vérifiez aussi qu'aucun engagement de confidentialité déjà signé avec ce client ne l'interdit.

Point 2 : trier avant de charger

Les documents d'entreprise contiennent souvent plus de données personnelles qu'on ne le pense : noms dans les procédures, coordonnées, comptes rendus d'entretien, tableaux de suivi individuels. La CNIL, dans sa page sur l'IA et le RGPD du 05/04/2022, recommande de n'utiliser que les données nécessaires, de tester avec des données fictives et de recourir à la pseudonymisation (remplacer les noms par des codes) quand c'est possible. Concrètement :

Classez les documents : public, interne, confidentiel, contenant des données personnelles.
Écartez ce qui n'est pas utile aux questions visées.
Pour ce qui reste, retirez ou remplacez les noms qui n'apportent rien à la réponse : « le responsable logistique » plutôt qu'un prénom.
Faites vos premiers essais sur des documents sans données réelles.

Le diagnostic documentaire est le bon moment pour faire ce tri.

Point 3 : votre rôle au regard du RGPD

Le guide du sous-traitant de la CNIL (édition de septembre 2017) donne la définition : « Vous êtes un sous-traitant si vous traitez des données personnelles pour le compte, sur instruction et sous l'autorité d'un responsable de traitement ». Le responsable de traitement est celui « qui détermine les finalités et les moyens d'un traitement ». Le guide précise qu'une très grande variété de prestataires de services ont la qualité de sous-traitant.

Pour qualifier une situation, le guide renvoie à un faisceau d'indices : le niveau d'instruction donné par le client, son degré de contrôle sur la prestation, l'expertise apportée par le prestataire et la transparence sur le recours à ce prestataire. Un consultant qui décide lui-même pourquoi et comment des données sont traitées n'est plus sous-traitant : il devient responsable de ce traitement.

Si vous êtes sous-traitant, le guide liste notamment ces obligations :

établir avec le client un contrat qui reprend les dispositions de l'article 28 du règlement et définit l'objet et la durée de la prestation, la nature et la finalité du traitement, le type de données, les catégories de personnes concernées et les obligations de chacun ;
recenser par écrit les instructions du client, pour prouver que vous agissez sur instruction documentée ;
tenir un registre des traitements effectués pour le compte de vos clients ;
soumettre à une obligation de confidentialité les personnes qui traitent ces données ;
notifier au client toute violation de ses données.

Point 4 : l'outil lui-même

Que ce soit pour votre usage ou pour l'assistant du client, lisez les conditions de l'outil avant de charger quoi que ce soit :

où les données sont hébergées et traitées ;
si les documents et les conversations peuvent servir à entraîner des modèles, et comment l'empêcher ;
qui, chez le fournisseur, peut y accéder ;
comment supprimer les données à la fin.

Si vous êtes sous-traitant de votre client et que l'outil traite ses données personnelles pour votre compte, son fournisseur devient un sous-traitant ultérieur. Le guide de la CNIL est net sur ce point : vous ne pouvez y recourir « qu'après avoir obtenu l'autorisation écrite de votre client », il doit respecter les mêmes obligations que vous, et s'il y manque, vous êtes « pleinement responsable » vis-à-vis de votre client. Demandez donc au fournisseur ses engagements par écrit, et faites autoriser l'outil par le client.

Le même guide rappelle qu'au terme de la prestation, selon les instructions du client, le sous-traitant doit supprimer toutes les données ou les renvoyer, et détruire les copies existantes, sauf obligation légale de les conserver.

Point 5 : qui peut voir quoi dans l'assistant

Un assistant interne répond à tous ceux qui y ont accès. Un document chargé dans sa base devient, de fait, consultable par eux. Avant de charger un document, posez la question : toutes les personnes qui interrogeront l'assistant ont-elles le droit d'en connaître le contenu ? Si non, il faut un assistant distinct, un accès restreint, ou laisser le document dehors.

Point 6 : informer les personnes

La CNIL rappelle que l'information des personnes doit être concise, transparente, compréhensible et accessible. Les salariés qui utilisent l'assistant doivent savoir ce qui est enregistré et à quoi cela sert. Si vous analysez les questions posées pour un suivi, dites-le.

La liste à cocher avant de commencer

Accord écrit du client, avec la liste des documents
Engagements de confidentialité existants relus
Documents classés et triés
Données personnelles inutiles retirées
Rôle (sous-traitant ou non) qualifié, clauses prévues au contrat
Conditions de l'outil lues : hébergement, entraînement, suppression
Droits d'accès à l'assistant définis
Information des utilisateurs prévue
Sort des documents en fin de mission écrit

Pour la rédaction de ces points dans votre contrat, voir la lettre de mission de consultant.