RESSOURCE TECHNIQUE · DECISION FILE
Données, bases légales, validations et traces avant déploiement
Avant de déployer un agent IA, documentez quatre choses : les données traitées, la base légale de chaque traitement, les décisions qui restent humaines, et les traces conservées. La CNIL rappelle que le consentement n'est qu'une des six bases légales et que la base doit être choisie selon le traitement (source : CNIL, page Bases légales).
Réponse courte
Avant de déployer un agent IA, documentez quatre choses : les données traitées, la base légale de chaque traitement, les décisions qui restent humaines, et les traces conservées. La CNIL rappelle que le consentement n'est qu'une des six bases légales et que la base doit être choisie selon le traitement (source : CNIL, page Bases légales).
Cadre RGPD
L'article 6 du RGPD contient les bases de licéité des traitements. Pour les traceurs non strictement nécessaires, la CNIL exige en principe un consentement préalable ; certains traceurs strictement nécessaires peuvent être exemptés (source : CNIL, page Cookies et autres traceurs). Aucune affirmation de conformité n'est faite ici : chaque traitement doit être documenté sur les données réelles.
Bases légales
Traitement | Base proposée | Statut Réponse à une demande de contact ou diagnostic | mesures précontractuelles, article 6(1)(b) | à confirmer selon formulaire et CRM Exécution d'une prestation client | contrat, article 6(1)(b) | à confirmer selon contrat Facturation et conservation comptable | obligation légale, article 6(1)(c) | à confirmer avec durées Sécurité et journaux strictement nécessaires | intérêt légitime, article 6(1)(f) | à documenter Prospection email non demandée | consentement ou régime légal applicable | à valider juridiquement
Supervision humaine
Les décisions sensibles restent humaines : qui valide, qui suspend, comment revenir au manuel. La supervision est définie avant le déploiement, pas après. Un agent ne prend pas de décision réglementaire sans cadre.
Journalisation
Chaque action est tracée : source, règle, sortie, validation. Les journaux sont conservés selon des durées définies et accessibles aux responsables. La journalisation sert à la reprise et à l'audit.
Limites
Ce guide ne constitue pas un avis juridique. Les durées de conservation, les sous-traitants, les transferts hors UE et la politique cookies restent à documenter sur les traitements réels. Le volume local reste NON MESURÉ (collecte du 11 août 2026).
Prochaine action
Cadrer un premier système : décrivez le flux et les données concernées, nous intégrons la documentation des traitements au cadrage.
Entrée du diagnostic
Cadrer un premier système
Précisez les outils concernés, la fréquence du flux et l'étape qui mobilise votre équipe. Nous commencerons par tester la faisabilité du premier module.
Pour démarrer, indiquez simplement :
- la tâche qui se répète ou ralentit l’équipe ;
- les outils déjà utilisés ;
- le résultat concret que vous attendez.