choisirsonagence· 2 min de lecture
IA Act et marketing CRM : les garanties de conformité à exiger avant de signer avec une agence
Selon la dépêche de Maddyness, la question se pose de savoir si le marketing CRM relève déjà des catégories à risque au sens de la réglementation européenne sur l'intelligence artificielle. Pour une entreprise, cette incertitude se traduit par un critère de choix très concret : la capacité du prestataire à documenter ce qu'il fait de vos données.
La dépêche pose une question, elle n'y apporte pas une réponse tranchée, et il serait imprudent de vous en donner une ici. Ce qui est certain, c'est que le sujet est ouvert et qu'il concerne des usages très répandus : scoring de contacts, segmentation automatisée, déclenchement de messages personnalisés, priorisation de prospects. Si votre prestataire opère ces traitements pour vous, la responsabilité ne disparaît pas parce qu'elle est externalisée.
Premier critère de choix : la capacité du prestataire à décrire précisément les traitements. Demandez la liste des données collectées, leur origine, leur durée de conservation, les outils qui les hébergent, et les traitements automatisés appliqués. Une agence qui ne sait pas répondre à ces questions en réunion de sélection ne saura pas davantage y répondre en cas de contrôle ou de réclamation d'un client.
Deuxième critère : la documentation contractuelle. Vérifiez l'existence d'un contrat de sous-traitance encadrant le traitement des données personnelles, la localisation de l'hébergement, et la liste des sous-traitants ultérieurs. Ces documents doivent exister avant la signature, pas être promis pour plus tard.
Troisième critère : la traçabilité des décisions automatisées. Si un outil attribue un score à un contact ou sélectionne des destinataires, demandez comment cette logique est documentée, qui peut l'auditer, et ce qui est conservé en cas de contestation. Même sans obligation formelle applicable à votre cas, cette traçabilité vous protège.
Quatrième critère : la réversibilité. Votre base de contacts est un actif. Faites inscrire dans le contrat le format d'export, le délai de restitution et l'effacement des données chez le prestataire à la fin de la relation. C'est un point que l'on regrette systématiquement de ne pas avoir traité au départ.
Cinquième critère : la veille. Le cadre applicable évolue et les interprétations se précisent progressivement. Demandez qui, dans l'agence, suit ces sujets, et si une revue périodique de conformité est prévue dans la prestation. Une agence qui a désigné un référent interne, même à temps partiel, vous expose à moins d'angles morts.
Enfin, résistez à deux excès symétriques. Le premier consiste à écarter toute automatisation par prudence, ce qui vous prive d'efficacité. Le second consiste à signer sans regarder, en se disant que la responsabilité sera celle du prestataire. La position raisonnable est intermédiaire : automatiser en sachant précisément ce qui est automatisé, et pouvoir le documenter à tout moment. En cas de doute sur votre situation particulière, les ressources publiques de la CNIL constituent un point de départ utile avant de trancher.
Questions fréquentes
Qui est responsable si l'agence utilise mal mes données clients ?
L'externalisation ne transfère pas l'ensemble des obligations du responsable de traitement. Un contrat de sous-traitance décrivant précisément les traitements est donc indispensable avant de signer.
Quels documents demander à une agence sur ce sujet ?
Le contrat de sous-traitance des données, la liste des outils et des sous-traitants ultérieurs, la localisation de l'hébergement, et les modalités d'export et d'effacement en fin de contrat.
Faut-il renoncer au scoring automatisé des contacts ?
Pas nécessairement. L'important est de pouvoir documenter la logique appliquée, de savoir qui peut l'auditer et de conserver une trace en cas de contestation.