Sécurité et conformité des agents IA : ce qui est encadré, et par qui

RGPD : les rôles et le DPA

Dans la plupart des projets, vous êtes responsable du traitement et Bynevo Labs sous-traitant. L'article 28 du RGPD impose alors un contrat qui précise l'objet, la durée, la nature et la finalité du traitement, les types de données, et l'obligation de traiter uniquement sur instruction documentée. Il prévoit aussi que le sous-traitant n'en recrute pas un autre sans accord écrit préalable, aide le responsable à répondre aux demandes des personnes, restitue ou supprime les données en fin de prestation et permet les audits. Notre DPA couvre ces points. Détail des clauses : clauses du DPA pour un agent IA et checklist RGPD.

AI Act : la transparence de l'article 50 et le calendrier

L'article 50 impose que les systèmes d'IA destinés à interagir directement avec des personnes soient conçus pour qu'elles sachent qu'elles dialoguent avec une IA, sauf si c'est évident pour une personne raisonnablement informée au vu du contexte. Cette obligation s'applique depuis le 2 août 2026. Le règlement (UE) 2026/1744 du 8 juillet 2026 (le « Digital Omnibus » sur l'IA) a décalé d'autres échéances : les obligations des systèmes à haut risque de l'annexe III passent au 2 décembre 2027, et celles de l'annexe I au 2 août 2028. Il prévoit aussi un délai de quatre mois (jusqu'au 2 décembre 2026) pour le marquage des contenus générés par les systèmes déjà sur le marché avant le 2 août 2026. Ces dates se vérifient sur EUR-Lex avant toute décision.

Pour un agent de SAV, d'avant-vente ou de support, l'enjeu pratique est simple : afficher clairement qu'il s'agit d'une IA. Guides : article 50 et service client et AI Act, obligations des PME. Un usage qui toucherait au recrutement ou à une décision sur des personnes relève d'une analyse à part, que nous faisons au cadrage.

Droits et plafonds d'action de l'agent

• Droits minimaux : l'agent n'accède qu'aux outils et aux données nécessaires à son périmètre, en lecture seule quand l'écriture n'est pas utile.
• Plafonds écrits : nombre d'actions par période, types d'actions autorisés, seuils au-delà desquels un humain décide (remboursement, devis, envoi externe).
• Validation humaine : obligatoire au démarrage pour toute action qui engage l'entreprise, puis allégée par vous, action par action.
• Escalade : une demande hors périmètre ou ambiguë est transmise à une personne, jamais devinée.

Journalisation et gestion des accès

Chaque échange et chaque action de l'agent est enregistré : demande reçue, sources consultées, action réalisée ou proposée, validateur. Ce journal sert à corriger l'agent, à répondre à une réclamation et à démontrer ce qui s'est passé. Les accès à l'instance sont nominatifs, limités au besoin, et la durée de conservation des journaux se fixe avec vous.

Hébergement, modèles et sous-traitants

Instance dédiée à votre nom chez OVHcloud ou Scaleway, en France. Modèles Mistral AI ; pas de transit hors UE par défaut ; aucun entraînement de modèle tiers sur vos données ; mode souverain possible avec un modèle installé sur l'instance. Les sous-traitants sont listés dans le DPA. Les certifications que détiennent les hébergeurs (par exemple ISO/IEC 27001) sont les leurs : Bynevo Labs ne revendique ni ISO 27001, ni HDS, ni SecNumCloud. Voir IA souveraine et Mistral.

Réversibilité

Vos données et vos automatisations sont exportables, l'instance est à votre nom et la fin de prestation prévoit restitution ou suppression, comme l'exige l'article 28. Voir notre méthode pour le fonctionnement par étapes.

Ce que vous devez faire de votre côté

• Tenir votre registre des traitements à jour (article 30) et informer les personnes concernées.
• Afficher que l'utilisateur échange avec une IA.
• Désigner les validateurs et la personne qui reçoit les alertes.
• Gérer vos comptes et retirer les accès des personnes qui partent.
• Valider avec votre DPO ou votre juriste les cas sensibles (santé, recrutement, données d'enfants).

Cette page présente notre cadre de travail, elle ne remplace pas un avis juridique sur votre situation.