RGPD et IA commerciale, les bonnes pratiques 2026

Le nouveau paysage réglementaire en 6 lignes

L’AI Act européen classe les systèmes d’IA par niveau de risque. Pour le coaching commercial, les usages relèvent typiquement de la catégorie « risque limité » (transparence, information de l’utilisateur), à condition de ne pas se rapprocher d’un usage RH (évaluation de performance individuelle généralisée) qui basculerait en « risque élevé ».

Le RGPD reste la base : finalité, base légale, minimisation, durée de conservation, droits des personnes. Et la directive ePrivacy encadre les cookies et traceurs.

Les 7 bonnes pratiques à mettre en place dès le pilote

1. Cartographier les traitements avant d’activer l’IA

Avant tout pilote, lister : qui collecte quoi, dans quelle finalité, pour combien de temps, hébergé où. Cela évite 80 % des questions du DPO en cours de route.

2. Hébergement européen, idéalement français

OVHcloud, Scaleway, Infomaniak proposent des offres certifiées ISO 27001, HDS si nécessaire, sans transfert vers les États-Unis. C’est la base de la souveraineté.

3. Aucun réentraînement de modèle avec les données client

C’est un point dur. Vérifier dans les CGV du fournisseur IA que vos données conversationnelles ne servent jamais à entraîner ses modèles. Coachix l’inscrit explicitement dans son contrat-cadre.

4. Transparence sur les recommandations

Chaque recommandation IA doit être explicable. Les managers doivent pouvoir répondre à un commercial qui demande « pourquoi l’IA me dit ça ? ». Pas de boîte noire, pas de score sans raison.

5. Anonymisation et minimisation

Les comptes-rendus, prompts et analyses doivent être anonymisés dès que la finalité opérationnelle n’exige plus l’identité. Et les durées de conservation doivent être strictes (13 mois pour la mesure d’audience, 3 ans pour les contacts commerciaux).

6. Droits des personnes opérationnels

Accès, rectification, effacement, portabilité, opposition : les processus doivent être documentés et testés. Un délai de réponse réaliste, c’est 7 jours en pratique pour les demandes simples.

7. Consentement spécifique pour les usages dérivés

Si vous voulez utiliser les conversations pour produire des cas clients ou des contenus marketing, recueillir un consentement spécifique. Le consentement « caché dans les CGV » ne tient pas devant la CNIL.

Trois pièges qui font perdre des projets

• Intégrer Google Analytics 4 sur le tracking interne : la CNIL a sanctionné plusieurs sites en 2022-2024 sur ce point. Préférer une solution auto-hébergée comme Matomo.
• Confier les transcripts à un LLM US sans Privacy Shield : risque réglementaire et risque image. Privilégier les LLM européens ou les déploiements souverains.
• Ouvrir l’IA à des cas d’usage RH non encadrés : évaluer la performance individuelle d’un salarié avec un score IA tombe dans la zone « risque élevé » de l’AI Act, avec obligations d’audit et de transparence renforcées.

La conformité bien faite est un accélérateur de confiance, pas un frein. Les directions juridiques deviennent vos alliés quand elles voient que vous prenez l’enjeu au sérieux dès le départ.

La checklist 60 jours

Voici la checklist Coachix pour aligner conformité et déploiement :

• J-15 : analyse d’impact (AIPD) sur le périmètre pilote.
• J-7 : DPA signé avec le fournisseur IA.
• J-3 : information des collaborateurs concernés (note interne).
• J+15 : revue mensuelle avec le DPO sur les premiers usages.
• J+60 : revue de fin de pilote avec audit léger de conformité.

Voir aussi, voir aussi notre politique de confidentialité et notre politique cookies, conformes aux recommandations CNIL 2025.