Données clients et IA en agence : que permettent les contrats ?

Qu’est-ce qu’une agence a le droit de faire avec les données de ses clients ?

Ce que son contrat et le RGPD lui permettent. Pas plus.

Le sujet freine beaucoup d’entreprises. Selon l’Insee, 38 % des entreprises qui n’utilisent pas l’IA citent la protection des données parmi leurs raisons, et 38 % un cadre juridique peu clair (données 2025).

Pour une agence, la question se pose avec plus de force, parce que les données ne sont pas les siennes. Il faut distinguer trois catégories, qui ne relèvent pas des mêmes règles.

Une donnée de campagne agrégée (dépenses et clics par campagne) n’est en général pas une donnée personnelle. Elle reste souvent une information confidentielle du client.

L’agence est-elle sous-traitante au sens du RGPD ?

Quand elle traite des données personnelles sur instruction de son client, oui. Le client est alors responsable du traitement. L’article 28 du RGPD impose que leur contrat prévoie notamment que l’agence :

• ne traite les données que sur instruction documentée du client ;
• garantit la confidentialité des personnes qui y ont accès ;
• prend les mesures de sécurité prévues à l’article 32 ;
• ne fait appel à un autre sous-traitant qu’avec l’autorisation écrite du client ;
• supprime ou renvoie les données en fin de prestation, au choix du client ;
• permet les audits et fournit les informations qui prouvent sa conformité.

Pour d’autres traitements, l’agence peut être responsable de traitement elle-même, par exemple pour sa propre prospection. La CNIL recommande de s’interroger, pour chaque traitement, sur son rôle et sur celui du fournisseur d’IA.

Un outil d’IA est-il un sous-traitant ultérieur ?

Si l’outil traite les données personnelles d’un client de l’agence, oui. L’article 28 prévoit alors que l’agence obtienne l’autorisation écrite préalable du client. Cette autorisation peut être spécifique, ou générale. Dans le second cas, l’agence informe le client de tout ajout ou remplacement de sous-traitant, et le client peut s’y opposer.

En pratique, beaucoup de contrats d’agence ont été signés avant l’arrivée des outils d’IA générative. Relisez la clause sur les sous-traitants avant de connecter un outil d’IA à des données personnelles de clients.

Que recommande la CNIL pour utiliser une IA générative ?

La CNIL a publié le 18/07/2024 des questions-réponses sur l’utilisation des systèmes d’IA générative. Les points utiles pour une agence :

1. Ne soumettre que ce qu’on est autorisé à partager. La CNIL cite les données personnelles, les données de l’entreprise et les informations couvertes par un secret.
2. Vérifier la réutilisation des données par le fournisseur. Pour un service grand public, désactiver la réutilisation des données quand c’est possible.
3. Encadrer le cloud par un contrat de sous-traitance, et encadrer les transferts hors de l’Union européenne.
4. Former les utilisateurs au fonctionnement, aux limites et aux usages permis ou interdits de l’outil.
5. Rédiger une charte interne qui liste ces usages.
6. Ne jamais reprendre telles quelles les sorties du système, et vérifier l’exactitude des résultats.

La CNIL ajoute un point technique. Avec une API, la maîtrise du système repose presque entièrement sur le fournisseur. Elle recommande alors d’éviter la saisie de données personnelles et de lire les clauses contractuelles avec attention.

Quelles offres d’IA réutilisent les données ?

Les conditions changent d’une offre à l’autre chez un même éditeur. Le tableau suivant résume les cas décrits par la CNIL.

Un exemple d’offre professionnelle : les conditions commerciales d’Anthropic, en vigueur au 17/06/2025, indiquent qu’Anthropic ne peut pas entraîner ses modèles sur le contenu de ses clients. Elles intègrent un accord de traitement des données et attribuent au client la propriété des sorties. Lisez les conditions de chaque outil que vous utilisez, offre par offre.

Comment classer les données avant de les donner à l’IA ?

Je propose un classement simple, à écrire noir sur blanc et à partager avec l’équipe.

Ce classement s’applique à chaque process. Le reporting manipule surtout des données encadrées : voir l’article sur la façon d’automatiser le reporting client. Les transcriptions d’appels contiennent des données personnelles : voir l’article sur le CRM d’agence tenu à jour avec l’IA.

Un point concerne aussi les tableaux de bord. Dans Data Studio, une source configurée avec les identifiants du propriétaire montre les données à toute personne qui voit le rapport. Vérifiez qui y a accès.

Que faut-il prévoir dans les contrats clients ?

Je ne suis pas avocat. Voici les points que je fais vérifier par un juriste quand une agence commence à utiliser l’IA.

1. La liste des sous-traitants, mise à jour avec les outils d’IA qui traitent des données du client.
2. Les usages autorisés : quelles données peuvent entrer dans quel outil, et pour quoi faire.
3. La confidentialité, étendue explicitement aux outils d’IA.
4. La propriété des livrables produits avec l’IA, compatible avec les conditions des outils.
5. L’information du client sur l’usage de l’IA dans la production, si le client la demande.
6. La fin de contrat : suppression des données dans les outils, y compris les historiques de conversation.

Un client qui découvre après coup que ses données sont passées par un outil d’IA perd confiance. Un client informé à l’avance pose ses conditions, et l’agence peut travailler sereinement.

Que demande l’AI Act aux agences ?

L’article 4 de l’AI Act demande aux entreprises qui utilisent des systèmes d’IA de prendre des mesures pour développer la maîtrise de l’IA de leur personnel. Ces mesures tiennent compte des connaissances de chacun et du contexte d’utilisation. Le texte précise qu’il n’impose pas de garantir un niveau précis pour chaque personne.

Pour une agence, cela rejoint la recommandation de la CNIL : former l’équipe aux limites de l’outil et aux règles sur les données.

Quelles sont les limites de cet article ?

Il donne un cadre de travail, pas un avis juridique. Chaque contrat client est différent. Avant de connecter un outil d’IA à des données de clients, faites relire vos contrats et votre classement des données par un avocat ou par votre DPO.

Pour situer ce sujet parmi les autres chantiers, lisez comment une agence peut s’organiser avec l’IA.

Pour la vue d'ensemble, lisez le guide complet : Comment une agence marketing peut-elle s'organiser avec l'IA ?.