Le RGPD ne commence pas au moment d’afficher une bannière de consentement. Il influence les données envoyées au modèle, les journaux conservés, la mémoire des agents, le choix des sous-traitants et la façon de répondre à une demande de suppression. L’objectif technique est de connaître chaque flux et de ne collecter que ce qui est nécessaire.
Cartographier avant d’intégrer
Listez les entrées utilisateur, documents RAG, métadonnées, prompts système, réponses, traces et sauvegardes. Pour chaque flux, indiquez finalité, catégorie de personnes, durée de conservation, lieu d’hébergement, destinataires et responsable de la suppression. Incluez les outils d’observabilité : une trace peut recopier le prompt complet et devenir un nouveau traitement de données personnelles.
Base légale et transparence
Le consentement n’est pas l’unique base légale et ne doit pas être choisi par défaut. L’organisation doit déterminer une base adaptée à chaque finalité, fournir une information compréhensible et distinguer le service demandé des usages secondaires comme l’entraînement ou l’analyse produit. Si le traitement présente un risque élevé, vérifiez avec le délégué à la protection des données si une analyse d’impact est nécessaire.
Minimisation dès le code
Supprimez les champs inutiles avant l’appel, pseudonymisez les identifiants et empêchez les secrets d’entrer dans les prompts. Préférez des extraits ciblés à un document complet. Définissez des durées pour conversations, embeddings, caches et logs. La désactivation contractuelle de l’entraînement par un fournisseur ne dispense pas de contrôler rétention, accès et localisation.
RAG, embeddings et droits des personnes
Un embedding n’est pas automatiquement anonyme. Conservez un lien entre chaque vecteur et sa source afin de corriger ou supprimer réellement les données. Appliquez les autorisations avant la recherche, pas seulement après la génération. Une suppression doit atteindre le document, ses fragments, l’index, les caches et les sauvegardes selon le calendrier défini.
Fournisseurs et transferts
Documentez le rôle de chaque acteur, le contrat de sous-traitance, les sous-traitants ultérieurs, les mesures de sécurité et les éventuels transferts hors Espace économique européen. La région d’hébergement ne suffit pas : support, télémétrie ou sauvegardes peuvent créer d’autres accès.
Checklist de livraison
- Flux et finalités inventoriés.
- Base légale et information validées.
- Données filtrées avant chaque appel.
- Rétention, export, correction et suppression testés.
- Isolation des tenants et contrôle d’accès au RAG vérifiés.
- Logs et observabilité configurés sans données excessives.
- Contrats, régions et sous-traitants documentés.
FAQ
Peut-on envoyer des données personnelles à un LLM ?
Ce n’est pas interdit par principe, mais le traitement doit être justifié, transparent, sécurisé et limité.
Héberger le modèle soi-même garantit-il la conformité ?
Non. Cela améliore parfois le contrôle, mais l’organisation reste responsable des accès, durées, droits et mesures de sécurité.
Faut-il anonymiser tous les prompts ?
Il faut minimiser. Une anonymisation réelle est difficile ; la pseudonymisation réduit le risque sans faire sortir automatiquement les données du RGPD.