🚀
TEMPLATE PRÊT A ENVOYER
Votre Cahier des Charges RGPD est déjà rédigé
Gagnez 15h de rédaction. Nous avons déjà rédigé les 60 questions d'audit indispensables pour sécuriser votre projet IA en 2026.
Structure prête à l'envoi : 7 onglets pré-configurés (Sécurité, Données, Hébergement, Sous-traitants...)
Audit fournisseur complet : 60 critères critiques déjà énoncés
Aide à la décision : Grille de notation automatique et checklist des documents
📥 Télécharger le Template Excel
Vous rédigez un appel d'offres pour un agent IA (chatbot, assistant virtuel) et la partie RGPD vous bloque ? Vous n'êtes pas seul. En 2026, 73% des entreprises peinent encore à définir les exigences de conformité dans leur cahier des charges.
Résultat : des fournisseurs non conformes, un risque juridique majeur vis-à-vis de l'AI Act, et des amendes potentielles atteignant 4% de votre chiffre d'affaires. Ce guide vous donne les critères essentiels à intégrer, avec un template Excel gratuit pour évaluer vos prestataires.
Pourquoi le RGPD change votre sélection de fournisseur IA
Choisir un agent conversationnel IA, c'est déléguer le traitement de données personnelles massives. Juridiquement, vous restez le Responsable de Traitement. Un cahier des charges solide vous protège sur trois niveaux :
Conformité légale (Article 28 du RGPD et AI Act).
Filtrage immédiat des fournisseurs à risque.
Sécurité des données de vos clients et collaborateurs.
1. Quelles données votre Agent IA va-t-il traiter ?
La première étape de votre appel d'offres consiste à cartographier les flux. Interrogez les fournisseurs sur :
Types de données et finalités
Collecte : Noms, emails, téléphones, mais aussi historiques de navigation et données vocales.
Question critique : "Utilisez-vous nos conversations pour entraîner vos modèles de langage (LLM) ?" (Exigez une option sans entraînement ou un opt-in strict).
Durée de conservation et suppression
Possibilité de configurer la rétention des données (3, 6, 12 mois).
Processus de suppression automatique à expiration.
Réversibilité : Délai d'effacement définitif en fin de contrat (exigez une attestation).
Note : Un fournisseur qui entraîne ses modèles avec vos données sans accord explicite est aujourd'hui considéré comme "à haut risque".
2. Les 4 exigences de sécurité non négociables
Votre document de consultation doit imposer ces mesures techniques :
Chiffrement : Données chiffrées en transit (TLS 1.3 minimum) et au repos (AES-256).
Contrôle d'accès : Authentification multi-facteur (MFA) obligatoire pour l'administration.
Notification des incidents : Le fournisseur doit s'engager à vous informer sous 48 heures en cas de faille, afin que vous puissiez respecter le délai de 72h de la CNIL.
Sous-traitance en cascade : Liste complète des tiers (hébergeurs, API LLM type OpenAI/Mistral, analytics) avec preuve de contrats DPA signés.
3. Hébergement : La question de la souveraineté
La localisation des serveurs est le critère qui élimine souvent 50% des candidats. Posez ces questions précises :
Pays d'hébergement : France ou Union Européenne ?
Localisation des sauvegardes : Sont-elles également en UE ?
Transferts hors UE : Si les données sortent de l'espace européen, quel mécanisme légal est utilisé (TIE, clauses contractuelles types) ?
4. Les documents contractuels obligatoires
Un fournisseur sérieux doit pouvoir fournir immédiatement :
✅ DPA (Data Processing Agreement) conforme à l'article 28.
✅ Annexe Sécurité : Description détaillée des mesures techniques.
✅ Rapport de Pentest : Un audit d'intrusion récent (< 12 mois).
✅ Fiche AI Act : Classification du niveau de risque de l'IA proposée.
[Template Gratuit] Téléchargez le cahier des charges Excel
Gagnez du temps dans la rédaction de votre appel d'offres IA. Nous avons condensé les meilleures pratiques dans un outil prêt à l'emploi.
Contenu du pack :
60+ critères d'évaluation organisés par thématiques (RGPD, Technique, Métier).
Grille de notation automatique pour comparer les candidats.
Niveaux d'exigence : (Obligatoire / Important / Optionnel).
Format .xlsx compatible Google Sheets — Gain de temps estimé : 15 heures de rédaction.
FAQ : Appel d'offres Chatbot & RGPD
Quelles sont les exigences obligatoires pour un chatbot IA ?
Il faut a minima un contrat DPA, le chiffrement des données, une politique de conservation claire et la transparence sur l'usage des données pour l'entraînement des modèles.
L'hébergement en France est-il obligatoire ?
Ce n'est pas une obligation légale stricte (l'UE suffit), mais c'est un fort avantage concurrentiel pour la souveraineté des données et la réduction des risques juridiques liés aux lois extraterritoriales.
Que dit la CNIL sur les agents conversationnels ?
La CNIL insiste sur le principe de minimisation (ne collecter que le nécessaire) et sur l'information claire de l'utilisateur : celui-ci doit savoir qu'il interagit avec une machine dès le premier message.
