Le contexte

Une même action, trois cadres distincts

Les agences manipulent tout ce que recherchent les fraudeurs : identités, RIB, avis d'imposition, dates de signature. Le piratage de compte est devenu la première menace pour les entreprises, et la fraude au virement a presque doublé. Ces attaques ne sont pas toujours sophistiquées : un mot de passe réutilisé suffit souvent.

En 2025, le piratage de compte représente 21 % des demandes d'assistance des entreprises et associations (+52 % sur un an). Les diagnostics liés à la fraude au virement progressent de +93 % par rapport à 2024. — Cybermalveillance.gouv.fr

Avec l'IA, la question de l'accès se pose aussi en interne. Sur un compte personnel, l'historique des conversations suit le salarié quand il quitte l'agence. Et un assistant connecté au CRM peut ouvrir des dossiers qui ne doivent pas être divulgués.

Trois cadres répondent à trois questions différentes :

CadreQuestion poséeCe qu'il encadreExemple en agence
RGPDAi-je le droit de traiter cette donnée, et comment ?Les données personnelles : base légale, finalité, durée de conservation, sous-traitantsColler la pièce d'identité d'un vendeur dans un outil non contractualisé
Risque de piratageCette donnée peut-elle être volée ou détournée ?La sécurité des accès et des systèmesUn mot de passe réutilisé qui ouvre le CRM et l'historique IA
AI ActL'outil d'IA respecte-t-il ses obligations, et est-il utilisé correctement ?Les systèmes d'IA : transparence, usages à risque, formationUn chatbot qui ne dit pas qu'il est une IA

Une même action peut relever des trois à la fois. Les traiter séparément, c'est laisser un angle mort.

RGPD

Le RGPD : encadrer ce qui entre dans l'outil

Ce que vous collez dans une IA reste une donnée personnelle. Le RGPD ne crée pas de règle nouvelle pour l'IA, mais tous ses principes s'appliquent.

01
Un contrat avec le fournisseur
Quand une agence utilise un logiciel professionnel, un contrat de sous-traitance (article 28 du RGPD) encadre la protection des données. Avec un compte personnel, ce contrat n'existe pas : l'agence ignore où partent les données et combien de temps elles sont conservées.
02
Pas de décision automatisée sans humain
Un dossier locataire refusé uniquement parce qu'un outil l'a mal classé, c'est précisément ce que l'article 22 du RGPD encadre. L'IA est un outil d'aide à la décision : elle fait gagner un temps réel dans la lecture des dossiers, mais seul l'humain tranche.
03
Ne pas collecter au-delà du nécessaire
La liste des pièces qu'un bailleur peut exiger d'un candidat locataire est fixée par décret (n° 2015-1437). Un outil d'IA qui « analyse » un dossier ne doit pas servir à en obtenir davantage.

Sécurité

Le risque de piratage : protéger la donnée elle-même

Le RGPD dit ce qu'on a le droit de faire avec une donnée reçue d'un client ou d'un prospect. Le piratage pose une autre question : comment protège-t-on ces mêmes données ? Il ne suppose aucune faute de l'utilisateur. Il exploite des failles, parfois élémentaires.

Un mot de passe réutilisé sur plusieurs services suffit à ouvrir une messagerie, un CRM, et avec eux l'historique des échanges avec un assistant IA — où se trouvent parfois des noms, des montants et des dates de signature. C'est la matière première d'une fraude au virement crédible.

Avec l'IA, la menace se déplace aussi vers l'intérieur de l'agence : un assistant branché sur le CRM voit ce que voit le compte qui l'utilise. Si tout le monde a accès à tout, l'IA aussi.

Deux mesures couvrent l'essentiel du risque : une authentification renforcée (double facteur) sur la messagerie, le CRM et l'outil d'IA, et une gestion des accès par rôle — chaque collaborateur, et chaque agent IA, n'ouvre que les dossiers dont il a besoin.

AI Act

L'AI Act : encadrer l'outil et ses usages

Adopté en 2024, le règlement européen sur l'intelligence artificielle s'applique par étapes. Depuis le 2 août 2026, ses obligations de transparence sont en vigueur. Quatre points concernent directement les agences.

01
Le chatbot doit se présenter comme une IA
Un visiteur du site ou de la messagerie doit savoir qu'il ne parle pas à un conseiller. Une mention claire dès le premier échange suffit.
02
Le contenu généré par IA doit être signalé
Le home staging virtuel en fait partie. Une image retouchée par IA qui pourrait passer pour réelle doit être identifiée comme telle. Une ligne du type « photo retouchée par IA, mobilier non inclus » suffit — et évite de décevoir un acquéreur à la visite.
03
Certains usages sont à haut risque
Le tri automatisé de candidatures dans le cadre d'un recrutement fait partie des usages les plus encadrés. Les obligations correspondantes ont été reportées au 2 décembre 2027, mais elles ne disparaissent pas.
04
La formation des équipes fait déjà partie du texte
Depuis février 2025, l'AI Act demande aux entreprises de prendre des mesures pour que leurs collaborateurs comprennent les outils d'IA qu'ils utilisent. Une équipe formée, c'est un négociateur de 18h45 qui ne refera pas l'erreur.

Retour à 18h45

Où les trois se recoupent

Reprenons la scène du début. Un seul geste, trois manquements distincts :

RGPD
Des données personnelles dans un outil non contractualisé
Aucun contrat de sous-traitance, une finalité floue, une durée de conservation inconnue.
Sécurité
Un compte personnel, sans contrôle
L'historique échappe à l'agence et reste exposé si le compte est compromis ou si le salarié part.
AI Act
Une équipe non formée
L'agence n'a pas pris de mesures pour que ses collaborateurs maîtrisent les outils d'IA qu'ils utilisent.

Passer à l'action

Trois gestes pour lundi matin

01
Une charte d'une page
Ce qu'on peut confier à l'IA, et ce qu'on ne lui confie jamais : pièces d'identité, RIB, impayés nominatifs, prix plancher. Une page lue vaut mieux que vingt pages ignorées.
02
Un compte professionnel, pas des comptes personnels
Un outil choisi par l'agence, avec un contrat, des accès gérés et un historique qui reste dans l'agence quand un salarié part.
03
Une relecture humaine avant tout envoi
Compte rendu, PV, courrier : l'IA prépare, un humain valide.

L'IA fait gagner un temps réel aux équipes. L'enjeu n'est pas de l'interdire, mais de savoir ce qui y entre, qui y accède, et qui en répond.

Pour aller plus loin

Sources et références

Déployer l'IA dans votre agence, dans un cadre conforme

Optai cartographie vos usages actuels de l'IA, identifie les risques RGPD, sécurité et AI Act, et déploie des agents IA calibrés pour votre agence — sur une infrastructure SOC 2, ISO 27001 et ISO/IEC 42001, en Zero-Data-Retention, sans entraînement sur vos données. 30 minutes, sans engagement.

Réserver un diagnostic →Nous écrire