RGPD en cabinet d'expertise comptable : sous-traitant, lettre de mission et agent IA

Deux casquettes pour un même cabinet

Le cabinet est responsable de traitement pour ce qui relève de sa propre organisation : son personnel, son fichier de prospects, sa relation avec ses clients en tant que clients. Il détermine seul la finalité et les moyens de ces traitements, et il en répond directement.

Pour une partie importante de la production, la situation est différente. Lorsque le cabinet établit les bulletins de paie des salariés d'un client, il traite des données personnelles pour le compte de ce client, selon ses instructions et pour une finalité qui est la sienne. Les guides pratiques consacrés au sujet qualifient cette situation de sous-traitance au sens de l'article 28 du règlement. Le client reste responsable de traitement, le cabinet exécute.

Pour la tenue et la révision comptable, la frontière se discute davantage, parce que le cabinet agit aussi au titre d'obligations professionnelles propres. La prudence consiste à qualifier chaque mission dans la lettre de mission plutôt que de laisser la question ouverte.

Ce que l'article 28 impose concrètement

L'article 28 exige un contrat écrit entre le responsable de traitement et le sous-traitant. Ce contrat précise l'objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes concernées, ainsi que les obligations du sous-traitant.

• Traiter les données uniquement sur instruction documentée du client.
• Garantir la confidentialité des personnes autorisées à traiter les données.
• Mettre en œuvre des mesures de sécurité appropriées.
• Ne pas recruter un autre sous-traitant sans autorisation écrite préalable, spécifique ou générale, du client.
• Aider le client à répondre aux demandes des personnes concernées et en cas de violation de données.
• Supprimer ou restituer les données à la fin de la mission.

L'agent IA est un sous-traitant ultérieur

C'est le point que beaucoup de cabinets découvrent tard. Dès qu'un outil externe lit des données confiées par un client, son éditeur devient un sous-traitant ultérieur. Si la lettre de mission ne prévoit rien, le cabinet recrute ce sous-traitant sans l'autorisation exigée par l'article 28, même avec les meilleures intentions.

Un outil grand public utilisé par un collaborateur sur un poste personnel aggrave la situation : aucun contrat de sous-traitance, une localisation des données inconnue, parfois une réutilisation des contenus pour entraîner des modèles. Le problème n'est pas l'intelligence artificielle, c'est l'absence de cadre.

À l'inverse, un agent déployé dans l'environnement du cabinet, hébergé dans l'Union européenne, sans entraînement de modèle sur les données, avec un contrat de sous-traitance et une liste de sous-traitants tenue à jour, entre dans un schéma que le client peut autoriser en connaissance de cause.

La clause à prévoir dans la lettre de mission

La lettre de mission est l'instrument naturel pour porter l'accord exigé. Sans prétendre rédiger à la place du cabinet ni de son conseil, les éléments suivants méritent d'y figurer, mission par mission.

• La qualification retenue pour chaque mission : responsable de traitement, sous-traitant, ou partage explicite.
• Les catégories de données traitées et les personnes concernées, par exemple les salariés du client pour la paie.
• L'autorisation générale de recourir à des sous-traitants ultérieurs, assortie d'une information préalable du client sur tout ajout ou remplacement, qui lui laisse la possibilité de s'y opposer.
• La liste des sous-traitants en annexe ou accessible sur demande, outils d'intelligence artificielle compris.
• Les garanties minimales exigées de ces outils : hébergement, absence d'entraînement, confidentialité, réversibilité.
• Le sort des données à la fin de la mission.

Ce qu'un agent sérieux doit démontrer

Un cabinet ne peut autoriser que ce qu'il est capable de décrire. Avant tout déploiement, l'agent doit pouvoir répondre par écrit à des questions précises : où les données sont hébergées, qui y accède, combien de temps elles sont conservées, si elles servent à entraîner un modèle, comment elles sont effacées en fin de mission, et quels sous-traitants l'éditeur utilise lui-même.

L'agent doit aussi tracer ce qu'il fait. Un journal qui indique quel dossier a été lu, pour quelle tâche et à quelle date, permet au cabinet de répondre à un client ou à une personne concernée sans reconstituer les faits de mémoire. C'est aussi ce qui distingue un outil de production d'un gadget.

Enfin, l'agent doit respecter le principe de minimisation. Pour préparer une révision de cycle, il n'a pas besoin des pièces d'identité ; pour une relance de pièces manquantes, il n'a pas besoin des bulletins de paie. Un périmètre d'accès par tâche vaut mieux qu'un accès global au serveur.

Par où commencer

Le point de départ le plus utile est un inventaire court : quels outils lisent aujourd'hui des données clients, lesquels disposent d'un contrat de sous-traitance, lesquels sont mentionnés dans les lettres de mission. L'écart apparaît vite, et il est rarement là où le cabinet l'attendait.

Vient ensuite la mise à jour du modèle de lettre de mission, à la prochaine campagne de renouvellement plutôt qu'en urgence. Le diagnostic gratuit de DIAA, en cinq minutes en ligne, aide à situer le premier chantier d'agent à déployer dans un cadre déjà propre.

Questions fréquentes

À lire ensuite