La question arrive toujours au même moment. Le projet est validé côté exploitation, l'agent est prêt à répondre aux visiteurs, et quelqu'un au service juridique ou à la direction des achats demande où vont les conversations. Sur un marché public, elle arrive plus tôt encore, écrite noir sur blanc dans le règlement de consultation.
Cet article décrit la façon dont nous cadrons le sujet avec les organisateurs que nous équipons. Ce n'est pas une consultation juridique. Pour le texte de référence et les doctrines à jour, la CNIL reste la seule source à citer, et votre délégué à la protection des données reste la seule personne à valider votre dossier.
Un agent conversationnel sur un événement traite-t-il des données personnelles ?
Oui, dès qu'il enregistre le contenu des échanges, même sans demander de nom. Une question posée peut contenir une donnée personnelle, et un historique de conversation rattaché à un appareil en est une. Le RGPD s'applique donc par défaut. La vraie question n'est pas « est-ce concerné », mais : quelles données, pour quelle finalité, et pendant combien de temps.
Sur un événement, la matière est plus maigre qu'on ne le croit. Un visiteur qui demande où sont les sanitaires ne donne rien de lui. Un visiteur qui écrit « je cherche le stand qui vend des poêles à granulés, je viens de Bourg-en-Bresse » vient d'en donner deux, sans y penser. C'est ce deuxième cas qui commande le cadrage, pas le premier.
Le principe de minimisation se traduit ici en décisions très concrètes. Pas de compte, pas de formulaire d'entrée, pas de demande d'identité pour poser une question. Le visiteur scanne un code ou clique un lien, il demande, il obtient sa réponse. Tout ce qui n'est pas nécessaire à cette réponse n'a pas de raison d'être collecté.
Qui est responsable du traitement, l'organisateur ou le prestataire ?
L'organisateur détermine les finalités et les moyens : c'est lui le responsable de traitement. Le prestataire technique agit sur instruction, pour son compte, dans le périmètre fixé : c'est un sous-traitant. Cette répartition n'est pas un détail contractuel, elle décide de qui répond au visiteur qui demande l'effacement de ses données.
En pratique, cela veut dire trois choses pour vous. La mention d'information affichée au visiteur est la vôtre, pas celle de votre prestataire. Le registre des activités de traitement se tient chez vous, avec une ligne pour ce dispositif. Et le contrat de sous-traitance se signe avant l'ouverture, pas au débrief.
Cela veut aussi dire que votre prestataire doit être capable de vous dire à qui il sous-traite lui-même, hébergeur compris. Une chaîne de sous-traitance que personne ne sait décrire est une chaîne que vous ne pouvez pas défendre devant un acheteur.
Quelle base légale pour un agent d'information aux visiteurs ?
Pour de l'information pratique demandée par le visiteur lui-même, l'intérêt légitime est la base la plus souvent retenue : il vient chercher une réponse, vous la lui donnez. Dès que l'on sort de ce périmètre, prospection, profilage, rapprochement avec un fichier de contacts, la question du consentement se pose, et elle se pose avant l'événement.
La ligne de partage est facile à tracer avec une seule phrase : est-ce que ce traitement sert le visiteur qui pose la question, ou est-ce qu'il sert autre chose ? Répondre « le stand B12 est dans l'allée B » sert le visiteur. Rattacher ses questions à son identité de badge pour alimenter une campagne d'e-mailing sert autre chose.
Cette distinction se tranche au cadrage. Après l'événement, les données sont déjà là, et il est trop tard pour choisir la base légale qui les couvre. C'est la seule vraie urgence du sujet.
Que faut-il écrire au contrat avant l'ouverture ?
Sept points suffisent, et ils tiennent sur une page.
- Le périmètre de collecte. Ce qui est enregistré, ce qui ne l'est pas. Écrire explicitement l'absence de compte et l'absence de demande d'identité si c'est le cas.
- La finalité et la base légale. Une finalité par ligne, une base légale par finalité. Ne pas écrire « amélioration du service » comme finalité fourre-tout.
- La durée de conservation. Fixée par vous, en fonction de l'événement et de ce que vous voulez pouvoir analyser au débrief. Elle doit être écrite en clair, et le contrat doit dire ce qui se passe au terme : suppression, ou conservation sous forme agrégée sans contenu.
- Les destinataires. Qui, chez vous et chez le prestataire, accède aux conversations, et pour quoi faire.
- Les sous-traitants ultérieurs. Nommés, avec leur rôle. Et la procédure si l'un change en cours de contrat.
- La localisation de l'hébergement. Le pays, et l'engagement qu'aucune donnée n'en sort.
- La réutilisation ou non des contenus pour entraîner un modèle. Une phrase, sans ambiguïté, dans un sens ou dans l'autre.
Chez nous, ces sept points sont fixés au contrat avant l'ouverture, événement par événement. Ils figurent aussi dans la fiche technique de l'intégration, pour que votre juridique puisse la lire sans avoir à nous appeler.
Pourquoi l'hébergement en France change-t-il la réponse ?
Héberger en France maintient les données sur le territoire et évite d'avoir à documenter un transfert hors Union européenne. Ce n'est pas un argument de communication, c'est une ligne que votre acheteur coche ou ne coche pas, et un paragraphe de moins à rédiger dans votre analyse de conformité.
L'effet est le même pour le modèle de langage. Un agent qui tourne sur un modèle de langage français, hébergé en France, ne pose pas la question de savoir ce qu'un traitement à l'étranger fait des requêtes qu'il reçoit. La réponse est courte, et une réponse courte est ce que vous cherchez dans un dossier de consultation.
Notez que l'hébergement ne dispense de rien d'autre. Il ne remplace ni la base légale, ni la durée de conservation, ni l'information des personnes. Il retire un sujet de la pile, pas les autres.
Les contenus de l'événement servent-ils à entraîner un modèle ?
Non. Les contenus que vous nous confiez, plan, programme, liste des exposants, informations pratiques, servent à répondre aux visiteurs de votre événement, et à rien d'autre. Ils ne servent à entraîner aucun modèle et ne sont réutilisés sur aucun autre événement. Vos données restent les vôtres, exportables à tout moment.
C'est la question la plus posée par les organisateurs depuis un an, et elle mérite une réponse en un mot plutôt qu'un paragraphe de précautions. Si un prestataire vous répond en trois phrases avec des conditions, lisez les conditions.
Que répondre à un acheteur public qui pose la question ?
Cinq points, à recopier tels quels dans une réponse à appel d'offres, en adaptant les valeurs à votre marché.
- Le dispositif est un agent d'information aux visiteurs. Il ne demande ni compte, ni identité, et ne réalise aucun profilage.
- L'organisateur est responsable de traitement, le prestataire est sous-traitant au sens du RGPD. Un contrat de sous-traitance est signé avant l'ouverture.
- Les données sont hébergées en France et ne quittent pas le territoire. Le modèle de langage utilisé est français.
- Le périmètre de collecte, la base légale, les destinataires et la durée de conservation sont fixés au contrat, avant l'ouverture, et documentés au registre de l'organisateur.
- Les contenus et les conversations ne servent à entraîner aucun modèle, et ne sont pas réutilisés hors de l'événement concerné.
Le reste du dossier dépend de votre organisation : votre mention d'information, votre registre, votre contact de délégué à la protection des données. Nous fournissons la partie technique, vous gardez la main sur la partie qui vous engage.
Questions fréquentes
Faut-il prévenir le visiteur qu'il parle à une IA ?
Oui, et c'est aussi une bonne pratique d'usage. Un visiteur qui sait qu'il s'adresse à un agent formule ses questions autrement et accepte mieux un passage de relais vers votre équipe. L'agent le dit dès le premier écran, et cite la source de chaque réponse.
Combien de temps conserve-t-on les conversations ?
La durée est fixée au contrat, événement par événement, parce qu'elle dépend de ce que vous voulez analyser après. Un salon qui veut son rapport de fin d'édition n'a pas le même besoin qu'un festival d'un week-end. Ce qui compte, c'est qu'elle soit écrite avant l'ouverture et tenue après.
Un visiteur peut-il demander la suppression de ses échanges ?
Oui. Les droits d'accès, de rectification, d'effacement et d'opposition s'exercent auprès de vous, responsable de traitement, et nous exécutons la demande côté technique. La mention affichée au visiteur doit donc porter un contact utilisable pendant et après l'événement.
Faut-il une analyse d'impact pour un agent d'information ?
Cela se décide au cas par cas, avec votre délégué à la protection des données. La CNIL publie les critères et la liste des traitements pour lesquels une analyse d'impact est obligatoire : c'est le document à ouvrir en premier. Un agent d'information sans compte, sans identité et sans profilage est un cas moins lourd qu'un dispositif adossé à une base de badges, mais l'arbitrage vous appartient.
Envie de vérifier sur pièce ? Nous montons l'agent sur votre événement réel avant tout engagement : demandez une démo, ou lisez d'abord la méthode d'intégration et ce que nous demandons comme contenus.