Conformité
Confier ses emails à une IA : quels risques de confidentialité ?
Accès OAuth, RGPD article 28, entraînement des modèles, hébergement hors UE : les vrais risques et la checklist à poser avant de confier vos emails à une IA.
Par l’équipe MAYL6 min de lecture
L’essentiel
- Un assistant email IA lit le contenu de vos messages : il traite donc des données personnelles, les vôtres et celles de vos correspondants.
- Pour ce contenu, vous restez en principe responsable de traitement et le fournisseur agit comme sous-traitant, avec un contrat conforme à l'article 28 du RGPD.
- Le point décisif est écrit ou non dans le contrat : vos emails servent-ils à entraîner des modèles ?
- Chiffrement, lieu d'hébergement, sous-traitants ultérieurs et révocation des accès se vérifient avant de connecter la boîte.
- Les professions soumises au secret professionnel doivent encadrer plus strictement l'usage, voire exclure certaines boîtes.
Confier ses emails à une IA n'est pas risqué en soi, mais cela revient à donner à un prestataire l'accès à des données personnelles et souvent confidentielles. Le niveau de risque dépend de ce que l'outil lit, de ce qu'il fait des données (en particulier s'il entraîne des modèles avec), de l'endroit où elles sont hébergées et du cadre contractuel prévu par le RGPD. Un fournisseur sérieux répond clairement et par écrit sur chacun de ces points.
Que lit concrètement un assistant email IA ?
Pour trier, résumer ou proposer une réponse, l'outil doit accéder au contenu des messages, pas seulement à leurs métadonnées. Selon le service et les autorisations accordées, cela peut couvrir :
les en-têtes**** : expéditeur, destinataires, date, objet ;
le corps des messages, y compris les échanges anciens si l'historique est analysé ;
les pièces jointes, lorsque l'outil les exploite ;
les contacts et l'agenda, lorsqu'il propose des rendez-vous ;
la capacité d'envoyer des messages en votre nom, si l'autorisation d'envoi est demandée.
Chacun de ces accès se justifie par une fonction. La bonne question n'est donc pas « l'outil lit-il mes emails ? » (il le fait nécessairement) mais « chaque accès demandé correspond-il à une fonction que j'utilise ? ». Un outil qui demande le droit d'envoyer alors que vous ne souhaitez que du tri mérite une explication.
Responsable de traitement ou sous-traitant : qui est responsable ?
Vos emails contiennent des données personnelles : noms, adresses, numéros, parfois des informations sur la santé ou la situation financière de vos correspondants. Le RGPD s'applique donc, et il distingue deux rôles.
Le responsable de traitement détermine pourquoi et comment les données sont traitées. Pour le contenu de votre messagerie professionnelle, c'est en principe vous, ou votre entreprise.
Le sous-traitant traite les données pour le compte du responsable et selon ses instructions. Un assistant email qui lit vos messages pour vous rendre un service joue en principe ce rôle.
L'article 28 du RGPD impose alors un contrat (souvent appelé DPA, pour Data Processing Agreement) qui précise notamment l'objet et la durée du traitement, les catégories de données, l'obligation de ne traiter que sur instruction, la confidentialité du personnel, les mesures de sécurité, le recours à d'autres sous-traitants, l'aide apportée pour répondre aux demandes des personnes et le sort des données en fin de contrat.
Ce qu'il faut surveiller : un fournisseur qui se déclare responsable de traitement pour le contenu de vos emails se réserve, de fait, le droit de décider lui-même de leur usage. Ce n'est pas illégal par principe, mais c'est un cadre très différent, qui doit vous alerter.
Vos emails servent-ils à entraîner des modèles d'IA ?
C'est la question la plus importante et celle à laquelle les conditions générales répondent parfois de façon floue. Entraîner ou affiner un modèle avec vos messages signifie que des fragments de vos échanges peuvent influencer un système utilisé par d'autres. Même si le risque de restitution mot pour mot est discuté, l'usage des données sort du cadre du service rendu.
Cherchez un engagement explicite**** : « vos emails ne sont pas utilisés pour entraîner des modèles ».
Vérifiez que cet engagement couvre aussi les fournisseurs de modèles auxquels le service fait appel, et pas seulement l'éditeur.
Méfiez-vous des formulations comme « améliorer nos services », qui peuvent recouvrir un entraînement.
Distinguez l'entraînement de la conservation temporaire nécessaire au traitement, qui doit elle aussi être limitée dans le temps.
Chiffrement : que faut-il exiger ?
Deux niveaux de chiffrement sont attendus d'un service qui manipule des emails.
En transit : les échanges entre votre messagerie, le service et ses prestataires passent par des connexions chiffrées (TLS).
Au repos : les données stockées (messages mis en cache, brouillons, jetons d'accès) sont chiffrées sur les disques et dans les bases.
Le chiffrement ne règle pas tout. Pour qu'une IA lise un message, celui-ci doit être déchiffré au moment du traitement. Les questions complémentaires portent donc sur qui peut accéder aux données en clair : gestion des droits du personnel, journalisation des accès, durée de conservation.
Hébergement et transferts hors de l'Union européenne
Le RGPD n'interdit pas les transferts hors de l'Union européenne, mais il les encadre : décision d'adéquation de la Commission européenne, clauses contractuelles types ou autres garanties prévues par le règlement. Pour un assistant email, la chaîne est souvent longue : hébergeur, fournisseur du modèle d'IA, outils de supervision.
1Où sont stockées les données du service ?
2Où sont-elles traitées, notamment par le modèle d'IA ?
3Quels sous-traitants ultérieurs interviennent, et dans quels pays ?
4Sur quelle base juridique reposent les éventuels transferts ?
Un hébergement dans l'Union européenne simplifie l'analyse, mais il faut vérifier qu'il couvre bien toute la chaîne ou, à défaut, que les transferts restants sont identifiés et encadrés.
Comment révoquer l'accès d'une IA à votre boîte mail ?
La plupart des assistants se connectent par OAuth : vous autorisez l'application sans lui communiquer votre mot de passe, et vous pouvez retirer cette autorisation à tout moment.
Compte Google : paramètres de sécurité du compte, rubrique des applications tierces ayant accès au compte, puis suppression de l'accès.
Compte Microsoft : page de gestion des applications autorisées du compte ; en entreprise, l'administrateur gère aussi les consentements depuis le centre d'administration.
Connexion IMAP : si un mot de passe d'application a été créé, supprimez-le ; sinon, changez le mot de passe du compte.
Révoquer l'accès coupe la connexion, mais ne supprime pas forcément les données déjà copiées. Vérifiez la procédure de suppression prévue à la résiliation et le délai annoncé.
La checklist des questions à poser au fournisseur
1Quel est votre rôle au sens du RGPD pour le contenu de mes emails, et fournissez-vous un contrat conforme à l'article 28 ?
2Mes emails ou mes réponses servent-ils, directement ou via un prestataire, à entraîner ou affiner un modèle ?
3Quelles autorisations demandez-vous, et à quoi sert chacune ?
4Les données sont-elles chiffrées en transit et au repos ?
5Où sont hébergées et traitées les données, et quels transferts hors UE existent ?
6Quelle est la liste de vos sous-traitants ultérieurs ?
7Combien de temps conservez-vous les données, et comment sont-elles supprimées à la fin du contrat ?
8Un email peut-il partir sans ma validation ?
9Comment êtes-vous informé d'une violation de données, et dans quel délai me prévenez-vous ?
La question sur l'envoi automatique n'est pas anodine : au-delà de la confidentialité, un message parti sans relecture engage votre responsabilité. Notre article sur l'agent email IA détaille les différents niveaux d'autonomie.
Secret professionnel et données sensibles : quelles précautions ?
Avocats, experts-comptables, professionnels de santé, notaires : ces métiers sont tenus par un secret professionnel qui s'ajoute au RGPD. Les données de santé, les opinions politiques ou religieuses et les autres catégories particulières prévues par l'article 9 du RGPD appellent aussi une protection renforcée.
Consultez les recommandations de votre ordre ou de votre instance professionnelle avant tout usage.
Réservez l'assistant à une boîte dédiée (administratif, prospection) plutôt qu'à celle qui reçoit les dossiers couverts par le secret.
Documentez l'outil dans votre registre des traitements et, si le traitement est susceptible d'engendrer un risque élevé, évaluez la nécessité d'une analyse d'impact.
Informez vos collaborateurs de ce qui peut ou non transiter par l'outil.
Ces précautions valent aussi pour la prospection : si vous utilisez l'IA pour écrire à des contacts, les règles propres à ce cadre s'appliquent, comme l'explique notre guide sur la prospection email B2B et le RGPD.
Les engagements de MAYL
MAYL, l'agent email fondé sur l'IA édité par la société française UNYX, a été conçu avec ces questions en tête : vos emails ne servent pas à entraîner de modèle, les données sont chiffrées en transit et au repos, les données du service sont hébergées dans l'Union européenne, l'accès se révoque à tout moment et UNYX agit comme sous-traitant au sens de l'article 28 du RGPD pour le contenu des emails. Par défaut, aucune réponse ne part sans votre validation. Le détail figure sur la page confidentialité. MAYL peut aussi travailler en autonomie avec sa propre boîte, sur votre nom de domaine : il répond selon vos règles et transfère les messages importants à votre équipe.
Questions fréquentes
Est-il légal d'utiliser une IA pour lire ses emails professionnels ?
Oui, à condition de respecter le RGPD. Le fournisseur doit en principe agir comme sous-traitant, avec un contrat conforme à l'article 28, des mesures de sécurité adaptées et un encadrement des éventuels transferts hors de l'Union européenne. Les professions soumises au secret professionnel doivent en plus vérifier les règles de leur ordre.
Comment savoir si mes emails servent à entraîner une IA ?
Lisez la politique de confidentialité et le contrat de sous-traitance, et cherchez un engagement explicite de non-entraînement. Vérifiez qu'il couvre aussi les fournisseurs de modèles utilisés par le service. En l'absence d'écrit clair, posez la question et demandez une réponse contractuelle.
Que se passe-t-il pour mes données si je révoque l'accès ?
La révocation de l'autorisation OAuth coupe immédiatement la capacité du service à lire ou envoyer vos emails. Les données déjà copiées ne disparaissent pas forcément au même moment : c'est la politique de conservation et de suppression du fournisseur qui s'applique. Demandez le délai de suppression effectif.