IA RH et RGPD : le dossier de conformité prêt pour votre DPO.
AgentRH est sous-traitant au sens de l'article 28 du RGPD. Il remet à votre DPO un accord de traitement des données, mène avec lui l'analyse d'impact selon la méthode de la CNIL, et traite les données sur Microsoft Azure en Union européenne, sans entraînement de modèle.
- DPA article 28
- AIPD méthode CNIL
- Microsoft Azure en UE
- Validation humaine
AgentRH pour un DPO, en bref
- Rôles
- Votre entreprise est responsable de traitement, AgentRH sous-traitant au sens de l'article 28 du RGPD.
- Hébergement
- Microsoft Azure et Azure OpenAI Service, en zone Union européenne. Aucun transfert hors UE dans le cadre normal du service.
- Entraînement
- Aucun. Les requêtes ne sont ni transmises à OpenAI ni conservées par Azure.
- Analyse d'impact
- Menée avec votre DPO selon la méthode de la CNIL, dans un espace PIA dédié à votre entreprise.
- Décision
- AgentRH prépare, l'équipe RH décide. Aucune décision ni évaluation d'un salarié par l'IA.
- Fin de contrat
- Restitution ou suppression des données sous trente jours, certificat de suppression sur demande.
Ce que contient le dossier de conformité.
Remis à votre DPO avant le déploiement, pour instruire le projet sans repartir de zéro.
RGPD : qui fait quoi.
Les rôles sont fixés dans le contrat et détaillés dans l'accord de traitement des données.
| Sujet | Ce qui est prévu |
|---|---|
| Rôles | Votre entreprise est responsable de traitement ; AgentRH est sous-traitant au sens de l'article 28 du RGPD et traite les données sur vos instructions documentées. |
| Finalités | Préparer des brouillons de réponses et de documents RH, rechercher dans vos documents RH, trier la boîte mail RH, authentifier les utilisateurs et tracer leurs actions. À l'exclusion expresse de tout entraînement de modèle. |
| Personnes concernées | Salariés, anciens salariés et candidats de l'entreprise ; utilisateurs RH habilités. |
| Données | Identification des utilisateurs RH, e-mails RH traités et brouillons, documents RH indexés, questions et réponses, données utiles du SIRH, journaux techniques. |
| Données sensibles | Aucun traitement spécifique au sens de l'article 9. Les documents indexés peuvent en contenir de façon incidente : aucun accès en clair par l'équipe AgentRH en dehors d'un support strictement nécessaire et tracé. |
| Accès | AgentRH n'accède qu'aux documents que l'utilisateur peut déjà ouvrir ; votre DSI peut limiter l'accès à des sites SharePoint précis. |
| Conservation | Durée fixée au contrat. En fin de contrat, restitution ou suppression sous trente jours, avec certificat sur demande. |
Les engagements inscrits au DPA.
Des délais précis, pour que votre DPO sache à quoi s'en tenir.
Sous-traitants ultérieurs : Microsoft, en Union européenne.
L'hébergement et l'intelligence artificielle reposent sur un seul fournisseur.
| Sous-traitant | Service | Localisation | Garanties |
|---|---|---|---|
| Microsoft Ireland Operations Ltd. | Hébergement applicatif et bases de données (Microsoft Azure) | Union européenne | ISO 27001, ISO 27018, SOC 2 Type II, EU Data Boundary |
| Microsoft Ireland Operations Ltd. | Intelligence artificielle (Azure OpenAI Service) | Union européenne, Data Zone UE | Pas d'entraînement sur les données, zéro conservation des requêtes |
Les certifications citées sont celles de Microsoft pour ses services Azure. AgentRH vous informe de toute modification substantielle des conditions d'Azure OpenAI.
AI Act et décision humaine : AgentRH prépare, la RH décide.
Le règlement européen sur l'IA (AI Act) s'applique depuis le 2 août 2026. Les obligations propres aux systèmes à haut risque de l'annexe III, qui couvrent notamment le recrutement et les décisions touchant la relation de travail, s'appliqueront à partir du 2 décembre 2027.
- Des propositions, jamais des décisionsAgentRH rédige des brouillons de réponses et de documents. Il n'envoie rien seul.
- Aucune évaluation des personnesIl ne note ni ne classe les salariés ou les candidats, et ne prend aucune décision sur un salarié.
- Des réponses traçablesChaque envoi validé est historisé : qui a envoyé, quand, avec quelles sources.
En détail : sécurité, RGPD et AI Act.
Questions fréquentes des DPO
Faut-il une AIPD pour déployer un assistant IA dans un service RH ?+
Dans le cas d'AgentRH, oui : le traitement porte sur des données de salariés, placés en situation de dépendance vis-à-vis de leur employeur, et recourt à une technologie innovante, l'IA générative. Le DPA d'AgentRH prévoit donc une analyse d'impact (AIPD) avant tout déploiement large. AgentRH en rédige le projet selon la méthode de la CNIL, dans un espace dédié au client, et votre DPO la complète et la valide.
Quel est le rôle d'AgentRH au sens du RGPD ?+
L'entreprise cliente est responsable de traitement ; AgentRH est sous-traitant au sens de l'article 28 du RGPD. Les obligations de chacun sont fixées dans l'accord de traitement des données (DPA) annexé au contrat.
Où les données sont-elles hébergées et qui sont les sous-traitants ?+
Sur Microsoft Azure, en zone Union européenne, y compris les sauvegardes et les journaux. Le modèle d'IA est appelé via Azure OpenAI Service dans la Data Zone UE. Le sous-traitant ultérieur est Microsoft Ireland Operations Ltd. Tout ajout ou remplacement est notifié au client trente jours à l'avance, avec un délai d'objection.
Les données RH servent-elles à entraîner l'IA ?+
Non. Les données des clients ne servent jamais à entraîner ou améliorer un modèle. Les requêtes envoyées à Azure OpenAI ne sont pas transmises à OpenAI et ne sont pas conservées par Azure : le mode zéro conservation est activé sur l'environnement de production.
Combien de temps les données sont-elles conservées ?+
La durée de conservation est fixée au contrat. En fin de contrat, les données sont restituées dans un format structuré ou supprimées, au choix du client, dans un délai de trente jours, avec un certificat de suppression sur demande.
Comment répondre à la demande d'accès ou d'effacement d'un salarié ?+
Le client, responsable de traitement, répond à la demande ; AgentRH l'assiste dans un délai compatible avec le délai légal d'un mois. Si un salarié s'adresse directement à AgentRH, sa demande est transmise au client sous 48 heures ouvrées.
Que se passe-t-il en cas de violation de données ?+
AgentRH notifie le client au plus tard 48 heures après en avoir pris connaissance, avec la nature de la violation, ses conséquences probables et les mesures prises, puis coopère pour la notification à la CNIL et, le cas échéant, aux personnes concernées.
AgentRH est-il un système d'IA à haut risque au sens de l'AI Act ?+
AgentRH rédige des propositions de réponses et de documents. Il n'envoie rien seul, ne prend aucune décision sur un salarié et n'évalue pas les personnes : l'équipe RH valide chaque envoi. Les conditions générales interdisent d'utiliser le service pour prendre des décisions produisant des effets juridiques sur un salarié.
Que doit faire l'employeur de son côté ?+
Informer les salariés du traitement, inscrire le traitement à son registre et, dans les entreprises dotées d'un comité social et économique, informer le CSE préalablement à l'introduction d'un traitement automatisé de gestion du personnel (article L2312-38 du Code du travail). La documentation remise par AgentRH aide à préparer ces étapes.
Le client peut-il auditer AgentRH ?+
Oui. Le DPA prévoit un audit par le client ou un tiers mandaté, une fois par année civile avec un préavis de trente jours, et davantage en cas de violation avérée ou de demande d'une autorité de contrôle. Le client peut aussi demander la documentation de conformité disponible.
Un projet d'IA RH se décide à plusieurs.
Ce qui intéresse les autres membres du projet.
Un dossier prêt.
Une décision qui reste humaine.
Recevez le dossier de conformité, ou échangez avec notre référent RGPD à contact@agentrh.ai.