--- title: "IA RH et RGPD pour le DPO : AIPD, DPA, AI Act | AgentRH" url: https://agentrh.ai/ia-rh-dpo description: "Pour le DPO : rôles RGPD, DPA article 28, AIPD menée avec vous selon la méthode CNIL, sous-traitant Microsoft en UE, AI Act. Le dossier de conformité." lang: fr --- [Accueil](https://agentrh.ai/)IA RH et RGPD pour le DPO # IA RH et RGPD : *le dossier de conformité prêt pour votre DPO.* AgentRH est sous-traitant au sens de l'article 28 du RGPD. Il remet à votre DPO un accord de traitement des données, mène avec lui l'analyse d'impact selon la méthode de la CNIL, et traite les données sur Microsoft Azure en Union européenne, sans entraînement de modèle. - DPA article 28 - AIPD méthode CNIL - Microsoft Azure en UE - Validation humaine Recevoir le dossier de conformité[Écrire à notre référent RGPD](mailto:contact@agentrh.ai?subject=Questions%20RGPD%20AgentRH) Menée avec vous *DPA* **Accord de traitement**Article 28 du RGPD Annexé au contrat *REG* **Registre et sous-traitants**Article 30 du RGPD · Microsoft, UE Fourni *DSI* **Fiche technique**Architecture, permissions, sécurité Pour votre DSI ## AgentRH pour un DPO, en bref Rôles : Votre entreprise est responsable de traitement, AgentRH sous-traitant au sens de l'article 28 du RGPD. Hébergement : Microsoft Azure et Azure OpenAI Service, en zone Union européenne. Aucun transfert hors UE dans le cadre normal du service. Entraînement : Aucun. Les requêtes ne sont ni transmises à OpenAI ni conservées par Azure. Analyse d'impact : Menée avec votre DPO selon la méthode de la CNIL, dans un espace PIA dédié à votre entreprise. Décision : AgentRH prépare, l'équipe RH décide. Aucune décision ni évaluation d'un salarié par l'IA. Fin de contrat : Restitution ou suppression des données sous trente jours, certificat de suppression sur demande. ## Ce que contient *le dossier de conformité.* Remis à votre DPO avant le déploiement, pour instruire le projet sans repartir de zéro. **L'accord de traitement des données (DPA)**Finalités, catégories de données et de personnes, mesures de sécurité, sous-traitants ultérieurs, assistance, audits, restitution et suppression, notification des violations. **L'analyse d'impact (AIPD)**Un projet rédigé par AgentRH selon la méthode de la CNIL, dans un espace PIA dédié à votre entreprise. Votre DPO le complète sur les éléments métier et le valide. **Le registre et la liste des sous-traitants**AgentRH tient le registre des traitements effectués pour votre compte (article 30.2 du RGPD) et la liste à jour de ses sous-traitants ultérieurs. **La fiche technique pour la DSI**Architecture, permissions Microsoft Graph, chiffrement, cloisonnement, pour que DSI et DPO instruisent le dossier ensemble. [Voir la page DSI](https://agentrh.ai/ia-rh-dsi). ## RGPD : *qui fait quoi.* Les rôles sont fixés dans le contrat et détaillés dans l'accord de traitement des données. | Sujet | Ce qui est prévu | | --- | --- | | Rôles | Votre entreprise est responsable de traitement ; AgentRH est sous-traitant au sens de l'article 28 du RGPD et traite les données sur vos instructions documentées. | | Finalités | Préparer des brouillons de réponses et de documents RH, rechercher dans vos documents RH, trier la boîte mail RH, authentifier les utilisateurs et tracer leurs actions. À l'exclusion expresse de tout entraînement de modèle. | | Personnes concernées | Salariés, anciens salariés et candidats de l'entreprise ; utilisateurs RH habilités. | | Données | Identification des utilisateurs RH, e-mails RH traités et brouillons, documents RH indexés, questions et réponses, données utiles du SIRH, journaux techniques. | | Données sensibles | Aucun traitement spécifique au sens de l'article 9. Les documents indexés peuvent en contenir de façon incidente : aucun accès en clair par l'équipe AgentRH en dehors d'un support strictement nécessaire et tracé. | | Accès | AgentRH n'accède qu'aux documents que l'utilisateur peut déjà ouvrir ; votre DSI peut limiter l'accès à des sites SharePoint précis. | | Conservation | Durée fixée au contrat. En fin de contrat, restitution ou suppression sous trente jours, avec certificat sur demande. | ## Les engagements *inscrits au DPA.* Des délais précis, pour que votre DPO sache à quoi s'en tenir. **48 h**pour vous notifier une violation de données, au plus tard. **48 h**ouvrées pour vous transmettre la demande d'un salarié reçue par AgentRH. **30 j**de préavis avant tout nouveau sous-traitant ultérieur, avec droit d'objection. **30 j**pour restituer ou supprimer vos données en fin de contrat. **1**audit par an possible, et davantage en cas de violation avérée. ## Sous-traitants ultérieurs : *Microsoft, en Union européenne.* L'hébergement et l'intelligence artificielle reposent sur un seul fournisseur. | Sous-traitant | Service | Localisation | Garanties | | --- | --- | --- | --- | | Microsoft Ireland Operations Ltd. | Hébergement applicatif et bases de données (Microsoft Azure) | Union européenne | ISO 27001, ISO 27018, SOC 2 Type II, EU Data Boundary | | Microsoft Ireland Operations Ltd. | Intelligence artificielle (Azure OpenAI Service) | Union européenne, Data Zone UE | Pas d'entraînement sur les données, zéro conservation des requêtes | Les certifications citées sont celles de Microsoft pour ses services Azure. AgentRH vous informe de toute modification substantielle des conditions d'Azure OpenAI. ## AI Act et décision humaine : *AgentRH prépare, la RH décide.* Le règlement européen sur l'IA (AI Act) s'applique depuis le 2 août 2026. Les obligations propres aux systèmes à haut risque de l'annexe III, qui couvrent notamment le recrutement et les décisions touchant la relation de travail, s'appliqueront à partir du 2 décembre 2027. - **Des propositions, jamais des décisions**AgentRH rédige des brouillons de réponses et de documents. Il n'envoie rien seul. - **Aucune évaluation des personnes**Il ne note ni ne classe les salariés ou les candidats, et ne prend aucune décision sur un salarié. - **Des réponses traçables**Chaque envoi validé est historisé : qui a envoyé, quand, avec quelles sources. En détail : [sécurité, RGPD et AI Act](https://agentrh.ai/securite). **Ce qui reste à l'employeur**Avant le déploiement Information des salariés**Informer les salariés du traitement**Aucune information personnelle ne peut être collectée par un dispositif non porté à leur connaissance (article L1222-4). Comité social et économique**Informer le CSE avant l'introduction**Le CSE est informé, préalablement à leur introduction, des traitements automatisés de gestion du personnel (article L2312-38). Registre**Inscrire le traitement à votre registre**La documentation remise par AgentRH vous aide à préparer ces étapes. ## Questions fréquentes des DPO Faut-il une AIPD pour déployer un assistant IA dans un service RH ? Dans le cas d'AgentRH, oui : le traitement porte sur des données de salariés, placés en situation de dépendance vis-à-vis de leur employeur, et recourt à une technologie innovante, l'IA générative. Le DPA d'AgentRH prévoit donc une analyse d'impact (AIPD) avant tout déploiement large. AgentRH en rédige le projet selon la méthode de la CNIL, dans un espace dédié au client, et votre DPO la complète et la valide. Quel est le rôle d'AgentRH au sens du RGPD ? L'entreprise cliente est responsable de traitement ; AgentRH est sous-traitant au sens de l'article 28 du RGPD. Les obligations de chacun sont fixées dans l'accord de traitement des données (DPA) annexé au contrat. Où les données sont-elles hébergées et qui sont les sous-traitants ? Sur Microsoft Azure, en zone Union européenne, y compris les sauvegardes et les journaux. Le modèle d'IA est appelé via Azure OpenAI Service dans la Data Zone UE. Le sous-traitant ultérieur est Microsoft Ireland Operations Ltd. Tout ajout ou remplacement est notifié au client trente jours à l'avance, avec un délai d'objection. Les données RH servent-elles à entraîner l'IA ? Non. Les données des clients ne servent jamais à entraîner ou améliorer un modèle. Les requêtes envoyées à Azure OpenAI ne sont pas transmises à OpenAI et ne sont pas conservées par Azure : le mode zéro conservation est activé sur l'environnement de production. Combien de temps les données sont-elles conservées ? La durée de conservation est fixée au contrat. En fin de contrat, les données sont restituées dans un format structuré ou supprimées, au choix du client, dans un délai de trente jours, avec un certificat de suppression sur demande. Comment répondre à la demande d'accès ou d'effacement d'un salarié ? Le client, responsable de traitement, répond à la demande ; AgentRH l'assiste dans un délai compatible avec le délai légal d'un mois. Si un salarié s'adresse directement à AgentRH, sa demande est transmise au client sous 48 heures ouvrées. Que se passe-t-il en cas de violation de données ? AgentRH notifie le client au plus tard 48 heures après en avoir pris connaissance, avec la nature de la violation, ses conséquences probables et les mesures prises, puis coopère pour la notification à la CNIL et, le cas échéant, aux personnes concernées. AgentRH est-il un système d'IA à haut risque au sens de l'AI Act ? AgentRH rédige des propositions de réponses et de documents. Il n'envoie rien seul, ne prend aucune décision sur un salarié et n'évalue pas les personnes : l'équipe RH valide chaque envoi. Les conditions générales interdisent d'utiliser le service pour prendre des décisions produisant des effets juridiques sur un salarié. Que doit faire l'employeur de son côté ? Informer les salariés du traitement, inscrire le traitement à son registre et, dans les entreprises dotées d'un comité social et économique, informer le CSE préalablement à l'introduction d'un traitement automatisé de gestion du personnel (article L2312-38 du Code du travail). La documentation remise par AgentRH aide à préparer ces étapes. Le client peut-il auditer AgentRH ? Oui. Le DPA prévoit un audit par le client ou un tiers mandaté, une fois par année civile avec un préavis de trente jours, et davantage en cas de violation avérée ou de demande d'une autorité de contrôle. Le client peut aussi demander la documentation de conformité disponible. ## Un projet d'IA RH se décide à plusieurs. Ce qui intéresse les autres membres du projet. - [DRH**Redonner du temps stratégique à votre équipe.**L'IA pour les DRH](https://agentrh.ai/ia-pour-les-drh) - [RRH et gestionnaires**Ne plus chercher la réponse, la valider.**L'IA pour les RRH](https://agentrh.ai/ia-pour-les-rrh) - [DSI**Une application Teams, sans projet IT.**Architecture et sécurité](https://agentrh.ai/ia-rh-dsi) ## Un dossier prêt. *Une décision qui reste humaine.* Recevez le dossier de conformité, ou échangez avec notre référent RGPD à contact@agentrh.ai. Recevoir le dossier de conformité[Écrire à notre référent RGPD](mailto:contact@agentrh.ai?subject=Questions%20RGPD%20AgentRH) --- Version HTML : https://agentrh.ai/ia-rh-dpo · Index pour les IA : https://agentrh.ai/llms.txt · Contact : contact@agentrh.ai