IA et données clients : qui est responsable, toi ou ton agence ?

Le marketing CRM assisté par IA recouvre des usages très concrets : scoring d'appétence, segmentation automatique, personnalisation d'objets d'e-mails, priorisation des relances, prédiction de churn. Ces traitements portent sur des données personnelles et produisent des décisions qui affectent des personnes réelles, ce qui suffit à en faire un sujet de conformité, indépendamment de la qualification exacte retenue par le règlement européen.

Un point de vocabulaire vaut d'être rappelé, car il détermine tout le reste. Dans la plupart des configurations, l'entreprise annonceur est celle qui détermine les finalités du traitement : c'est elle qui décide de segmenter ses clients et pour quoi faire. L'agence ou l'éditeur d'outil agit alors pour son compte. Autrement dit, en cas de plainte d'un client ou de contrôle, c'est vers toi qu'on se tourne d'abord.

Cela ne veut pas dire que ton prestataire est hors-jeu. Il a ses propres obligations et, surtout, tu peux et tu dois les contractualiser. Un contrat de sous-traitance en bonne et due forme, précisant la nature des données, les finalités autorisées, les durées de conservation, les mesures de sécurité et les conditions de restitution ou de suppression en fin de mission, est le socle minimal.

Sur la partie IA spécifiquement, ajoute trois exigences. La première : la localisation et l'identité des outils utilisés, y compris les services tiers auxquels tes données transitent. La deuxième : l'interdiction d'utiliser tes données clients pour entraîner des modèles au bénéfice d'autres clients de l'agence. La troisième : la traçabilité, c'est-à-dire la capacité à expliquer sur quels critères une segmentation ou un score a été produit.

Ce dernier point est souvent négligé et c'est pourtant le plus utile en pratique. Si un client te demande pourquoi il reçoit telle offre ou pourquoi il a été exclu d'une opération, tu dois pouvoir répondre. Une agence qui ne sait pas expliquer la logique de ses modèles te met en difficulté sans le vouloir.

Le règlement européen sur l'IA construit une approche par niveaux de risque et impose davantage d'obligations aux usages les plus sensibles. Le détail de ce qui relève ou non d'une catégorie donnée pour le marketing relationnel fait l'objet de lectures différentes, et l'article de Maddyness pose précisément la question sans que la réponse soit établie. La posture prudente consiste donc à documenter tes usages dès maintenant plutôt qu'à attendre une clarification.

Concrètement, tiens un inventaire simple : quels traitements automatisés tournent sur tes données clients, avec quel outil, opéré par qui, et quel niveau d'intervention humaine. Ce document de quelques pages te sert à la fois pour la conformité, pour interroger une agence en consultation et pour changer de prestataire sans perdre la main sur tes propres données.

Enfin, choisis tes prestataires en conséquence. Une agence qui documente ses traitements, accepte une clause d'audit et sait nommer ses sous-traitants techniques est un partenaire moins risqué qu'une agence qui balaie le sujet. C'est un critère de sélection au même titre que la créativité ou le prix.