RGPD et AI : aucune contradiction — à condition de bien s'y prendre

"Avons-nous le droit d'utiliser l'AI ?" est la question que nous entendons le plus souvent de la part des entreprises européennes. La réponse est : oui. Mais correctement.

Le malentendu

De nombreuses entreprises pensent que l'AI et le RGPD sont incompatibles. C'est inexact. Le RGPD n'interdit pas l'usage de l'AI — il exige que cet usage soit transparent, finalisé et sécurisé. C'est précisément ce que l'on peut construire.

Privacy by Design : le principe

Chez Domani AI, nous ne construisons pas d'abord un produit pour y coller ensuite la protection des données. La protection des données fait partie de l'architecture — dès la toute première ligne de code.

Mesures concrètes :

**1. Aucun cookie de tracking** Nous utilisons Plausible Analytics plutôt que Google Analytics. Plausible est hébergé dans l'UE, ne dépose aucun cookie et ne collecte aucune donnée personnelle. Nous voyons malgré tout quelles pages fonctionnent.

**2. Minimisation des données** Nous ne stockons que ce dont nous avons besoin. Les conversations du chatbot conservent le contenu, mais les données personnelles sont anonymisées automatiquement une fois la durée de consentement écoulée.

**3. Anonymisation automatique** Plutôt que de supprimer les données (ce qui détruit l'analyse), nous anonymisons les PII : "Max Mustermann" devient "Contact_A7B3". Les conversations restent exploitables pour l'analytics, mais ne peuvent plus être rattachées à une personne.

**4. Gestion du consentement** Avant tout traitement par l'AI, nous recueillons un consentement clair. Aucun dark pattern, aucune case précochée, aucune bannière cookie déroutante.

**5. Transparence** Notre politique de confidentialité indique clairement : quelles données, pourquoi, combien de temps, et par qui elles sont traitées. Y compris tous les sous-traitants (Anthropic, OpenAI, Supabase, Vercel).

CCT et transferts internationaux de données

Oui, nous utilisons des services américains (Anthropic, OpenAI, Vercel). C'est conforme au RGPD dès lors que :

• des Clauses Contractuelles Types (CCT) sont en place
• le traitement a une finalité légitime
• l'utilisateur est informé

Nous nous en assurons. Pour chaque sous-traitant.

Conclusion

Le RGPD et l'AI ne s'excluent pas — mais cela suppose une ingénierie intentionnelle. Qui traite la protection des données comme une fonctionnalité plutôt que comme un socle aura toujours des problèmes. Qui s'y prend bien dès le départ bâtit la confiance et évite des reprises coûteuses.