IA et marketing CRM : les questions à poser à votre prestataire avant de signer

Maddyness consacre un article aux implications de l'IA Act pour le marketing et le CRM. Le détail des obligations et de leur calendrier relève du texte lui-même et des autorités compétentes, et nous invitons à s'y référer directement. Ce qui est actionnable aujourd'hui pour une entreprise, c'est la manière dont elle encadre ses prestataires : agence, éditeur de CRM, plateforme d'automatisation.

La première étape ne coûte rien : cartographier les endroits où de l'IA intervient déjà dans votre marketing. Scoring de prospects, segmentation automatique, personnalisation de messages, chatbot de support, génération de contenus, priorisation d'appels commerciaux. Beaucoup d'entreprises découvrent que des fonctions d'IA sont activées par défaut dans des outils qu'elles utilisent depuis des mois.

Posez ensuite à chaque prestataire une série de questions simples et écrites. Quelles données personnelles sont traitées et pour quelle finalité ? Où sont-elles hébergées ? Sont-elles utilisées pour entraîner ou améliorer un modèle, et si oui pouvez-vous vous y opposer ? Quels sous-traitants interviennent dans la chaîne ? Une réponse floue sur l'un de ces points est en soi une information.

Sur le plan documentaire, demandez ce qui existe déjà : description fonctionnelle du système, registre des traitements côté prestataire, politique de conservation des données, procédure en cas de violation de données, et modalités d'exercice des droits des personnes. Ces éléments sont utiles quel que soit le calendrier réglementaire, et leur absence signale un fournisseur peu structuré.

Côté contrat, trois clauses méritent une attention particulière. Un accord de sous-traitance conforme au cadre de protection des données, avec la liste des sous-traitants ultérieurs et une obligation d'information en cas de changement. Une clause de coopération en cas de contrôle ou de demande d'une autorité. Une clause de réversibilité garantissant la restitution et l'effacement de vos données en fin de contrat.

Attention également à la gouvernance interne des usages. Fixez une règle écrite indiquant quelles données peuvent être saisies dans des outils d'IA grand public, et lesquelles ne doivent jamais l'être : données clients, données de santé, informations contractuelles, éléments couverts par le secret des affaires. Cette note d'une page évite l'essentiel des incidents dans une PME.

Enfin, maintenez un contrôle humain sur les décisions qui affectent des personnes. Si un score automatique conditionne une offre, une relance ou un refus, prévoyez un point de contrôle humain et conservez une trace de la logique appliquée. C'est une bonne pratique de gestion du risque, indépendamment de l'évolution du cadre réglementaire.

Prochaine étape : envoyez à vos prestataires actuels un questionnaire écrit reprenant ces points, et intégrez les mêmes questions à vos prochains appels d'offres. Pour le cadre applicable, référez-vous aux publications de la CNIL et au portail européen sur la stratégie numérique.