Un assistant d'IA peut-il lire directement notre logiciel de facturation ?

Techniquement, cela se fait par une connexion. Avant, il faut savoir quelles données sont transmises, où elles sont traitées et qui peut les lire. Le fournisseur de l'assistant est un sous-traitant si des données personnelles passent par lui, et cela doit être encadré par contrat.

Que faut-il exiger d'un prestataire avant de brancher un outil ?

Une réponse écrite sur les lieux de traitement et de conservation des données, sur l'usage des données pour entraîner des modèles, sur l'export et la suppression des données, et sur le contrat qui encadre le traitement.

Faut-il une analyse d'impact pour brancher un outil ?

Cela dépend du risque. La CNIL indique qu'elle est obligatoire quand le traitement crée un risque élevé, selon une liste qu'elle publie ou deux critères parmi neuf. Un branchement sur des données personnelles de clients ou de salariés doit être examiné à ce titre.

Relier l'IA à ses logiciels de gestion dans une PME

Un assistant seul, dans une fenêtre de navigateur, ne voit que ce qu'on lui copie. Relié à un logiciel de gestion, il peut lire des commandes, des factures ou des fiches clients. Le gain de temps est réel, mais le risque change d'échelle : les données ne sont plus copiées une fois, elles circulent en continu. Ce guide donne les questions à poser, avant de relier quoi que ce soit.

Ce que le branchement permet

Préparer des relances à partir des factures impayées, sans recopier les montants à la main.
Résumer l'historique d'un dossier client avant un appel.
Classer des documents entrants : devis, factures fournisseurs, demandes.
Produire un tableau de suivi à partir d'un export du logiciel.

Ces usages sont à mettre en place un par un, avec une mesure. Le branchement d'un outil complet à tous les services est une étape bien plus tardive.

Ce que le branchement ne doit pas permettre

Donner à l'assistant un droit d'écriture sur les données sans relecture humaine.
Laisser l'outil transmettre des données à un service que l'entreprise n'a pas identifié.
Donner accès à des données de santé, à des pièces d'identité ou à des données bancaires sans cadre précis.

Les questions à poser au fournisseur

Où sont traitées et conservées les données ? Dans quel pays, chez quel hébergeur ?
Les données servent-elles à entraîner un modèle ? Sinon, comment cela est-il empêché par contrat ?
Quelles données sont transmises exactement ? Un export précis, avec la liste des champs.
Comment récupérer et supprimer les données ? Dans quel délai, sous quelle forme ?
Qui peut accéder aux données chez le fournisseur ? Et sur quelle base ?
Le contrat encadre-t-il le traitement de données personnelles ? Demandez le texte signé.

La CNIL indique qu'un prestataire qui traite des données pour le compte de l'entreprise est un sous-traitant, et que ces sous-traitants tiennent un registre de leurs propres activités. Le registre de l'entreprise, lui, doit décrire les destinataires des données, selon la page de la CNIL sur le registre. Ce point est détaillé dans la page RGPD et registre.

Sécurité et accès

Donnez à l'assistant un compte dédié, avec les seuls droits nécessaires à la tâche. Un compte personnel de dirigeant, qui peut tout modifier, ne doit pas servir à l'outil. Gardez une trace des accès, et révoquez le compte quand l'usage s'arrête.

Les recommandations de sécurité de l'ANSSI sur les systèmes d'IA générative existent, mais leur contenu n'a pas été lu pour ce guide : voir la source officielle de l'ANSSI avant de fixer les règles techniques.

L'export des données

Avant de brancher, vérifiez que vous pouvez sortir vos données du logiciel de gestion comme de l'assistant. Une donnée qui ne peut être ni exportée, ni supprimée, est une donnée piégée. La CNIL rappelle que les personnes concernées gardent leurs droits sur les données traitées en production, y compris les sorties du système. Cela suppose de savoir où ces sorties sont conservées.

Une analyse d'impact si le risque est élevé

La CNIL indique qu'une analyse d'impact est obligatoire quand un traitement présente un risque élevé pour les personnes, selon une liste qu'elle publie ou selon deux critères sur neuf. Le profilage et les données sensibles en font partie. Un branchement qui permet de classer des clients ou des salariés entre probablement dans ce cadre : faites l'analyse avant la mise en service.

Pour commencer

Choisissez un seul export, celui qui ne contient que des données peu sensibles, par exemple la liste des produits. Faites-le transmettre à l'outil dans un environnement de test, puis mesurez le temps gagné. Ajoutez les données clients seulement après les réponses écrites du fournisseur. Pour le choix d'un assistant, la page règles pour les salariés rappelle le cadre commun, et limites de l'IA précise ce qui reste de la responsabilité humaine.