Une collectivité qui déploie une IA conversationnelle reste responsable de traitement. Voici les points de vigilance concrets, sans jargon juridique inutile.

La collectivité reste responsable de traitement

Confier son accueil téléphonique à une IA ne transfère pas la responsabilité RGPD à l'éditeur de la solution. La collectivité reste responsable de traitement ; l'éditeur agit comme sous-traitant. Cette distinction, souvent négligée, doit être clarifiée contractuellement avant tout déploiement.

Où sont hébergées les données ?

C'est la première question à poser. Un service public numérique doit privilégier un hébergement en France ou, à défaut, dans l'Union européenne, sous un cadre juridique clair. Chez Hello Marianne, l'ensemble de l'infrastructure est conçu et hébergé en France, par défaut et non en option.

Minimisation et rétention des données

Un assistant vocal pour mairie n'a pas besoin de conserver indéfiniment chaque échange. Les bonnes pratiques incluent :

• L'anonymisation des échanges vocaux dès que possible.
• Une durée de rétention définie et documentée, proportionnée à la finalité (qualité de service, suivi de dossier).
• Des droits d'accès, de rectification et d'effacement réellement exerçables par les citoyens.

Quel modèle d'IA, et pour quelle souveraineté ?

Le choix du modèle d'IA conversationnelle a des implications directes en matière de conformité et de souveraineté numérique. Un modèle français ou européen, comme Mistral, permet de garder la maîtrise technologique et de rester aligné avec l'AI Act européen, plutôt que de dépendre d'infrastructures extra-européennes soumises à d'autres cadres juridiques.

Le garde-fou qui compte le plus : elle ne bluffe jamais

Au-delà du RGPD au sens strict, une IA pour le secteur public doit intégrer un principe simple : au moindre doute, elle transfère à un agent humain plutôt que d'inventer une réponse. Chaque échange doit rester traçable et vérifiable. C'est un principe de conformité autant qu'un principe de confiance citoyenne.

Une checklist avant de signer

• L'hébergement est-il en France ou en UE, avec des garanties écrites ?
• Le contrat précise-t-il clairement les rôles de responsable de traitement et sous-traitant ?
• Les durées de conservation sont-elles définies et documentées ?
• Le transfert humain est-il systématique en cas de doute ?
• Le modèle d'IA utilisé est-il identifié et son origine documentée ?

Pour le détail complet de notre approche, consultez notre page conformité et souveraineté.