IA, RGPD et règlement sur l'IA : 10 points de contrôle pour agences

Dix points de contrôle pour les agences qui utilisent l'IA avec des données clients : RGPD, transparence de l'AI Act, consentement WhatsApp, Royaume-Uni, CNIL.

Une agence qui utilise l'IA avec des données clients a deux textes à lire : le RGPD, applicable depuis 2018, et le règlement européen sur l'IA (AI Act), dont les règles de transparence ont commencé à s'appliquer le 2 août 2026. L'essentiel du travail n'est pas de la rédaction juridique. Ce sont dix contrôles que vous pouvez faire en un après-midi avant de coller une demande dans un chatbot, d'activer un assistant d'IA ou de laisser un outil rédiger des messages aux acquéreurs. Ce guide est une liste de contrôle RGPD et IA pour les agents immobiliers, avec des exemples concrets et une courte section pour chacun de six marchés. Ce sont des informations générales, pas un avis juridique. Avant de vous appuyer sur un point, vérifiez-le auprès d'un conseil en protection des données ou de votre autorité.

Si vous hésitez encore sur les tâches à confier à l'IA, commencez par l'IA pour les agents immobiliers. Cette page suppose que vous avez une tâche en tête et voulez l'employer en sécurité.

Les 10 points de contrôle avant d'utiliser l'IA avec des données clients

Nommez la tâche et les données. Écrivez une ligne : « Rédiger une réponse à la demande d'un acquéreur, avec son nom, son numéro de téléphone et le bien demandé. » Si vous ne pouvez pas dire quelles données personnelles entrent, vous ne pouvez rien vérifier d'autre.
Choisissez une base légale. Selon l'article 6 du RGPD, il vous faut un motif légal pour chaque usage. Répondre à une demande qu'on vous a envoyée repose en général sur des mesures prises à la demande de la personne ou sur votre intérêt légitime à répondre. La prospection de contacts anciens demande un examen à part (point 7). Notez la base à côté de la tâche, pour que le choix soit délibéré.
Mettez à jour votre politique de confidentialité. Les articles 13 et 14 vous obligent à dire aux personnes ce que vous faites de leurs données et qui les reçoit. Si des outils d'IA traitent les demandes, votre notice doit le dire en mots simples, en précisant quelles catégories de prestataires reçoivent les données.
Signez un contrat de sous-traitance avec l'éditeur de l'IA. Quand un prestataire traite des données personnelles pour vous, l'article 28 du RGPD exige un contrat écrit qui fixe ce qu'il peut en faire. Demandez l'accord de traitement des données avant d'envoyer quoi que ce soit de réel. Vérifiez quels sous-traitants ultérieurs il emploie, par exemple les sociétés qui fournissent les modèles d'IA sous-jacents. Un compte personnel de chatbot n'en tient pas lieu, car aucun contrat ne couvre les données clients.
Vérifiez où voyagent les données. De nombreux services d'IA tournent sur des serveurs hors de l'UE ou du Royaume-Uni. Le chapitre V du RGPD n'autorise ces transferts qu'avec un mécanisme valide, par exemple une décision d'adéquation ou des clauses contractuelles types. Demandez à l'éditeur quels pays traitent les données et quel mécanisme les couvre.
Envoyez moins de données. La minimisation des données (article 5, paragraphe 1, point c) veut que l'outil ne reçoive que ce dont la tâche a besoin. Pour rédiger une confirmation de visite, l'IA a besoin d'un prénom, de l'adresse et d'une heure. Elle n'a pas besoin des revenus de l'acquéreur, de son numéro de pièce d'identité ni des remarques de santé dans vos notes. Retirez-les avant de coller, ou gardez-les dans un champ que l'outil ne peut pas lire.
Séparez le consentement à la prospection. L'envoi de messages promotionnels par e-mail, SMS ou messagerie relève des règles ePrivacy (directive 2002/58/CE) telles que transposées dans chaque pays, en plus du RGPD. Au Royaume-Uni, ce sont les règles PECR, et les recommandations de l'ICO disent que les règles sur la prospection électronique s'appliquent aux messages directs sur les réseaux sociaux ou à tout message similaire stocké électroniquement. Elles précisent aussi que vous ne devez pas envoyer d'e-mails ou de SMS promotionnels à des particuliers sans consentement spécifique, et que le « soft opt-in » pour les clients existants ne couvre ni les nouveaux contacts ni les listes achetées. Un acquéreur qui vous écrit sur WhatsApp à propos d'un appartement n'a pas accepté une lettre d'information mensuelle, qu'elle soit écrite par une personne ou par une IA.
Fixez une durée de conservation. La limitation de la conservation (article 5, paragraphe 1, point e) veut que vous ne gardiez pas de données identifiables plus longtemps que nécessaire. Décidez combien de temps vivent les brouillons d'IA, les historiques de discussion et les données de demandes, et supprimez-les à l'échéance. Demandez à l'éditeur combien de temps il conserve vos saisies et s'il peut les supprimer sur demande.
Soyez prêt aux demandes d'exercice de droits. Les personnes peuvent demander l'accès, la rectification, l'effacement et l'opposition. Si des données clients se trouvent dans un outil d'IA, vous devez pouvoir les retrouver et agir. Testez une fois avec un contact fictif. Rappelez-vous aussi l'article 22 : une décision prise uniquement par des moyens automatisés qui affecte significativement une personne, comme le rejet automatique d'un locataire, est soumise à des restrictions supplémentaires. Gardez un humain dans la boucle.
Mettez un humain aux commandes et formez-le. L'agent lit et valide ce qui part, et une personne désignée est responsable de la politique d'IA et forme l'équipe. L'AI Act ajoute une obligation voisine de maîtrise de l'IA à l'article 4, traitée ci-dessous.

Ce que le règlement sur l'IA demande à une agence

L'AI Act (règlement (UE) 2024/1689) régule surtout les sociétés qui construisent des systèmes d'IA. Une agence immobilière qui utilise un outil prêt à l'emploi est un « déployeur », et ses obligations sont plus légères. Le service d'assistance de la Commission européenne donne les dates : la maîtrise de l'IA et les interdictions s'appliquent depuis le 2 février 2025, les règles de transparence de l'article 50 à partir du 2 août 2026, avec une transition jusqu'au 2 décembre 2026 pour certains fournisseurs dont les systèmes générant du contenu synthétique étaient déjà sur le marché. Le Digital Omnibus sur l'IA, en vigueur depuis le 27 juillet 2026 selon la Commission, a reporté les règles sur les systèmes à haut risque de l'annexe III au 2 décembre 2027. Il n'a pas déplacé la date de début de l'article 50, le 2 août 2026. Les dates sont modifiées de temps à autre : confirmez-les sur la page de la Commission sur l'AI Act avant de vous y fier.

Article 4, maîtrise de l'IA. Les fournisseurs et les déployeurs doivent prendre des mesures pour soutenir la maîtrise de l'IA de leur personnel et des autres personnes qui utilisent des systèmes d'IA pour leur compte, en tenant compte de leurs connaissances, de leur expérience et du contexte. Le texte modifié ajoute que cela n'exige pas de garantir un niveau précis de maîtrise pour chaque individu. En pratique : une courte règle écrite sur ce que le personnel peut coller dans les outils d'IA, et une trace que vous l'avez présentée à l'équipe.
Article 50, transparence. Les systèmes destinés à interagir directement avec des personnes doivent être conçus pour que les personnes soient informées qu'elles ont affaire à une IA, sauf si c'est évident. Cette obligation pèse surtout sur le fournisseur, mais une agence qui place un chatbot sur son site ou sa ligne WhatsApp doit vérifier que l'information apparaît. Les déployeurs de systèmes qui génèrent ou manipulent du contenu image, audio ou vidéo constituant un hypertrucage doivent indiquer qu'il est artificiel, et un texte généré par IA publié pour informer le public exige une mention, sauf si une personne l'a relu et en assume la responsabilité éditoriale. Une image de home staging virtuel ou une vidéo synthétique d'un bien est le cas à surveiller. Savoir si une image donnée en relève est une question juridique : signalez donc clairement les images d'IA. Les règles de marché pour les visuels immobiliers sont dans notre guide du home staging virtuel et de la vidéo immobilière par IA.
Usages à haut risque. Les outils qui notent des personnes, comme la sélection de locataires, peuvent relever de catégories à haut risque. Prenez conseil avant d'en utiliser un.

L'AI Act ne remplace pas le RGPD. Les deux s'appliquent, et l'autorité de protection des données reste votre premier interlocuteur pour les questions de données personnelles.

Le cas du Royaume-Uni

L'AI Act est un règlement de l'UE et ne s'applique pas au Royaume-Uni lui-même. Au Royaume-Uni s'appliquent le UK GDPR et le Data Protection Act 2018, sous la supervision de l'Information Commissioner's Office (ICO). Les règles de prospection britanniques figurent dans le PECR, comme au point 7.

Marché par marché

France : la CNIL

La CNIL a publié le 7 février 2025 deux recommandations sur l'IA et le RGPD. Elles disent que lorsque des données personnelles servent à entraîner un modèle et peuvent être mémorisées, les personnes doivent être informées, et qu'une information générale peut suffire lorsqu'un contact direct est impossible. Pour une agence, la leçon pratique est de demander aux éditeurs si les données de vos clients servent à entraîner leurs modèles.

Royaume-Uni : l'ICO

Les recommandations de l'ICO sur l'IA et la protection des données ont été mises à jour pour la dernière fois en mars 2023 et sont en cours de révision après le Data (Use and Access) Act. Son chapitre sur la transparence renvoie à un autre document de l'ICO sur l'explication des décisions assistées par IA. Partez de là si un éditeur ne peut pas expliquer comment son outil produit un résultat.

Allemagne : les autorités des Länder et la DSK

Les entreprises privées comme les agences immobilières sont supervisées par l'autorité de protection des données de leur Land, en vertu du § 40 de la loi fédérale sur la protection des données, et non par le commissaire fédéral (BfDI). Les autorités se coordonnent au sein de la Datenschutzkonferenz (DSK), qui a publié le 6 mai 2024 une « Orientierungshilfe » sur l'intelligence artificielle et la protection des données. C'est une recommandation (Orientierungshilfe), pas du droit contraignant.

Espagne : l'AEPD

L'AEPD a publié le 13 février 2020 un guide sur l'adaptation au RGPD des traitements qui utilisent l'IA. Il couvre la base légale, la transparence, les droits, les décisions automatisées, la minimisation des données et la question de savoir si les outils d'IA impliquent des transferts internationaux. Il a été écrit avant l'AI Act, donc ne l'utilisez que pour les questions de RGPD.

Italie : le Garante

Le Garante tient une page dédiée à l'IA qui rassemble ses recommandations et décisions, dont ses indications sur la protection des données personnelles face au web scraping, avec le texte de l'AI Act et des documents du CEPD. L'avis 28/2024 du CEPD du 18 décembre 2024, demandé par l'autorité irlandaise, porte sur les aspects de protection des données des modèles d'IA et vaut la lecture si vous choisissez entre des éditeurs.

Pologne : l'UODO

L'UODO a publié le 6 août 2026 « Avant de déployer un outil d'IA, vérifiez s'il respecte les principes du RGPD ». Il propose quatre séries de questions, la première pour les petites et moyennes entreprises qui utilisent des systèmes d'IA prêts à l'emploi. L'UODO précise que ces questions n'établissent pas la conformité et n'ont pas à être transmises à l'autorité. Elles font un bon ordre du jour pour un appel avec un éditeur.

Exemple concret : un brouillon de relance WhatsApp

Un agent veut que l'IA rédige les réponses aux demandes de portail et les envoie sur WhatsApp. Appliquez les dix contrôles. La tâche : répondre aux demandes avec nom, numéro et bien. La base : mesures prises à la demande de l'acquéreur. La notice : mise à jour pour mentionner les outils d'IA. L'éditeur : contrat de sous-traitance signé, sous-traitants et pays vérifiés. La minimisation : le champ de notes avec le plan de financement d'un acquéreur est exclu. La prospection : les réponses à la demande partent, pas les lettres d'information, sauf si l'acquéreur a accepté. La conservation : brouillons supprimés après 90 jours. Les droits : un contact fictif retrouvé puis effacé. L'humain : l'agent valide chaque message. Pour le processus de relance lui-même, voyez la relance IA sur WhatsApp. Si vous connectez un assistant à votre CRM, les mêmes contrôles s'appliquent à ce qu'il peut lire, comme dans ChatGPT et Claude pour les agents immobiliers.

Ce que fait Formule, et ce qu'elle ne prétend pas

Le fournisseur du service en libre-service de Formule est Formule Labs Limited, société enregistrée en Irlande (CRO 815470), selon la décision du 10 octobre 2026. Sa politique de confidentialité la désigne comme responsable du traitement et donne privacy@formule.io pour les questions et les demandes relatives aux données. La politique nomme aussi les services derrière les fonctions d'IA, pour que vous voyiez les prestataires concernés.

Really, l'agent IA de Formule, rédige et l'agent valide. Selon la documentation de Formule, rien n'est envoyé depuis WhatsApp avant que l'agent n'approuve, et les modifications de Really sur vos données attendent l'approbation de l'agent. La connexion de WhatsApp exige une étape de consentement dans laquelle l'agent accepte que l'assistant lise les conversations de leads. Les discussions dans l'application avec Really ne sont visibles que de l'utilisateur, pas du responsable.

Cet article ne fait aucune déclaration sur des certifications, des régions d'hébergement ou des accords de traitement des données. Autant que nous puissions le vérifier, la politique de confidentialité publique et la documentation de Formule ne les indiquent pas : demandez à privacy@formule.io le contrat de sous-traitance et la localisation des données avant d'y mettre des données clients, comme avec n'importe quel éditeur. Vous pouvez voir comment Formule fonctionne sur votre marché sur la page Formule ou démarrer gratuitement.

Tenez une fiche d'une page

Écrivez les dix réponses sur une page datée par tâche d'IA, et relisez-la chaque fois que l'outil ou la loi change. C'est ce que vous montrez à un client ou à une autorité qui demande comment vous utilisez l'IA.