E-mail, IA et la loi : ce que le contenu généré par IA et la personnalisation impliquent sous le RGPD et l'AI Act
Faire rédiger une newsletter par un modèle d'IA n'est pas en soi un problème au regard du RGPD ou de l'AI Act. Ce qui compte, c'est ce que vous fournissez au modèle (des données clients ?), la façon dont vous automatisez les décisions concernant des destinataires individuels (profilage) et votre transparence sur ce qui se passe. En pratique, cela se résume à trois questions : quelles données personnelles vont vers quel système, sur quelle base personnalisez-vous, et un destinataire peut-il comprendre et s'opposer. Cet article présente le côté pratique ; ce n'est pas un avis juridique, et les obligations précises dépendent de votre situation.
Deux lois, deux questions
Le RGPD concerne les données personnelles : tout ce que vous traitez au sujet d'une personne identifiable. L'AI Act concerne les systèmes d'IA eux-mêmes, classés par niveau de risque. La rédaction de textes marketing et la recommandation de produits relèvent, selon notre compréhension, de la catégorie aux obligations limitées ou minimales. Pour l'e-mail, c'est donc généralement le RGPD qui fait le travail, avec l'AI Act en complément pour la transparence.
Le contenu généré par IA
Ce qui ne change pas
Un objet ou une description de produit rédigé par un modèle est simplement votre texte. Vous en êtes responsable, comme pour le texte d'un rédacteur. Aucune loi ne vous oblige à indiquer sous une newsletter qu'un modèle a participé à la rédaction, tant qu'un humain a relu le texte et que le message vient de vous. Les règles de transparence de l'AI Act visent surtout les systèmes qui interagissent directement avec des personnes (un chatbot doit se présenter comme tel) et les images, sons et vidéos synthétiques.
Ce qui change
Les données d'entrée. Celui qui demande à un service d'IA externe « rédige un e-mail pour ce client » en y collant le nom, l'historique d'achats et l'adresse transmet des données personnelles à un sous-traitant. Ce n'est permis qu'avec un contrat de sous-traitance, une base légale et, si ce service traite hors de l'UE, une base de transfert valable. De nombreux services d'IA utilisent en outre les entrées par défaut pour entraîner leurs modèles, sauf si vous le désactivez. La règle pratique : rédigez vos textes avec l'IA sans données clients (utilisez des variables), et laissez la personnalisation à votre outil de campagne, qui traite déjà les données sous contrat.
La personnalisation automatique
C'est là que se trouve le vrai travail. Dès qu'un système décide par destinataire quel contenu, quelle offre ou quel prix il voit en fonction de son comportement, il s'agit de profilage au sens du RGPD. Ce n'est pas interdit, mais cela exige :
- Une base légale. Pour les clients existants et une segmentation simple (a acheté du mobilier de jardin, reçoit des nouvelles jardin), l'intérêt légitime est généralement défendable. Pour des profils approfondis combinant le comportement sur plusieurs canaux, le consentement devient probablement la voie la plus sûre.
- La transparence. Votre politique de confidentialité doit mentionner que vous profilez, dans quel but, et que le destinataire peut s'y opposer. En marketing, ce droit d'opposition est absolu : si quelqu'un dit « cessez de me profiler à des fins marketing », vous devez vous y conformer.
- Des limites aux décisions entièrement automatisées. Le RGPD protège les personnes contre les décisions sans intervention humaine qui les affectent de manière significative. Une recommandation de produit différente dans une newsletter n'affecte généralement personne de manière significative ; un système qui affiche automatiquement à certains clients un prix plus élevé ou aucune option de crédit peut l'être. En cas de doute : faites valider la règle par un humain, pas chaque e-mail individuel.
Données sensibles : ici, on s'arrête
Ne laissez jamais un modèle segmenter sur ce que le RGPD appelle les catégories particulières : santé, religion, opinions politiques, orientation sexuelle, origine ethnique. Pas même indirectement : une pharmacie qui laisse déduire des achats un segment « probablement diabétique » traite des données de santé à l'insu du client. Les modèles d'IA excellent précisément dans ce genre de déductions, et c'est la raison de limiter délibérément les données d'entrée.
Une approche praticable pour une entreprise ordinaire
- Rédigez avec l'IA, mais sans données personnelles dans l'instruction. Des variables comme {prénom} et {dernier_produit} ne sont remplies qu'à l'envoi, dans votre outil de campagne.
- Faites relire chaque texte par un humain avant l'envoi. Les modèles inventent des caractéristiques de produits, des prix et des conditions.
- Limitez la personnalisation à des segments que vous pouvez expliquer à un client : « vous avez acheté X, donc vous recevez des nouvelles de X ». Notre page sur la segmentation de liste décrit comment mettre cela en place sans boîte noire.
- Mettez à jour la politique de confidentialité : quelles données, quelle finalité, quels sous-traitants, quel droit d'opposition.
- Choisissez des sous-traitants qui traitent dans l'UE et proposent un contrat de sous-traitance. Pour l'envoi lui-même, une plateforme e-mail européenne est la façon la plus simple d'éviter la question du transfert.
Un exemple
Une boutique de pièces de vélo veut un paragraphe d'ouverture différent par client. La mauvaise méthode : envoyer chaque client, avec son nom et son historique de commandes, à un service d'IA externe et faire générer un texte par personne. La méthode praticable : rédiger avec l'IA cinq variantes (vélo de route, VTT, vélo de ville, électrique, inconnu), les faire relire par un humain, et laisser l'outil de campagne choisir par client la variante selon le segment auquel il appartient. Aucune donnée personnelle ne sort, la règle est explicable, et les préférences offrent une option de désactivation du contenu personnalisé.
Questions fréquentes
Dois-je mentionner qu'une IA a rédigé le message ?
Pour un texte marketing ordinaire relu par un humain, ce n'est pas obligatoire selon notre compréhension. Vous êtes libre de le faire. Pour un chatbot qui répond aux clients, c'est différent.
L'AI Act change-t-il quelque chose à mon outil de newsletter ?
Dans la mesure où cet outil aide à rédiger ou propose des segments, il relève de la catégorie légère. Demandez toutefois à votre fournisseur quelles données ses fonctions d'IA utilisent et où elles sont traitées. Vous lirez plus sur la gestion responsable des campagnes sur notre page consacrée au marketing par e-mail.