Mail IA et RGPD, ce qu’il faut vérifier avant d’acheter

Ce que chaque éditeur publie réellement

Deux motifs méritent attention. Un éditeur peut publier un DPA irréprochable et tout traiter aux États-Unis, c'est Superhuman. Et un éditeur peut être domicilié dans l'UE et refuser de nommer ses sous-traitants, c'est Spark, dont le DPA dit que la liste complète n'est pas publique.

Ce qu'un DPA doit réellement dire

L'article 28, paragraphe 3 du RGPD n'est pas optionnel et reste assez court pour vérifier un contrat vous-même. Le contrat doit obliger le sous-traitant à: ne traiter que sur instruction documentée, y compris pour les transferts; imposer la confidentialité à son personnel; appliquer les mesures de sécurité de l'article 32; respecter les conditions de recours à d'autres sous-traitants; vous aider face aux demandes des personnes concernées; vous aider pour les articles 32 à 36, donc notifications de violation et analyses d'impact; supprimer ou restituer les données à la fin du service; et mettre à disposition les informations nécessaires pour démontrer la conformité, audits compris.

L'article 28, paragraphe 2 est celui que les éditeurs brouillent le plus. Un sous-traitant ne peut pas recruter un autre sous-traitant sans votre autorisation écrite préalable, et sous autorisation générale il doit vous informer des changements prévus pour que vous puissiez vous y opposer. En pratique, cela signifie une liste nommée et datée avec un délai de préavis. Le DPA de Spark prévoit 10 jours de préavis et 5 jours d'opposition, mais aucune liste publique. Front et Hiver publient des listes datées. Shortwave ne publie ni l'un ni l'autre, ce qui rend l'article 28, paragraphe 2 invérifiable.

Si un éditeur dit que le DPA est disponible sur demande, lisez-le avant la fin de l'essai, pas après le déploiement.

Où sont les données, et ce qui rend le transfert licite

Si la chaîne de traitement quitte l'EEE, il vous faut un mécanisme de transfert au titre du chapitre V du RGPD. Sur ce marché, on en voit deux: le Data Privacy Framework UE-États-Unis, qui ne couvre que les entités américaines réellement certifiées, et les clauses contractuelles types. Superhuman nomme les deux, HEY invoque en plus l'article 49, paragraphe 1, point b, et Fyxer nomme les clauses types, l'addendum britannique et le DPF pour ses fournisseurs hors EEE.

Nommer un mécanisme ne clôt pas l'analyse. Il faut encore documenter pourquoi le transfert est défendable au vu du droit du destinataire, c'est l'analyse d'impact des transferts, et vérifier que les sous-traitants ultérieurs sont couverts. Le chemin le plus court est de ne pas transférer du tout.

Soyez précis sur les promesses d'hébergement européen. Front offre une région UE au choix et y rattache ses sous-traitants IA. Fyxer héberge en Belgique et aux Pays-Bas mais reste un responsable britannique. Microsoft s'engage sur la frontière de données UE pour les locataires UE et AELE, avec des exceptions, et exclut les locataires Multi-Geo. Chez Google, les régions UE et Assured Controls sont des fonctions Enterprise.

La clause d'entraînement que personne ne lit

Un fournisseur européen n'est pas automatiquement un choix sûr. L'accord de traitement de Mistral AI, en vigueur au 27 juillet 2026, autorise Mistral à traiter des données personnelles comme responsable pour entraîner ses modèles sauf opposition du client, et les retours par pouce levé ou baissé servent à l'entraînement. Un éditeur qui appelle Mistral doit pouvoir montrer son opposition, ce qu'avance la politique de BoxBee en indiquant que son contrat avec Mistral garantit l'absence de conservation et d'entraînement.

La conservation est l'autre clause à lire. La documentation de Missive note qu'OpenAI et Anthropic peuvent conserver les données d'API jusqu'à 30 jours pour la surveillance des abus. Spark déclare que les fournisseurs ne peuvent conserver les entrées que 30 jours au plus et que vos données n'entraînent aucun modèle. Google déclare que le contenu Gemini n'est ni relu par des humains ni utilisé pour entraîner hors de votre domaine sans permission. Ce sont trois promesses différentes, et une seule équivaut à une conservation nulle.

Ce qu'un comité d'entreprise demandera

En Allemagne, l'article 87, paragraphe 1, point 6 de la Betriebsverfassungsgesetz donne au comité d'entreprise un droit de codécision sur l'introduction et l'utilisation de dispositifs techniques destinés à surveiller le comportement ou la performance des salariés. Un outil IA qui classe, note et rend compte du trafic de courrier est un candidat plausible. La question n'est donc pas de savoir si vous consulterez, mais si vous y êtes préparé. Attendez-vous à: quelles catégories le modèle attribue-t-il, qui peut les voir, existe-t-il des rapports de temps de réponse par salarié, la fonction peut-elle être désactivée par utilisateur, et que deviennent les libellés quand quelqu'un part.

Un exploitant soucieux de la CNPD au Luxembourg posera les mêmes questions dans un autre ordre, en partant du registre des traitements: nommer chaque sous-traitant, indiquer la base légale, la durée de conservation des libellés et résumés produits, et expliquer pourquoi lire le corps est nécessaire et pas seulement pratique. La minimisation, article 5, paragraphe 1, point c, est le point inconfortable: pour la plupart de ces outils, tout le corps part là où l'objet suffirait souvent.

Si vous analysez systématiquement les communications des salariés, supposez qu'une analyse d'impact au titre de l'article 35 est nécessaire, et rédigez-la avant le déploiement plutôt qu'après une plainte.

Dix questions à envoyer à un éditeur avant d'acheter

1. Quelle société traite le corps du message, et dans quel pays?
2. Le corps est-il stocké chez vous, ou seulement transmis?
3. Envoyez-moi la liste actuelle des sous-traitants, avec localisations et finalités.
4. Quels fournisseurs de modèles voient le contenu, et vous êtes-vous opposé à leur entraînement?
5. Quelle est la durée de conservation chez chaque fournisseur de la chaîne?
6. Puis-je signer votre DPA aujourd'hui, et reprend-il l'article 28, paragraphe 3?
7. Existe-t-il une option exclusivement UE, et couvre-t-elle les appels IA ou seulement le stockage?
8. Quel mécanisme de transfert s'applique, et pour quels destinataires?
9. Les fonctions qui lisent le corps peuvent-elles être désactivées par utilisateur?
10. Que deviennent libellés, résumés et vecteurs en cas de résiliation?

Un éditeur qui répond aux dix points par écrit en une semaine vous dit quelque chose d'utile. Celui qui ne le fait pas aussi.

Pour la façon dont chaque produit se situe sur ces points, voir notre classement des clients mail IA et le comparatif des outils d'équipe. Les éditeurs qui veulent faire évaluer leur documentation peuvent se faire référencer.