IA et RGPD : ce qui part vers le modèle et ce qui reste chez le promoteur

Pourquoi l'IA pose une question de données personnelles

Un promoteur manipule des données personnelles à chaque étape : les propriétaires fonciers qu'il démarche, les acquéreurs qui réservent et paient par appels de fonds, les salariés d'entreprises dont les noms figurent sur les PV, les voisins qui écrivent pour un recours. Tant que tout reste dans le logiciel et chez l'hébergeur, le cadre est connu. L'IA ajoute un maillon : pour répondre à une question ou lire un document, un modèle, hébergé chez un tiers, reçoit une partie de ces données.

Le règlement général sur la protection des données s'applique à ce maillon comme aux autres. Il ne l'interdit pas ; il demande de savoir quoi, pourquoi, chez qui et pendant combien de temps. Le guide intelligence artificielle et promotion immobilière en donne les principes ; celui-ci regarde ce qui part, avec le logiciel CAP IMMO comme exemple.

Qu'est-ce qui est envoyé à un modèle, et dans quels cas ?

Il faut distinguer trois usages, qui n'exposent pas les mêmes données.

Dans la démonstration publique, rien de tout cela ne part : l'assistant répond à partir de scénarios préparés, sans appeler de modèle, et la lecture rejoue un document fictif. Les lignes ci-dessus décrivent le logiciel installé chez un client.

La pseudonymisation : ce que fait le logiciel, et ses limites

Avant d'envoyer le contexte à l'assistant, le logiciel CAP IMMO remplace les personnes connues du dossier. Dans le code, la fonction iaPersonnes dresse la liste des acquéreurs (nom, prénom, second acquéreur, adresse, société, e-mail, téléphone) et des propriétaires fonciers ; la fonction iaAnonymiser les remplace, dans le résumé, l'historique, la mémoire et les résultats des calculs, par une désignation neutre : « l'acquéreur du lot A12 », « le propriétaire de la parcelle AB 123 ». Elle masque aussi, par motif, toute adresse e-mail et tout numéro de téléphone français. La question tapée par l'utilisateur est traitée de la même façon : un nom d'acquéreur cité est remplacé, y compris avec une faute de frappe légère.

Cette protection a des limites qu'il faut connaître :

• Elle ne couvre que les personnes enregistrées comme acquéreurs ou propriétaires. Un prospect, un contact d'entreprise ou un salarié cité dans une note n'est pas dans la liste.
• Elle ne remplace pas les chaînes très courtes (moins de trois caractères) ni un nom écrit autrement que dans la fiche.
• Elle n'efface pas le reste : le nom du programme, les entreprises, les montants, les adresses de chantier et le prénom de l'utilisateur partent.
• Ce n'est pas une anonymisation. Des données pseudonymisées restent des données personnelles au sens du RGPD (article 4, point 5) : la personne peut être ré-identifiée, notamment par recoupement.

Un outil honnête dit tout cela. Si l'éditeur répond « tout est anonymisé », demandez la définition qu'il retient.

La lecture de documents : le document part tel quel

Il faut le dire franchement : en lecture intelligente, le document n'est pas pseudonymisé. Pour lire une image, le modèle doit la voir. Un PV de réception, avec les noms des signataires, une facture, avec les coordonnées de l'entreprise, un courrier, avec ce qu'il contient, sont envoyés au service de lecture. Le logiciel prend alors des précautions d'un autre ordre, qui sont des limites d'envoi et non des masquages :

• l'envoi ne se fait que sur un clic de l'utilisateur, jamais automatiquement ;
• les pièces d'identité, RIB, avis d'imposition et bulletins de salaire sont exclus, ainsi que tout document rangé sous un acquéreur. Ce repérage s'appuie, pour les pièces personnelles, sur le nom du fichier (d'où l'intérêt d'un nommage clair, voir le guide du scan sur chantier) ; un RIB nommé « scan0042 » et rangé ailleurs que sous un acquéreur ne serait pas reconnu comme tel par ce moyen ;
• l'agence peut désactiver la lecture intelligente pour toute l'équipe, ou la couper pour toute l'installation ;
• le volume est borné : 3 Mo et 30 pages par document, et un plafond quotidien par agence.

D'après le registre pré-rempli du logiciel, le sous-traitant de la lecture intelligente est Google Gemini (Google LLC), et le lieu de traitement indiqué est les États-Unis, encadré par les conditions de l'offre payante de l'API Gemini et des clauses contractuelles types de Google. Les fonctions serveur du logiciel sont en région de Paris chez l'hébergeur, mais le traitement de la lecture a lieu chez Google : aucun hébergement en Europe n'est à présumer. Le registre cite aussi les relevés bancaires parmi les documents jamais envoyés, mais le filtre du logiciel repère les pièces par leur nom (identité, RIB, IBAN, avis d'imposition, bulletins de paie) et ne reconnaît pas les relevés : ne comptez pas sur cette exclusion pour un relevé. Le fonctionnement de la lecture est décrit dans le guide lire un document avec l'IA.

Les conditions de Google Gemini, telles que le logiciel les décrit

Le logiciel désigne Google Gemini comme sous-traitant de la lecture intelligente. Les éléments ci-dessous reprennent sa documentation, qui indique avoir consulté les conditions de l'API le 30 septembre 2026. Ils changent : à vérifier sur les conditions de Google avant tout envoi de documents clients.

• Offre payante : avec l'offre payante, Google indique ne pas utiliser les documents ni les réponses pour améliorer ses produits, et les conserver un temps limité pour détecter les abus ; avec l'offre gratuite, Google indique pouvoir les utiliser, et des personnes peuvent les relire. Source à relire : les conditions « Gemini API Additional Terms of Service ».

Retenez la méthode : demandez par écrit les règles d'entraînement, de conservation et de sous-traitance de l'offre que vous utiliserez. L'offre compte : les règles diffèrent entre l'offre gratuite et l'offre payante, et le logiciel le rappelle lui-même.

Le rôle du promoteur : responsable de traitement

Le promoteur décide pourquoi et comment les données de ses acquéreurs sont traitées : il est responsable du traitement (RGPD, articles 4 et 24). Il définit la finalité, choisit la base légale, informe les personnes et garantit leurs droits. L'éditeur du logiciel, et le fournisseur du modèle derrière lui, agissent pour son compte.

La sous-traitance : l'article 28

Un fournisseur qui traite des données pour le compte du responsable est un sous-traitant, et l'article 28 du RGPD impose un contrat qui fixe l'objet, la durée, la nature des données, les instructions, la confidentialité, la sécurité, le recours à d'autres sous-traitants, la restitution ou la suppression en fin de contrat. Le guide d'ensemble sur l'IA le rappelle déjà. Pour la lecture de documents, la chaîne est la suivante : le promoteur, responsable ; l'éditeur du logiciel, sous-traitant ; Google Gemini, sous-traitant ultérieur pour la lecture intelligente, selon le registre du logiciel. Demandez à l'éditeur de vous la décrire, avec les accords de traitement correspondants. Si des données sortent de l'Union européenne, les garanties de transfert (clauses contractuelles types ou décision d'adéquation) doivent être identifiées.

Le registre des traitements

L'article 30 du RGPD demande de tenir un registre des traitements. Le logiciel CAP IMMO propose, dans l'écran « Données personnelles », un registre pré-rempli à partir des données enregistrées : prospection foncière, gestion des acquéreurs, signature électronique, espace acquéreur, rapprochement bancaire, intervenants, avec la liste des sous-traitants, dont la lecture intelligente, signalée comme activée ou désactivée selon le réglage de l'agence. Il s'imprime, et il affiche lui-même qu'il est à faire valider par un conseil juridique : les mentions « à confirmer » ou « à compléter » restent à arbitrer. Il ne contient pas de ligne propre à l'assistant Azur ; si vous l'utilisez avec des données réelles, ajoutez-la avec votre conseil.

Les durées de conservation

Chaque donnée a une durée, qui découle de la finalité. Le registre pré-rempli retient, à titre de proposition, des durées dont aucune n'est une règle universelle : une durée réglable pour les propriétaires fonciers sans suite (36 mois par défaut), la durée du contrat puis dix ans à compter de la réception pour les acquéreurs, en rapport avec la garantie décennale, dix ans pour la comptabilité. Elles sont données par le logiciel comme point de départ. Les durées exactes dépendent de l'analyse de votre conseil. Pour l'IA, la question est double : combien de temps le logiciel garde la lecture d'un document, et combien de temps le fournisseur du modèle garde ce qu'il a reçu. La seconde se lit dans ses conditions, offre par offre.

Les dix questions à poser à tout éditeur d'IA

1. Quelles données quittent mon poste, et lesquelles restent ? (liste, par fonction)
2. Quel fournisseur de modèle est derrière chaque fonction, nommé ?
3. Où le traitement a-t-il lieu, et y a-t-il un transfert hors de l'Union européenne ?
4. Les données sont-elles utilisées pour entraîner un modèle, selon mon offre ?
5. Combien de temps sont-elles conservées chez l'éditeur et chez le fournisseur du modèle ?
6. Quel accord de traitement (article 28) me liez-vous, et avec quels sous-traitants ultérieurs ?
7. Les noms sont-ils pseudonymisés avant l'envoi, et quelles données ne le sont pas ?
8. Les pièces d'identité, RIB et documents d'acquéreurs sont-ils exclus, et comment le reconnaissez-vous ?
9. L'envoi demande-t-il un geste de l'utilisateur, et puis-je le désactiver pour toute l'équipe ?
10. Fournissez-vous un registre des traitements et un journal de ce qui a été envoyé ?

Une réponse écrite à ces dix questions vaut mieux que n'importe quelle promesse commerciale. Si l'éditeur ne peut pas y répondre, c'est une réponse.

Ce que le logiciel ne promet pas

Pour éviter tout malentendu, voici ce que le logiciel CAP IMMO ne prétend pas faire : il n'anonymise pas les documents lus, il ne garantit pas un traitement de l'IA en Europe, il ne remplace pas votre registre validé par un conseil, et il ne rend pas conforme à lui seul. Il aide à garder la main : envoi sur clic, exclusions, désactivation, registre pré-rempli, pseudonymisation des noms avant l'assistant. Pour la protection des copies et des accès, voyez aussi la sauvegarde des données du promoteur et, pour ce que voient les acquéreurs eux-mêmes, l'espace acquéreur en VEFA. L'assistant Azur contrôle de son côté que les chiffres de sa réponse figurent dans les données du logiciel et signale ceux qui n'y sont pas ; ce contrôle porte sur l'exactitude des chiffres, pas sur la confidentialité.