IA et RGPD dans l'immobilier : les questions à poser avant d'automatiser
Automatiser une partie de la relation client fait gagner un temps réel — à condition de ne pas créer un problème de conformité en réglant un problème d’organisation. Les données qu’une agence immobilière manipule sont parmi les plus sensibles du commerce courant : budget, situation familiale, financement, parfois des documents d’identité. Le RGPD s’applique pleinement, et au Luxembourg, l’autorité de contrôle est la CNPD.
Ce guide n’est pas un avis juridique : c’est la liste des questions qu’une agence devrait poser à tout fournisseur d’outil d’IA conversationnelle — et à elle-même — avant de se lancer.
Où sont les données ?
La première question, et la plus simple à vérifier. Où les conversations sont-elles hébergées, où sont-elles traitées, et par qui ? Un hébergement dans l’Union européenne simplifie considérablement le dossier : pas de transfert hors UE à encadrer, un cadre juridique unique.
Demandez la liste des sous-traitants (le fournisseur d’IA a lui-même des fournisseurs) et vérifiez que le contrat inclut un accord de sous-traitance — le fameux DPA — qui précise qui traite quoi, où, et sous quelles garanties.
Le prospect sait-il qu’il parle à une IA ?
La transparence est une exigence de fond du RGPD, et c’est aussi une question de confiance commerciale. Le prospect doit être informé qu’il échange avec un assistant automatisé, savoir quelle entreprise est responsable du traitement, et pouvoir accéder facilement à la politique de confidentialité.
En pratique : une mention claire en début de conversation, et une politique de confidentialité à jour qui décrit ce traitement. Rien de plus compliqué — mais rien de moins.
Les données servent-elles à entraîner des modèles ?
Question à poser explicitement au fournisseur, par écrit. Les conversations de vos clients ne devraient pas servir à entraîner des modèles d’IA, ni être réutilisées pour d’autres clients de l’outil. La réponse doit figurer dans le contrat, pas seulement dans un argumentaire commercial.
Combien de temps les conversations sont-elles gardées ?
Le RGPD impose de ne pas conserver les données au-delà de ce qui est nécessaire. Pour des conversations de prospection, cela signifie définir une durée — et la tenir, idéalement par une purge automatique. Les informations utiles au suivi commercial (la qualification, les coordonnées) vivent dans le CRM selon leurs propres règles ; le verbatim des conversations n’a pas besoin d’être gardé indéfiniment.
Documentez ce choix dans votre registre des traitements : c’est précisément le genre de mesure simple qu’une autorité de contrôle s’attend à trouver.
Que se passe-t-il quand quelqu’un exerce ses droits ?
Accès, rectification, effacement, opposition : un prospect peut exercer ses droits RGPD sur les données échangées avec votre assistant comme sur n’importe quelles autres. Vérifiez que l’outil permet de retrouver et de supprimer les données d’une personne sans acrobaties, et que votre politique de confidentialité indique à qui écrire.
Un humain peut-il reprendre la main ?
Au-delà de la conformité, c’est une exigence de bon sens : une conversation qui sort du cadre — négociation, réclamation, situation personnelle délicate — doit pouvoir passer à un agent humain, avec l’historique. Un système sans porte de sortie humaine est un problème commercial avant d’être un problème juridique, mais il finit souvent par être les deux.
La check-list en résumé
Avant de signer avec un fournisseur d’assistant IA :
- Hébergement et traitement dans l’UE, sous-traitants listés, DPA signé.
- Information claire du prospect (assistant automatisé, responsable du traitement, politique de confidentialité).
- Engagement écrit : pas d’entraînement de modèles sur vos données.
- Durée de conservation définie, purge automatique, registre à jour.
- Procédure simple pour les droits des personnes.
- Reprise humaine intégrée, avec historique.
Ces exigences rejoignent les bonnes pratiques WhatsApp : dans les deux cas, le cadre se respecte sans difficulté dès lors qu’on choisit des outils européens et qu’on documente ses pratiques.
L’essentiel
Le RGPD n’interdit pas d’automatiser la relation client — il exige de le faire proprement. Pour une agence, la conformité se joue moins dans les grands principes que dans une série de vérifications concrètes au moment de choisir l’outil. Une heure de questions au fournisseur évite des mois de régularisation.