Box AI et le RGPD / AI Act : interroger ses contenus d'entreprise en sécurité

Présentation de Box AI

Box est une plateforme américaine de gestion de contenu d'entreprise (stockage, partage, gouvernance documentaire). Box AI permet d'interroger, résumer et générer à partir des documents stockés.

Les données personnelles traitées

Box AI traite le contenu des documents (pouvant inclure des données personnelles et sensibles) et les données de compte. Box indique ne pas entraîner ses modèles sur le contenu client. Éditeur américain : exposition au CLOUD Act ; vérifier la résidence des données.

Quels risques pour votre entreprise ?

Comme pour tout outil documentaire, la restitution selon les accès existants (sur-exposition) et les transferts hors UE sont les principaux risques ; la gouvernance native de Box aide à les maîtriser.

Les principaux risques RGPD

• Point de vigilance n°1 : un assistant IA restitue les informations selon les droits d'accès existants. Des permissions trop larges (« over-sharing ») peuvent exposer à un salarié des documents RH, financiers ou confidentiels. La gouvernance des accès (principe du moindre privilège) est le préalable à tout déploiement.
• Transfert hors UE (CLOUD Act) ; vérifier la résidence.
• Documents sensibles ; minimisation.
• Information et droits des personnes ; sous-traitance (DPA).

Les obligations RGPD

1. Exploiter la gouvernance Box (classification, accès) ; auditer les permissions.
2. Signer le DPA ; vérifier la résidence ; encadrer les transferts (SCC).
3. Confirmer le non-entraînement ; définir la conservation.
4. Inscrire au registre ; AIPD si traitement à risque.
5. Impliquer le DPO ; former les équipes.

Les obligations AI Act

Les modèles mobilisés sont des GPAI (obligations fournisseurs depuis le 2 août 2025). Côté déployeur, la transparence (article 50) s'applique aux contenus générés destinés à être diffusés, et la littératie IA des équipes est requise (article 4, depuis le 2 février 2025). L'enjeu propre aux outils de productivité n'est pas tant la classification à haut risque que la gouvernance : un assistant qui accède à vos documents internes doit rester cantonné à un périmètre maîtrisé et supervisé. Un usage détourné vers l'évaluation des salariés basculerait, lui, dans le haut risque (Annexe III).

Les principaux risques AI Act

• Contenus diffusés non signalés (article 50).
• Usage RH détourné (haut risque).
• Absence de gouvernance des usages IA.

Les risques cybersécurité

• Sur-exposition via accès trop larges.
• Transfert hors UE.
• Prompt injection via documents.
• NIS 2 selon la taille.

Les bonnes pratiques

• Exploiter la classification/gouvernance Box ; auditer les accès.
• Confirmer le non-entraînement et la résidence ; encadrer les transferts.
• Minimisation ; charte IA ; conservation maîtrisée.
• Registre, formation.

Checklist de conformité

• ☐ Gouvernance/classification Box exploitée
• ☐ Audit des accès réalisé
• ☐ Non-entraînement confirmé
• ☐ DPA + résidence vérifiés ; transferts encadrés (SCC)
• ☐ Minimisation des données
• ☐ Usage au registre
• ☐ AIPD si traitement à risque
• ☐ Pas d'usage RH détourné
• ☐ Équipes formées

Les sanctions possibles

Les régimes se cumulent. RGPD : jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial. AI Act : jusqu'à 35 M€ ou 7 % pour les pratiques interdites, 15 M€ ou 3 % pour un manquement à la transparence (article 50) ou aux obligations des fournisseurs GPAI, 7,5 M€ ou 1 % pour des informations inexactes aux autorités. La responsabilité de responsable de traitement demeure celle de l'entreprise utilisatrice, quelles que soient les garanties de l'éditeur.

Conclusion & recommandations d'expert

Box AI est l'un des choix les plus solides côté gouvernance documentaire (non-entraînement, classification). Exploitez ces atouts : auditez les accès, confirmez la résidence et le non-entraînement, encadrez les transferts. La gouvernance native de Box est un avantage — à condition de l'activer et de la documenter.