Freshdesk Freddy et le RGPD / AI Act : le support augmenté, région par région

Présentation de Freshdesk Freddy

Freshdesk est la solution de support de Freshworks. Freddy AI y apporte chatbot, assistance aux agents (Copilot) et analyses. Freshworks propose plusieurs régions d'hébergement.

Les données personnelles traitées

Freddy traite le contenu des tickets et conversations (identité, historique, parfois données sensibles). Freshworks propose une région d'hébergement UE : il faut vérifier la région active et les sous-traitants.

Quels risques pour votre entreprise ?

Transparence du chatbot, localisation effective des données et données sensibles dans les tickets constituent les principaux risques, avec la supervision des réponses.

Les principaux risques RGPD

• Transparence obligatoire : un chatbot ou agent IA doit indiquer explicitement à l'utilisateur qu'il échange avec une IA (article 50 de l'AI Act). Une escalade vers un conseiller humain doit rester possible.
• Localisation (région UE ?) et sous-traitants à vérifier.
• Données sensibles éventuelles dans les tickets.
• Vérifier l'usage des données pour l'entraînement : privilégier les offres où le contenu client n'est pas utilisé pour entraîner les modèles, et le confirmer dans le contrat.

Les obligations RGPD

1. Afficher l'usage d'un agent IA ; escalade humaine.
2. Vérifier/activer la région UE ; signer le DPA ; vérifier l'entraînement.
3. Minimiser ; superviser les réponses sensibles.
4. Inscrire au registre ; AIPD si traitement à risque.
5. Impliquer le DPO ; former les équipes.

Les obligations AI Act

Obligation centrale : la transparence (article 50, applicable au 2 août 2026). Un chatbot ou un agent IA doit informer clairement la personne qu'elle interagit avec une intelligence artificielle, et non avec un humain. Les contenus générés doivent, le cas échéant, être signalés. Les modèles mobilisés sont des GPAI (obligations fournisseurs depuis le 2 août 2025) et la littératie IA des équipes est requise (article 4, depuis le 2 février 2025). Un usage d'IA pour évaluer ou décider au sujet de personnes (par exemple prioriser des clients avec effet significatif) peut, selon le cas, relever de la décision automatisée (article 22 RGPD).

Les principaux risques AI Act

• Chatbot ne signalant pas qu'il est une IA (article 50).
• Réponses non supervisées.
• Absence de gouvernance des usages IA.

Les risques cybersécurité

• Tickets contenant des données sensibles.
• Localisation multi-régions à sécuriser.
• Prompt injection.
• NIS 2 selon la taille.

Les bonnes pratiques

• Activer la région UE ; DPA ; transparence + escalade.
• Minimisation ; supervision ; conservation définie.
• Charte IA, registre, formation.

Checklist de conformité

• ☐ Transparence chatbot (article 50)
• ☐ Région UE activée ; sous-traitants vérifiés
• ☐ DPA + entraînement vérifiés
• ☐ Minimisation des données
• ☐ Réponses sensibles supervisées
• ☐ Usage au registre
• ☐ AIPD si traitement à risque
• ☐ Conservation définie
• ☐ Équipes formées

Les sanctions possibles

Les régimes se cumulent. RGPD : jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial. AI Act : jusqu'à 35 M€ ou 7 % pour les pratiques interdites, 15 M€ ou 3 % pour un manquement à la transparence (article 50) ou aux obligations des fournisseurs GPAI, 7,5 M€ ou 1 % pour des informations inexactes aux autorités. La responsabilité de responsable de traitement demeure celle de l'entreprise utilisatrice, quelles que soient les garanties de l'éditeur.

Conclusion & recommandations d'expert

Freddy AI est une couche de support efficace ; sa conformité tient d'abord à la localisation (activer la région UE, vérifier les sous-traitants) et à la transparence du chatbot. Minimisez, supervisez, documentez et formez.