Intercom Fin et le RGPD / AI Act : l'agent IA qui répond aux clients

Présentation de Intercom Fin

Intercom est une plateforme de relation client d'origine irlandaise. Fin est son agent IA, qui répond automatiquement aux demandes à partir des contenus de l'entreprise, avec escalade vers un conseiller si nécessaire.

Les données personnelles traitées

Fin traite le contenu des conversations et des tickets (identité, historique, parfois données sensibles) et les données de compte. Intercom propose des options d'hébergement dans l'UE ; il faut confirmer la région et vérifier les sous-traitants.

Quels risques pour votre entreprise ?

L'autonomie de l'agent impose une supervision : Fin ne doit pas fournir d'informations erronées ni traiter des données au-delà du nécessaire. S'ajoutent la transparence et la localisation.

Les principaux risques RGPD

• Transparence obligatoire : un chatbot ou agent IA doit indiquer explicitement à l'utilisateur qu'il échange avec une IA (article 50 de l'AI Act). Une escalade vers un conseiller humain doit rester possible.
• Autonomie de l'agent : supervision et périmètre des connaissances.
• Localisation (option UE) et sous-traitants à vérifier.
• Vérifier l'usage des données pour l'entraînement : privilégier les offres où le contenu client n'est pas utilisé pour entraîner les modèles, et le confirmer dans le contrat.

Les obligations RGPD

1. Afficher l'usage de l'agent IA ; garantir l'escalade humaine.
2. Activer l'hébergement UE ; signer le DPA ; vérifier l'entraînement.
3. Cantonner l'agent à un périmètre de connaissances maîtrisé ; superviser.
4. Inscrire au registre ; AIPD si traitement à risque.
5. Impliquer le DPO ; former les équipes.

Les obligations AI Act

Obligation centrale : la transparence (article 50, applicable au 2 août 2026). Un chatbot ou un agent IA doit informer clairement la personne qu'elle interagit avec une intelligence artificielle, et non avec un humain. Les contenus générés doivent, le cas échéant, être signalés. Les modèles mobilisés sont des GPAI (obligations fournisseurs depuis le 2 août 2025) et la littératie IA des équipes est requise (article 4, depuis le 2 février 2025). Un usage d'IA pour évaluer ou décider au sujet de personnes (par exemple prioriser des clients avec effet significatif) peut, selon le cas, relever de la décision automatisée (article 22 RGPD).

Les principaux risques AI Act

• Agent ne se signalant pas comme IA (article 50).
• Réponses autonomes non supervisées.
• Absence de gouvernance de l'agent.

Les risques cybersécurité

• Données clients dans les conversations.
• Prompt injection via messages.
• Accès à cloisonner.
• NIS 2 selon la taille.

Les bonnes pratiques

• Transparence + escalade humaine ; hébergement UE ; DPA.
• Périmètre de connaissances maîtrisé ; supervision des réponses.
• Minimisation ; conservation définie ; charte IA.
• Registre, formation.

Checklist de conformité

• ☐ Transparence agent IA (article 50)
• ☐ Escalade humaine possible
• ☐ Hébergement UE + DPA confirmés
• ☐ Entraînement vérifié/désactivé
• ☐ Périmètre de l'agent maîtrisé
• ☐ Usage au registre
• ☐ AIPD si traitement à risque
• ☐ Réponses supervisées
• ☐ Équipes formées

Les sanctions possibles

Les régimes se cumulent. RGPD : jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial. AI Act : jusqu'à 35 M€ ou 7 % pour les pratiques interdites, 15 M€ ou 3 % pour un manquement à la transparence (article 50) ou aux obligations des fournisseurs GPAI, 7,5 M€ ou 1 % pour des informations inexactes aux autorités. La responsabilité de responsable de traitement demeure celle de l'entreprise utilisatrice, quelles que soient les garanties de l'éditeur.

Conclusion & recommandations d'expert

Fin illustre le passage du chatbot à l'agent autonome : puissant, mais à superviser. Activez l'hébergement UE, signalez l'IA, cantonnez le périmètre de connaissances et supervisez les réponses. Vérifiez l'usage des données pour l'entraînement et documentez.