Salesforce Agentforce et le RGPD / AI Act : conformité des agents IA

Présentation et données traitées

Salesforce est l'éditeur CRM américain de référence. Agentforce permet de déployer des agents IA qui exécutent des tâches (qualification, réponses, actions) sur les données Salesforce, en s'appuyant sur le socle Einstein et le Trust Layer.

Les agents opèrent sur les données CRM (contacts, comptes, interactions, cas de service). Salesforce indique, via l'Einstein Trust Layer, masquer certaines données, ne pas conserver les prompts côté fournisseur de modèle et ne pas entraîner les modèles tiers sur vos données. L'hébergement UE (Hyperforce) est disponible ; l'éditeur reste soumis au CLOUD Act.

Les risques pour votre entreprise

L'autonomie des agents est le point saillant : un agent qui agit sur des données clients doit rester supervisé et cantonné à un périmètre d'accès maîtrisé. S'ajoutent le transfert hors UE et la conformité des actions de prospection déclenchées par les agents.

Principaux risques RGPD :

• Actions automatisées des agents (article 22 si décision significative).
• Gouvernance des accès : périmètre des agents à cadrer strictement.
• Transfert hors UE (CLOUD Act) malgré Hyperforce EU.
• Prospection déclenchée par des agents : opt-in téléphonique B2C au 11 août 2026 ; intérêt légitime B2B avec information et opposition ; consentement e-mail/SMS.
• Information et droits des personnes.

Les obligations RGPD

1. Activer l'hébergement UE et exploiter l'Einstein Trust Layer ; vérifier le DPA.
2. Cadrer le périmètre et les droits des agents (moindre privilège) ; garder un contrôle humain.
3. Documenter les bases légales des actions de prospection.
4. Inscrire au registre ; AIPD (probable pour des agents autonomes).
5. Impliquer le DPO ; former les équipes.

Les obligations AI Act

Les modèles mobilisés sont, pour l'essentiel, des GPAI : obligations fournisseurs depuis le 2 août 2025. Côté déployeur : transparence (article 50), supervision humaine, littératie IA. Une action produisant un effet significatif sur une personne peut relever de l'article 22 RGPD et, dans certains cas, du haut risque (Annexe III). Voir le guide AI Act.

Risques AI Act : agents agissant sans supervision suffisante ; actions/e-mails IA non signalés (article 50) ; absence de gouvernance des agents.

Cybersécurité et bonnes pratiques

Risques cyber : agents à fort périmètre = risque d'action non désirée ; prompt injection orientant un agent ; exfiltration via accès trop larges ; NIS 2 selon la taille.

Bonnes pratiques : hébergement UE + Trust Layer ; périmètre d'agents minimal et supervisé ; validation humaine des actions sensibles, journalisation ; bases légales de prospection documentées, information des personnes ; charte IA, registre, formation.

Checklist :

• Hébergement UE (Hyperforce) activé, Einstein Trust Layer configuré, DPA vérifié
• Périmètre des agents cadré (moindre privilège), contrôle humain des actions sensibles
• Bases légales de prospection documentées, usage au registre, AIPD réalisée, équipes formées

Sanctions, conclusion et recommandations

Sanctions cumulables : RGPD (jusqu'à 20 M€ ou 4 %) ; AI Act (35 M€/7 % ou 15 M€/3 %) ; démarchage téléphonique B2C sans consentement au 11 août 2026 : jusqu'à 375 000 € (personne morale) et nullité du contrat.

Recommandation : Agentforce offre un socle de confiance solide (Trust Layer, Hyperforce EU), mais l'autonomie des agents impose une gouvernance stricte : périmètre minimal, supervision humaine, journalisation. Cadrez, activez l'UE, documentez la prospection. Comparez avec Salesforce Einstein et HubSpot Breeze. Voir le comparatif des outils d'IA.