Salesforce Einstein et le RGPD / AI Act : conformité de l'IA CRM

Présentation et données traitées

Einstein regroupe les capacités d'IA de Salesforce : scoring de leads/opportunités, prévisions de ventes, recommandations, génération d'e-mails et de résumés. Il s'appuie sur le socle Einstein Trust Layer.

Einstein exploite les données CRM (contacts, interactions, historique) pour prédire et scorer. Le Trust Layer limite la rétention et l'entraînement des modèles tiers sur vos données ; l'hébergement UE est disponible. L'éditeur étant américain, le CLOUD Act s'applique.

Les risques pour votre entreprise

Le risque central est le profilage : scorer des prospects/clients revient à les évaluer automatiquement. Sans transparence ni supervision, cela peut enfreindre le RGPD (articles 13-15, 22) et introduire des biais. S'ajoutent les transferts hors UE et la prospection.

Principaux risques RGPD :

• Profilage/scoring : transparence, supervision, article 22 si effet significatif ; biais et exactitude des prédictions.
• Transfert hors UE (CLOUD Act) malgré l'hébergement UE.
• Prospection alimentée par le scoring : opt-in téléphonique B2C au 11 août 2026 ; intérêt légitime B2B ; consentement e-mail.
• Information et droits des personnes (dont explication).

Les obligations RGPD

1. Documenter la logique du scoring et informer les personnes (articles 13-14).
2. Prévoir une intervention humaine et un droit de contestation (article 22).
3. Activer l'hébergement UE et exploiter le Trust Layer ; vérifier le DPA.
4. Inscrire au registre ; AIPD (probable pour le profilage à grande échelle).
5. Impliquer le DPO ; former les équipes.

Les obligations AI Act

Les modèles mobilisés sont, pour l'essentiel, des GPAI : obligations fournisseurs depuis le 2 août 2025. Côté déployeur : transparence (article 50), supervision humaine, littératie IA. Un scoring qui évalue des personnes physiques peut relever de la décision automatisée (article 22 RGPD) et, dans certains cas, du haut risque (Annexe III). Voir le guide AI Act.

Risques AI Act : scoring de personnes potentiellement à haut risque selon l'usage ; e-mails/recommandations IA non signalés ; absence de gouvernance du profilage.

Cybersécurité et bonnes pratiques

Risques cyber : base CRM et modèles à protéger ; accès à cloisonner ; transfert hors UE ; NIS 2 selon la taille.

Bonnes pratiques : transparence sur le scoring, supervision et contestation possibles ; contrôle des biais, hébergement UE + Trust Layer ; bases légales de prospection, information des personnes ; charte IA, registre, formation.

Checklist :

• Logique de scoring documentée et communiquée, intervention humaine + contestation (article 22)
• Hébergement UE + Trust Layer, contrôle des biais, DPA vérifié
• Usage au registre, AIPD réalisée, bases légales de prospection documentées, équipes formées

Sanctions, conclusion et recommandations

Sanctions cumulables : RGPD (jusqu'à 20 M€ ou 4 %) ; AI Act (35 M€/7 % ou 15 M€/3 %) ; démarchage téléphonique B2C sans consentement au 11 août 2026 : jusqu'à 375 000 € (personne morale) et nullité du contrat.

Recommandation : Einstein est puissant pour prioriser l'effort commercial, mais scorer des personnes est un profilage qui exige transparence, supervision et maîtrise des biais. Activez l'UE et le Trust Layer, documentez la logique, prévoyez l'intervention humaine, et réalisez une AIPD. Comparez avec Agentforce, HubSpot Breeze et Zoho Zia. Voir le comparatif des outils d'IA.