Slack AI et le RGPD / AI Act : rechercher et résumer sans sur-exposer

Présentation de Slack AI

Slack AI est la couche d'IA de Slack (Salesforce) : recherche en langage naturel, résumés de canaux et de fils, synthèses. Elle exploite les messages et fichiers de l'espace de travail.

Les données personnelles traitées

Slack AI traite les messages, fichiers et métadonnées de l'espace de travail, qui contiennent de nombreuses données personnelles (salariés, clients). Slack indique ne pas entraîner ses modèles d'IA générative sur le contenu client. Éditeur américain : exposition au CLOUD Act.

Quels risques pour votre entreprise ?

Le risque n°1 est la sur-exposition interne via les accès existants (canaux, fichiers). Viennent ensuite les transferts hors UE et la conservation des résumés.

Les principaux risques RGPD

• Point de vigilance n°1 : un assistant IA restitue les informations selon les droits d'accès existants. Des permissions trop larges (« over-sharing ») peuvent exposer à un salarié des documents RH, financiers ou confidentiels. La gouvernance des accès (principe du moindre privilège) est le préalable à tout déploiement.
• Transfert hors UE (CLOUD Act) ; vérifier la résidence des données.
• Conservation des résumés et messages ; minimisation.
• Information des salariés ; sous-traitance (DPA).

Les obligations RGPD

1. Auditer et corriger les accès (canaux, fichiers) avant activation.
2. Vérifier le DPA et la résidence des données ; encadrer les transferts (SCC).
3. Confirmer le non-entraînement sur le contenu client ; définir la conservation.
4. Informer les salariés ; inscrire au registre ; AIPD si traitement à risque.
5. Impliquer le DPO ; former les équipes support.

Les obligations AI Act

Les modèles mobilisés sont des GPAI (obligations fournisseurs depuis le 2 août 2025). Côté déployeur, la transparence (article 50) s'applique aux contenus générés destinés à être diffusés, et la littératie IA des équipes est requise (article 4, depuis le 2 février 2025). L'enjeu propre aux outils de productivité n'est pas tant la classification à haut risque que la gouvernance : un assistant qui accède à vos documents internes doit rester cantonné à un périmètre maîtrisé et supervisé. Un usage détourné vers l'évaluation des salariés basculerait, lui, dans le haut risque (Annexe III).

Les principaux risques AI Act

• Contenus générés destinés à diffusion non signalés (article 50).
• Usage détourné vers l'évaluation des salariés (haut risque).
• Absence de gouvernance des usages IA.

Les risques cybersécurité

• Sur-exposition via accès trop larges.
• Prompt injection via messages/fichiers ingérés.
• Transfert hors UE.
• NIS 2 selon la taille.

Les bonnes pratiques

• Chantier gouvernance des accès (moindre privilège) avant activation.
• Vérifier la résidence des données et le non-entraînement ; encadrer les transferts.
• Information des salariés ; conservation maîtrisée ; charte IA.
• Registre, formation.

Checklist de conformité

• ☐ Audit des accès réalisé (moindre privilège)
• ☐ DPA + résidence des données vérifiés
• ☐ Non-entraînement sur le contenu client confirmé
• ☐ Transferts encadrés (SCC)
• ☐ Salariés informés
• ☐ Usage au registre
• ☐ AIPD si traitement à risque
• ☐ Pas d'usage RH détourné
• ☐ Équipes formées

Les sanctions possibles

Les régimes se cumulent. RGPD : jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial. AI Act : jusqu'à 35 M€ ou 7 % pour les pratiques interdites, 15 M€ ou 3 % pour un manquement à la transparence (article 50) ou aux obligations des fournisseurs GPAI, 7,5 M€ ou 1 % pour des informations inexactes aux autorités. La responsabilité de responsable de traitement demeure celle de l'entreprise utilisatrice, quelles que soient les garanties de l'éditeur.

Conclusion & recommandations d'expert

Slack AI est utile, mais amplifie les problèmes de permissions : traitez d'abord la gouvernance des accès. Vérifiez la résidence des données et le non-entraînement, encadrez les transferts, informez les salariés et proscrivez tout usage RH détourné. Documentez et formez.