Agentforce ne « déclenche » pas automatiquement un article du RGPD parce qu’il traite une réclamation, propose une action ou résume un dossier. L’analyse dépend du traitement concret, des données utilisées, de la décision prise et de ses effets.
La CNIL rappelle que l’article 22 vise les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant la personne de manière significative. Voir la fiche CNIL sur le profilage et la décision entièrement automatisée. Un DPO et un conseil juridique doivent qualifier le cas réel ; cet article fournit une grille d’architecture, pas un avis juridique.
1. Décrire le traitement avant le produit
Pour chaque cas d’usage, documentez :
- la finalité ;
- les personnes concernées ;
- les catégories de données ;
- les sources et objets Salesforce ;
- les Actions et systèmes externes ;
- les destinataires ;
- la durée de conservation ;
- les régions et sous-traitants ;
- le résultat produit pour la personne ;
- l’intervention humaine prévue.
« Agentforce » n’est pas une finalité. « Proposer au conseiller une synthèse des échanges pour préparer sa réponse » en est une description plus vérifiable.
2. Vérifier l’article 22 au cas par cas
Posez quatre questions :
- Une décision est-elle prise sur une personne ?
- Repose-t-elle exclusivement sur un traitement automatisé ?
- Produit-elle un effet juridique ou un effet similaire significatif ?
- L’intervention humaine est-elle réelle, compétente et capable de modifier le résultat ?
Un agent qui classe une demande pour la diriger vers une file n’est pas automatiquement dans le même régime qu’un agent qui refuse sans contrôle une prestation contractuelle. La présence nominale d’un humain ne suffit pas non plus si celui-ci valide mécaniquement la sortie.
Si l’article 22 est pertinent, le juridique doit confirmer l’exception applicable, les garanties, l’information, l’intervention humaine et les voies de contestation.
3. Construire la minimisation dans le grounding
Un profil ou un Data Graph peut contenir plus d’attributs que le cas d’usage n’en nécessite. La minimisation doit être visible dans l’architecture :
- champs autorisés par Topic ;
- filtres et vues restreintes ;
- permissions et règles de partage ;
- absence de données sensibles non nécessaires ;
- comportement lorsque le contexte est incomplet ;
- propagation des corrections et suppressions.
Data 360 n’est pas un prérequis universel à Agentforce. Il devient pertinent lorsque le cas nécessite une identité, un grounding ou une activation cross-système que l’architecture existante ne peut fournir de manière gouvernée.
4. Cartographier la chaîne de sous-traitance et les transferts
Ne déduisez pas la localisation complète du traitement à partir du seul emplacement de l’org Salesforce. Vérifiez :
- les régions de l’org et des produits activés ;
- les fournisseurs de modèles et sous-traitants applicables ;
- les services MCP, APIs et moteurs de recherche connectés ;
- les logs, télémétries et sauvegardes ;
- les clauses contractuelles et mécanismes de transfert ;
- les durées de conservation et procédures de suppression.
La configuration réelle et le contrat priment sur une formulation marketing générale.
5. Concevoir une intervention humaine utile
L’escalade doit remettre au conseiller :
- la demande originale ;
- les données vérifiées ;
- l’Action proposée ou exécutée ;
- les incertitudes ;
- la règle qui impose l’intervention ;
- la capacité de corriger, refuser ou annuler.
Mesurez les décisions modifiées par le conseiller, les erreurs détectées, les réclamations et le délai de recours. Une case « human in the loop » dans un diagramme n’est pas une preuve d’intervention effective.
6. Produire des preuves d’exploitation
Le dossier de gouvernance devrait relier :
- version des Topics, Instructions et Actions ;
- approbations et séparation des rôles ;
- jeux de tests et résultats ;
- journaux d’Actions et erreurs ;
- accès aux données ;
- escalades et décisions humaines ;
- incidents, rollback et corrections ;
- revue des finalités, contrats et sous-traitants.
N’affirmez pas que le moteur de raisonnement ne trace « rien » ou que chaque étape interne est nécessairement disponible. Définissez plutôt les preuves que le produit et l’architecture peuvent réellement fournir, puis identifiez les lacunes.
7. Déterminer si une AIPD est requise
Une AIPD ne devient pas automatiquement obligatoire parce qu’Agentforce existe. Évaluez les critères du traitement : surveillance, volume, données sensibles, personnes vulnérables, combinaison de sources, innovation, exclusion d’un droit ou service, et décision automatisée significative. Le DPO tranche à partir du contexte et documente la décision.
Gate de mise en production
Ne lancez pas tant que le sponsor ne peut pas montrer :
- finalité et base légale validées ;
- analyse article 22 et AIPD documentée ;
- données minimisées et permissions testées ;
- sous-traitants et transferts cartographiés ;
- intervention humaine et recours opérationnels ;
- conservation, suppression et logs vérifiés ;
- critères d’arrêt et de rollback.
Le RGPD ne demande pas une promesse abstraite de « confiance ». Il demande que l’organisation puisse expliquer et démontrer le traitement réel, ses limites et ses garanties.
