RGPD et client email avec IA

Une application mail sans IA récupère les messages chez votre fournisseur et les affiche. Le traitement a lieu sur votre appareil. Dès qu'une fonction IA s'ajoute, cela change : pour résumer, classer ou rédiger, le texte du message doit parvenir à un modèle, et ce modèle ne tourne pas sur votre machine.

C'est vrai de tout éditeur du domaine, BoxBee compris. Qui prétend le contraire parle soit d'un très petit modèle embarqué, soit avec imprécision. La réponse honnête : des contenus sont transmis, et les questions qui comptent sont lesquels, vers où, conservés combien de temps et sur quelle base légale.

Ces quatre questions trient les éditeurs plus vite que n'importe quelle liste de fonctions. Si une réponse esquive ou glisse vers le langage marketing, c'est déjà une réponse.

• Quelles données quittent mon appareil, et lors de quelle action exactement ? Seulement au résumé, ou en continu en arrière-plan ?
• Dans quel pays se trouvent les serveurs qui traitent, et qui les exploite ?
• Mes contenus sont-ils conservés, et servent-ils à entraîner des modèles ?
• Existe-t-il un contrat de sous-traitance au titre de l'article 28 du RGPD, et qui sont les sous-traitants ultérieurs ?

Le RGPD prévoit des règles propres au transfert de données personnelles vers des pays tiers. En pratique, les délégués à la protection des données, les comités sociaux et les autorités de contrôle regardent de plus près les fournisseurs américains et demandent davantage de documentation. Si le traitement a lieu en Europe de toute façon, une grande partie de cette discussion disparaît.

C'est pour cela que BoxBee est construit ainsi : les requêtes IA vont vers Mistral, modèle développé en France, et sont traitées sur des serveurs en Europe. L'éditeur, TTA Technologies, est établi au Luxembourg. Ce n'est pas une promesse de sécurité juridique et cela ne remplace pas votre propre analyse, mais c'est une chaîne sans changement d'espace juridique.

La distinction est importante et souvent confondue. BoxBee n'héberge pas de boîtes mail et ne distribue pas d'adresses. Votre boîte reste chez le fournisseur actuel, et BoxBee s'y connecte en IMAP et SMTP.

Pour votre documentation, cela signifie : votre fournisseur de messagerie reste inchangé dans le registre des traitements, et BoxBee s'ajoute comme sous-traitant pour les fonctions IA. Si vous ne pouvez ou ne voulez pas déplacer votre boîte, rien n'est à reconstruire.

Cette clarté est volontaire. Une page de confidentialité qui promet plus qu'elle ne tient coûte, au premier examen sérieux, plus de confiance qu'elle n'en a apporté.

• Pas de certification ISO 27001, pas de rapport SOC 2, aucun label qui ne pourrait être prouvé ici.
• Aucune affirmation que le déploiement chez vous serait automatiquement licite. C'est votre propre analyse qui décide.
• Aucun chiffrement qui n'existe pas. Sont chiffrés de bout en bout les messages directs BeeCrypted entre utilisateurs BoxBee, pas le courrier ordinaire vers des tiers.

Prenez la politique de confidentialité de BoxBee, lisez la section sur le traitement par IA et confrontez-la aux quatre questions ci-dessus. Si vous travaillez dans un secteur réglementé, transmettez cette section à votre délégué à la protection des données avant tout déploiement. Et testez sept jours avec une vraie boîte : c'est seulement là que vous voyez quels contenus passent réellement par les fonctions IA au quotidien.