Qualifier la demande, collecter les éléments, tenir le délai d'un mois et préparer une réponse à valider — sans laisser une demande se perdre dans une boîte partagée.
Une demande d’accès ou d’effacement arrive par email, dans une boîte partagée, et déclenche un travail de collecte à travers plusieurs outils — avec un délai légal qui court. Un agent IA peut qualifier la demande, réunir les éléments, suivre l’échéance et préparer une réponse à valider.
Le problème n’est pas de répondre, c’est de tenir le délai
Le délai de réponse est d’un mois maximum à compter de la réception, en application de l’article 12.3 du RGPD. Il peut être prorogé de deux mois pour les demandes complexes, à condition d’en informer la personne dans le premier mois.
Un mois paraît confortable. Il l’est beaucoup moins quand la demande arrive dans une boîte générique, qu’elle n’est identifiée comme demande RGPD qu’au bout de dix jours, et que la collecte suppose d’interroger le CRM, la comptabilité, les sauvegardes et deux outils métier.
Le délai ne se perd pas dans le traitement. Il se perd avant, dans le temps qu’il faut pour comprendre qu’une demande en est une.
Ce que ça coûte réellement
Trois effets : des délais sensibles, des informations dispersées, et des risques de non-réponse.
Le troisième est le plus sérieux. Une absence de réponse n’est pas un retard administratif : c’est un manquement, qui expose à une réclamation auprès de la CNIL. Et il survient rarement par mauvaise volonté — le plus souvent parce que la demande n’a été vue par personne.
Le coût de traitement, lui, est concentré sur la collecte. Retrouver toutes les données relatives à une personne suppose de savoir où elles vivent, ce que peu d’organisations documentent complètement.
Les variantes du cas dans votre entreprise
Ce cas relève d’une famille consacrée à l’exploitation du patrimoine documentaire, où il partage une exigence particulière avec trois autres.
La préparation d’audits dispersée obéit à la même logique : rassembler des preuves éparpillées, dans un délai contraint, avec une exigence de complétude.
Les contrats relus manuellement demandent le même repérage précis, sans la contrainte de délai.
La recherche d’information dans des dizaines de documents est le socle technique commun aux trois.
Les non-conformités éparpillées partagent la nécessité d’un recensement fiable plutôt que rapide.
Le point commun de cette sous-famille mérite d’être explicite : manquer un élément coûte plus cher que mettre du temps à le trouver. C’est l’inverse de la plupart des cas d’usage, où le gain vient de la vitesse. Ici, le dispositif se juge sur son exhaustivité — ce qui justifie que la validation humaine finale n’y soit jamais optionnelle.
Avant / après
Avant. Les demandes sont suivies manuellement. Leur qualification dépend de qui ouvre la boîte, et la collecte se fait outil par outil.
Après. La demande est qualifiée, les éléments nécessaires sont collectés, le délai est suivi, et une réponse est préparée — à valider avant envoi.
Le point qui décide : la réponse est validée avant envoi
Le garde-fou est le plus strict de cette famille — la réponse est validée par un humain avant envoi.
La raison est directe : une réponse RGPD est un acte juridique opposable. Communiquer des données à quelqu’un qui n’est pas la personne concernée constituerait une violation de données — une réponse automatique mal adressée créerait donc l’infraction qu’elle prétendait éviter.
S’y ajoute la question de l’identité du demandeur, qui doit être vérifiée avant toute communication. Cette vérification est un jugement, pas un contrôle mécanique : elle dépend des éléments fournis et du contexte.
Ce que le dispositif supprime, c’est la collecte et le risque d’oubli. Ce qu’il laisse entier, c’est la décision de répondre, et quoi.
Déploiement en 3 semaines
La mise en service passe par la méthode Déclic IA, en 3 semaines (15 jours ouvrés).
- J1 — cartographie. Vos canaux d’entrée, vos traitements, l’emplacement réel des données personnelles.
- J2–J3 — sélection. Trois cas chiffrés, vous choisissez celui qu’on construit.
- J4–J5 — cadrage technique et démarrage de la construction. Périmètre des sources, règles de qualification, circuit de validation, critère de réussite.
- J6–J10 — construction. Sur des demandes réelles ou reconstituées, avec relecture juridique.
- J11–J15 — tests et mise en production. Formation incluse.
Est-ce le bon cas d’usage pour vous ?
Oui si vous recevez des demandes régulièrement et si vos données personnelles sont réparties entre plusieurs outils. Le secteur importe moins que la dispersion : c’est elle qui rend la collecte coûteuse.
Moins pertinent si les demandes sont exceptionnelles et vos données concentrées dans un seul outil. Dans ce cas, une procédure écrite suffit, et c’est la recherche documentaire générale qui rapporte davantage.
Source : CNIL — Exercice des droits Informatique et Libertés : dans quel délai doit-on me répondre ?
Pour estimer votre propre gain, le simulateur donne un ordre de grandeur en une minute. Le chiffrage réel se fait sur vos volumes, pendant le diagnostic.