IA et confidentialité dans l’horeca : HorecaHub est‑il conforme au RGPD ?

Tout entrepreneur de l’horeca qui utilise l’IA pour les réservations, les questions ou les suivis finit tôt ou tard par se poser la même question : qu’en est‑il réellement de la confidentialité et du RGPD ? C’est une question légitime, car les données des clients sont sensibles. Des noms, numéros de téléphone, préférences alimentaires et parfois même des informations médicales comme les allergènes sont impliqués. Dans cet article, nous expliquons comment HorecaHub gère la confidentialité de l’IA dans l’horeca, quels choix nous faisons pour respecter le RGPD européen et ce que cela signifie concrètement pour vous en tant qu’entrepreneur.

Nous nous basons sur les directives de l’Autoriteit Persoonsgegevens, le texte officiel de la European AI Act et les recommandations pratiques de l’EDPB.

Ce qui relève de la confidentialité de l’IA dans l’horeca

En pratique, la confidentialité de l’IA dans l’horeca concerne quatre types de données : les coordonnées (nom, téléphone, e‑mail), les données de réservation (date, heure, nombre de personnes), le contenu des conversations (ce qu’un client dit dans un chat ou un appel téléphonique) et les notes sensibles (allergènes, mobilité, préférences alimentaires). Toutes ces données ne sont pas nécessairement des données personnelles au sens du RGPD, mais combinées, elles le deviennent.

Notre règle est simple : nous traitons uniquement ce qui est nécessaire pour aider le client à ce moment‑là, rien de plus. Ce principe s’appelle la minimisation des données et figure explicitement à l’article 5 du RGPD.

Combien de temps l’IA conserve les données des clients

La durée de conservation standard pour le contenu des conversations est de 30 jours. Après cette période, les conversations sont automatiquement supprimées ou anonymisées. Les données de réservation elles‑mêmes relèvent des durées de conservation du système de réservation de l’entrepreneur, et non de nos systèmes. Les catégories particulières telles que les informations sur les allergènes sont conservées uniquement pendant la durée de la réservation, puis au maximum sept jours supplémentaires pour le traitement d’éventuelles réclamations.

Les entrepreneurs peuvent raccourcir ces délais en concertation si leur propre politique de confidentialité l’exige. Les prolonger est également possible, mais uniquement avec une base légale explicite et une justification dans le registre des traitements.

Où les données sont‑elles physiquement stockées

Toutes les données des clients sont stockées de manière chiffrée sur des serveurs situés dans l’Union européenne. Nous n’utilisons pas de centres de données en dehors de l’UE pour le stockage de données personnelles. Lors de l’utilisation de modèles d’IA, nous opérons autant que possible sur des infrastructures européennes ; lorsque cela n’est pas encore techniquement possible, nous appliquons par défaut des accords de traitement des données et des garanties supplémentaires conformément aux lignes directrices de l’EDPB.

Comment les clients savent qu’ils parlent avec une IA

La European AI Act exige que les clients sachent lorsqu’ils communiquent avec une IA. Nous intégrons cela par défaut dans les premières phrases d’une conversation, dans la langue du client, de manière naturelle afin que cela ne devienne pas une simple mention juridique. Dans le chat, cela apparaît clairement dans le widget de conversation. Au téléphone, le client entend dans le message d’accueil qu’un assistant numérique écoute et aide.

Qui est responsable du traitement et qui est sous‑traitant

Dans le modèle standard, l’entrepreneur de l’horeca est le responsable du traitement et HorecaHub est le sous‑traitant. Cela signifie que l’entrepreneur décide de la finalité de la collecte des données et que nous effectuons le traitement en son nom. Un accord de sous‑traitance est signé par défaut au début de la collaboration. La signature prend moins de cinq minutes et le contenu est basé sur le contrat type de l’Autoriteit Persoonsgegevens.

Quels sont les droits d’un client

Selon le RGPD, un client dispose du droit d’accès, de rectification, d’effacement, de limitation et de portabilité des données. En pratique, nous traitons les demandes via l’entrepreneur de l’horeca : si un client demande la suppression de ses données, l’entrepreneur peut transmettre la demande en un clic dans l’interface d’administration. Nous exécutons la demande dans un délai de cinq jours ouvrables et confirmons par écrit. Pour les demandes sensibles, nous pouvons également échanger directement avec le client, sous réserve de l’accord de l’entrepreneur.

Comment nous gérons les plaintes et les violations de données

En cas de suspicion de violation de données, nous appliquons un protocole d’incident fixe : signalement interne sous 24 heures, analyse d’impact sous 48 heures, notification à l’Autoriteit Persoonsgegevens sous 72 heures si nécessaire. L’entrepreneur est impliqué dès le premier moment et reçoit un rapport écrit détaillant ce qui s’est passé, quelles données ont été affectées et quelles mesures ont été prises. Nous avons volontairement conçu ce protocole court, car la rapidité est déterminante lors d’incidents liés à la confidentialité.

Que dois‑je organiser moi‑même en tant qu’entrepreneur de l’horeca

Trois choses. Premièrement : une déclaration de confidentialité et de cookies à jour sur le site web mentionnant explicitement le traitement par IA. Nous fournissons des blocs de texte standard que vous pouvez reprendre ou faire valider par votre propre juriste. Deuxièmement : un accord de sous‑traitance interne avec HorecaHub, que nous fournissons également par défaut. Troisièmement : de courtes règles internes indiquant qui, dans l’équipe, peut consulter les résultats de l’IA et comment l’équipe doit gérer une demande de client concernant ses données.

Comment cela s’inscrit dans les autres réglementations

Outre le RGPD et la European AI Act, des règles sectorielles spécifiques s’appliquent également à l’horeca. Pensez par exemple aux obligations d’information concernant les allergènes dans le cadre du règlement européen sur l’information alimentaire. Un cadre pratique à jour est disponible via KHN, l’association professionnelle qui fournit à ses membres des traductions des règles européennes vers leur application quotidienne dans l’établissement. Une IA bien configurée aide à communiquer ce type d’informations de manière cohérente et uniforme, quelle que soit la personne derrière le bar ce soir‑là.

Ce que cela signifie pour les évolutions futures

La European AI Act sera introduite progressivement au cours des prochaines années, avec des exigences plus strictes pour les applications à risque élevé. L’IA de service client relève en grande partie d’un régime plus léger, mais la transparence reste la pierre angulaire. Nous suivons activement ces évolutions et adaptons la plateforme avant l’entrée en vigueur de nouvelles règles, afin que les entrepreneurs ne soient jamais pris au dépourvu.

Checklist pratique pour les entrepreneurs

Passez en revue ces cinq points une fois par trimestre : la déclaration de confidentialité du site est‑elle toujours à jour, l’accord de sous‑traitance est‑il au bon nom, l’équipe sait‑elle où transmettre les demandes des clients, les durées de conservation correspondent‑elles à votre pratique actuelle et la mention de l’IA est‑elle toujours visible dans le chat et la téléphonie. Quinze minutes de travail par trimestre, mais cela évite la grande majorité des problèmes de conformité.

Question de suivi fréquente des entrepreneurs

Presque chaque entrepreneur demande : l’Autoriteit Persoonsgegevens peut‑elle me sanctionner si j’utilise l’IA et que quelque chose tourne mal ? La réponse courte est que les amendes proviennent le plus souvent de l’absence de mesures de base : pas d’accord de sous‑traitance, pas de déclaration de confidentialité, pas de procédure de notification. Si ces bases sont en place et que vous travaillez avec un sous‑traitant qui respecte démontrablement le RGPD, le risque d’amende est faible. Nous aidons activement les entrepreneurs à mettre en place ces bases, car une bonne gestion de la confidentialité renforce également la confiance des clients.