IA et agents immobiliers : les données clients face à l’IA

La réponse tient en une phrase. L'IA peut vous aider à rédiger une annonce ou un mandat. Mais ne lui confiez jamais les données de vos clients. Une pièce d'identité. Les revenus d'un acquéreur. Le montant d'une offre. Collés dans une IA grand public, ces éléments quittent votre agence. C'est une exposition à un tiers. Or votre agence reste responsable de traitement au sens du RGPD. La bonne méthode existe : anonymisez avant tout prompt, puis restaurez les valeurs en local.

Le problème : des données clients collées dans l'IA

L'usage se répand vite dans les agences. On demande à une IA de rédiger une annonce. On lui fait reformuler un e-mail à un acquéreur. On lui soumet un projet de mandat. Pour gagner du temps, on colle le texte brut. Ce texte contient souvent les données réelles des clients. Le risque naît là, pas dans l'outil lui-même.

Un dossier immobilier concentre des données sensibles. Voici ce qu'un prompt mal préparé peut exposer.

• L'identité et les coordonnées des vendeurs, des acquéreurs et des tiers cités.
• La situation financière des acquéreurs : revenus, apport, capacité d'emprunt.
• Les montants d'offres et les conditions de négociation.
• Les pièces du dossier : mandat, pièce d'identité, justificatifs.

L'enjeu : loi Hoguet, RGPD et confidentialité

L'agent immobilier n'est pas un prestataire ordinaire. Son activité est encadrée par la loi Hoguet. C'est la loi n° 70-9 du 2 janvier 1970. Son décret d'application est le décret n° 72-678 du 20 juillet 1972. Ce cadre impose une carte professionnelle. Elle est délivrée par la chambre de commerce et d'industrie (CCI). Il impose aussi un mandat écrit pour agir. La carte porte une mention selon l'activité : T pour la transaction, G pour la gestion, S pour le syndic.

Attention à une idée reçue. L'agent immobilier n'est pas tenu à un secret professionnel pénal, comme l'est un notaire. Son devoir est la confidentialité et la conformité au RGPD. Cela ne rend pas les données moins sensibles. Cela change seulement la nature de l'obligation.

Le RGPD, lui, s'applique pleinement. Votre agence est responsable de traitement des données clients. Vous portez donc trois obligations clés. Une base légale pour chaque traitement. La minimisation des données collectées. La sécurité de ces données. Le principe de minimisation est simple : ne collecter et n'exposer que le strictement nécessaire.

La CNIL, l'autorité française de protection des données, encadre déjà le secteur. Elle a publié le 27 mai 2021 un référentiel sur la gestion locative. Ce texte cadre les traitements côté bailleurs et intermédiaires. Il n'est pas contraignant. Mais tout écart doit pouvoir se justifier. La CNIL a aussi publié en 2025 des recommandations sur l'IA et le RGPD. Le message est clair. Dès que des données personnelles sont en jeu, le RGPD s'applique. Le règlement européen sur l'IA (AI Act) s'applique aussi.

Un fournisseur d'IA grand public est un tiers. Il est hors du cadre que vous maîtrisez. Coller des données clients dans une IA revient à les transférer à ce tiers. Le contenu peut être retenu, relu ou réutilisé pour entraîner le modèle. Cette exposition crée un risque RGPD réel. Elle suffit à poser problème, même sans fuite publique.

L'IA est-elle interdite en immobilier ?

Non. Aucun texte n'interdit à un agent immobilier d'utiliser l'IA. L'outil peut structurer une annonce, reformuler un e-mail ou proposer un plan de mandat. Ce qui pose problème, c'est l'exposition des données, pas l'usage de l'IA en soi. La question n'est donc pas « faut-il renoncer à l'IA ? ». La question est « comment l'utiliser sans exposer les données clients ? ». La réponse tient en un mot : la minimisation.

La solution : anonymiser avant le prompt

La parade rejoint ce que dit la CNIL. Quand les données personnelles ne sont pas nécessaires au traitement, on les retire en amont. C'est la minimisation appliquée à l'IA. Vous gardez l'outil et gagnez du temps. L'IA, elle, ne voit jamais les vraies valeurs du dossier. Vous restez maître des données clients, sur votre poste.

Concrètement, on procède par étapes. On repère chaque donnée identifiante. On la remplace par un jeton avant l'envoi. L'IA travaille sur la forme du dossier. Elle ne lit jamais les identités ni les montants. On restaure ensuite les vraies valeurs, en local. Voici l'ordre à suivre.

1. 1Repérez les données clients : identité, situation financière, montants d'offres, références.
2. 2Remplacez-les par des jetons réversibles, côté navigateur.
3. 3Envoyez seulement le texte anonymisé à l'IA.
4. 4Restaurez les vraies valeurs dans la réponse, en local, puis relisez le résultat.

C'est le rôle d'ONYRI Sanitize. Le moteur détecte les données sensibles — identités, coordonnées, revenus, montants — et les remplace par des jetons réversibles avant l'envoi. La détection et le mapping restent dans votre navigateur. Seul un texte anonymisé atteint le modèle. L'IA n'y trouve que des jetons, jamais les données de vos clients. Vous obtenez l'aide de l'IA, tout en réduisant l'exposition que le RGPD vous demande de maîtriser.