Google Gemini dans Workspace : analyse RGPD et Cloud Act pour les entreprises françaises
Google a déployé Gemini 1.5 Pro comme assistant natif dans toute la suite Workspace (Gmail, Docs, Sheets, Meet). Pour les millions d'utilisateurs français de G Suite, cela signifie que leurs données professionnelles alimentent désormais un LLM américain par défaut — sauf opt-out explicite.
Le déploiement de Gemini dans Google Workspace est le cas le plus représentatif du défi RGPD et Cloud Act que posent les assistants IA intégrés aux suites collaboratives. Voici ce que les DSI français doivent savoir et faire.
Ce qui se passe par défaut
Pour les clients Workspace Business et Enterprise, Gemini est activé par défaut dans Gmail (rédaction, synthèse d'emails), Docs (génération de contenu, résumé), Sheets (analyse de données, suggestions de formules) et Meet (transcription et résumé automatiques).
Les données traitées par Gemini dans ce contexte incluent : le contenu de vos emails, vos documents Google Docs, vos données Google Sheets et les transcriptions de vos réunions Meet. Soit l'essentiel de votre activité collaborative quotidienne.
La position de Google sur le RGPD
Google indique que les données des clients Workspace Enterprise ne sont pas utilisées pour entraîner les modèles Gemini publics. Cette garantie est contractuelle (DPA disponible) et couvre le traitement des données de vos utilisateurs.
Cependant, deux points restent problématiques :
- Cloud Act : Google étant une entreprise américaine, ses serveurs — même en Europe — restent soumis au Cloud Act. Les autorités américaines peuvent demander l'accès aux données sans notification à l'entreprise cliente.
- Transferts vers les États-Unis : certains traitements Gemini s'effectuent sur des serveurs américains, même pour les clients européens, selon la documentation technique de Google.
Ce que vous devez faire maintenant
Si votre entreprise utilise Google Workspace et traite des données sensibles (données clients, données financières non publiques, données couvertes par le secret professionnel) :
- Vérifiez l'état d'activation de Gemini dans votre console Admin Google Workspace
- Évaluez si un opt-out est nécessaire pour certains services ou utilisateurs
- Mettez à jour votre registre de traitement RGPD pour inclure Gemini comme sous-traitant
- Informez vos collaborateurs de la présence de cet outil et des données qu'il traite
Pour les secteurs très réglementés (santé, finance, défense), la consultation d'un DPO avant tout déploiement Gemini en production est fortement recommandée.