Gemini Inbox : RGPD et souveraineté de vos emails Workspace

Google teste une nouvelle section Gemini Inbox à l'intérieur de l'application Gemini, destinée aux clients Business et Workspace. Cette fonction trie les emails professionnels et les sort du Gmail habituel pour les centraliser dans la surface Gemini elle-même. Pour une entreprise européenne, confier ce tri à une infrastructure américaine pose une question concrète de conformité.

Réponse directe : Gemini Inbox est une fonction d'assistant IA que Google déploie pour trier automatiquement les emails Workspace (suivi, à relire, terminé). Comme les données transitent vers l'infrastructure de Google, une entreprise européenne y est exposée au régime des transferts de données de l'Article 44 du RGPD et à la portée extra-territoriale du CLOUD Act américain. Les alternatives souveraines (hébergement UE, LLM local) évitent ce risque structurellement.

Qu'est-ce que Gemini Inbox et comment fonctionne le tri des emails ?

D'après les éléments repérés dans des versions récentes de l'application, Gemini Inbox n'est pas encore disponible publiquement. Il s'agit d'un espace dédié au sein de l'application Gemini, pensé pour les comptes Business et Workspace. L'interface s'organise autour de trois filtres :

• Follow up : les éléments à relancer.
• Done : ce qui a été traité.
• Needs review : ce qui attend une validation humaine.

Le filtre Needs review correspond à un agent proactif qui trie les emails et les données des sources connectées, puis les range dans une liste de tâches structurée que l'utilisateur parcourt. Google pousse ainsi vers un flux de type Inbox Zero : les messages ne restent plus dans Gmail, ils remontent dans la surface Gemini. Daily Brief, une autre fonction existante, compile déjà les emails urgents et les éléments de calendrier en un résumé matinal.

Le principe est séduisant sur le papier. Mais dès qu'un email professionnel contient une donnée à caractère personnel (client, salarié, fournisseur), le traitement par un fournisseur américain change la nature juridique de l'opération.

Pourquoi traiter des emails européens via Google pose un problème RGPD

Un email d'entreprise n'est pas qu'un texte. Il embarque des destinataires, des pièces jointes, des contrats, des coordonnées, souvent des données sensibles sur des personnes. Dès lors que Gemini Inbox lit, analyse et résume ces messages, les données personnelles quittent la boîte mail pour alimenter un modèle hébergé sur l'infrastructure de Google.

Pour une société établie dans l'Union européenne, deux mécanismes juridiques s'appliquent immédiatement :

1. Le traitement doit avoir une base légale et un responsable clairement identifié (RGPD, Chapitre II).
2. Si les données sont traitées par un prestataire américain, le transfert hors UE doit être encadré (RGPD, Chapitre V).

C'est précisément là que Gemini Inbox heurte le différenciateur qui compte pour les PME françaises : la souveraineté des données. Mon approche de l'IA souveraine pour les entreprises commence toujours par cette question : où mes données sont-elles traitées, et par qui ?

Qu'est-ce que l'Article 44 du RGPD sur les transferts de données ?

L'Article 44 du RGPD pose le principe : tout transfert de données à caractère personnel vers un pays tiers (hors EEE) ne peut se faire que si le niveau de protection garanti par le RGPD est respecté. Sans garanties adéquates (décisions d'adéquation, clauses contractuelles types, BCR), le transfert est illicite. Or confier le tri de vos emails à une infrastructure américaine relève de ce cadre, sauf à démontrer un encadrement spécifique.

Le CLOUD Act : quand une loi américaine s'applique à vos données européennes

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act), loi américaine promulguée en 2018, autorise les agences de renseignement des États-Unis à exiger d'une entreprise américaine la remise de données, y compris lorsqu'elles sont hébergées sur des serveurs situés en Europe. Il s'applique donc aux filiales européennes de Google, Microsoft ou AWS.

Concrètement, le fait que Google dispose d'un datacenter en Europe ne suffit pas à neutraliser cette exposition. La CNIL rappelle régulièrement que le Cloud Act constitue un risque pour les données hébergées en France par des acteurs sous loi américaine. Les recommandations de la CNIL sur les transferts et sur l'usage des outils d'IA constituent la référence à consulter avant tout déploiement.

Google est-il un sous-traitant au sens de l'Article 28 ?

L'Article 28 du RGPD impose un contrat de sous-traitance (DPA, Data Processing Agreement) dès lors qu'un tiers traite des données pour le compte du responsable. Avec Gemini Inbox, l'entreprise cliente reste responsable du traitement, et Google agit comme sous-traitant sur les données email qu'il analyse.

Les points à vérifier dans le DPA :

• La finalité strictement limitée au tri et à la recherche.
• L'absence de réutilisation des données pour l'entraînement des modèles.
• Les engagements sur la localisation des serveurs et sur les accès.
• L'existence d'un mécanisme de transfert validé (clauses contractuelles types ou décision d'adéquation).

Sans ces garde-fous, l'entreprise qui active la fonction reste exposée juridiquement, même si l'interface paraît innocente.

Quelles alternatives souveraines pour trier ses emails en conformité

Plusieurs architectures permettent d'obtenir un tri intelligent sans céder la souveraineté de vos données :

• LLM auto-hébergé en UE : un modèle open source déployé sur une infrastructure européenne (OVHcloud, Scaleway, Infomaniak) traite les emails localement. Rien ne sort de votre périmètre.
• Fournisseur européen : privilégier une entreprise étabie dans l'UE, soumise au RGPD de bout en bout, sans exposition au CLOUD Act.
• Règle de minimisation : ne transmettre à un modèle que les champs strictement nécessaires au tri, jamais le corps intégral des messages confidentiels.

Ces options s'insèrent dans une logique d'automatisation IA pensée pour la conformité dès la conception (privacy by design), plutôt que greffée après coup.

Checklist RGPD avant d'activer une IA de tri sur vos emails

Avant de brancher un assistant de tri sur votre messagerie professionnelle, vérifiez ces points :

1. Base légale : le traitement des emails des salariés ou clients a-t-il une base légale documentée ?
2. Transfert : l'Article 44 est-il encadré par un mécanisme reconnu (CCT, décision d'adéquation) ?
3. Sous-traitance : un DPA conforme à l'Article 28 est-il signé avec le prestataire ?
4. CLOUD Act : le fournisseur est-il exposé à une loi extra-territoriale américaine ?
5. Minimisation : seules les données nécessaires sont-elles envoyées au modèle ?
6. Hébergement : les serveurs sont-ils situés et juridiquement protégés dans l'UE ?

Pour aller plus loin sur la mise en oeuvre, voir comment intégrer un LLM sans violer le RGPD et déployer un LLM local conforme. Un générateur de réponses IA peut aussi vous aider à structurer les résumés produits par ces agents.

Conclusion

Gemini Inbox illustre une tendance : les éditeurs américains rapprochent l'IA de vos données les plus sensibles. Pour une PME européenne, la commodité du tri automatique ne doit pas masquer les obligations du RGPD et la portée du CLOUD Act. La souveraineté des données n'est pas un détail technique, c'est une condition de conformité.

Parlons-en.