RGPD et agents IA : stocker la mémoire en Europe

La mémoire des agents IA est une donnée personnelle

Quand votre agent IA stocke "Alice préfère les réponses courtes et parle à ses clients en vouvoiement", c'est une donnée personnelle au sens du RGPD. Vous êtes responsable de traitement. Vous devez savoir où elle est stockée, combien de temps, et pouvoir la supprimer sur demande.

La plupart des équipes qui déploient des agents IA n'ont pas pensé à cela. Ils utilisent des solutions US (OpenAI, Pinecone, Zep Cloud) qui stockent en Virginie ou Ohio. Si vos utilisateurs sont européens, c'est un transfert de données hors UE qui nécessite des garanties contractuelles (SCC, BCR).

Les 4 obligations RGPD pour la mémoire des agents IA

1. Base légale du traitement

Vous avez besoin d'une base légale pour stocker la mémoire de vos utilisateurs. Selon votre contexte :

• Intérêt légitime : améliorer la qualité du service (à documenter dans votre registre de traitement)
• Exécution du contrat : si la mémoire est nécessaire pour fournir le service promis
• Consentement : si vous stockez des données sensibles ou personnalisées au-delà du nécessaire

2. Minimisation des données

Ne stockez que ce qui est nécessaire. Kronvex supporte le TTL sur chaque souvenir. Configurez une expiration adaptée à votre cas d'usage :

POST /api/v1/agents/{id}/remember
{
  "content": "Préférence de contact : email uniquement",
  "ttl_days": 365    // expire après 1 an
}

3. Droit à l'effacement (article 17)

Quand un utilisateur demande la suppression de ses données, vous devez pouvoir effacer toute sa mémoire. Avec Kronvex, un seul appel suffit :

DELETE /api/v1/agents/{user-agent-id}
# Supprime l'agent ET toutes ses mémoires

4. Localisation des données

Kronvex héberge toutes les données sur Supabase Frankfurt (Allemagne). Vos données ne quittent jamais l'UE. Pas de transfert vers des serveurs US, pas de SCC à négocier, pas de décision d'adéquation à surveiller.

Checklist RGPD pour votre agent IA

• ☑ Données stockées dans l'UE (Kronvex Frankfurt)
• ☑ Base légale documentée dans le registre de traitement
• ☑ TTL configuré sur les données sensibles
• ☑ Endpoint de suppression agent intégré dans votre flux RGPD
• ☑ Mention dans votre politique de confidentialité
• ☑ DPA signé avec Kronvex (disponible sur demande)

Kronvex vs alternatives US pour le RGPD