Gestion documentaire avec des normes élevées de protection des données : à quoi faut-il veiller

Un système de gestion documentaire (DMS) avec des normes élevées de protection des données se reconnaît à sept caractéristiques : traitement dans l’UE, contrat de sous-traitance, droits d’accès granulaires, chiffrement, journalisation complète, concept de suppression et de conservation, ainsi qu’archivage conforme à l’audit.Si le système contient des fonctions d’IA, il faut en outre exclure que vos documents soient utilisés pour l’entraînement de modèles tiers.

Pour qui des normes élevées de protection des données sont particulièrement importantes

• Organismes sociaux, soins et santé : Les données de santé et sociales sont particulièrement protégées.
• Cabinets d’avocats et conseil fiscal : Secrets professionnels et données des clients.
• Communes et administration : Données des citoyens et procédures ayant des conséquences juridiques.
• Services des ressources humaines : Candidatures, contrats, informations de santé.
• Entreprises détenant des secrets d’affaires : Contrats, calculs, conceptions.

Les sept critères en détail

1. Lieu de traitement

Où se trouvent les données, les sauvegardes et le traitement ? Un traitement en Allemagne ou dans l’UE simplifie considérablement l’évaluation juridique. Renseignez-vous aussi sur les accès du support depuis des pays tiers.

2. Traitement des données pour le compte d’un tiers

Sans DPA selon l’art. 28 du RGPD , vous ne pouvez pas déposer de documents à caractère personnel dans un DMS cloud. Demandez à voir la liste des sous-traitants.

3. Droits d’accès

Les droits devraient pouvoir être attribués au niveau des dossiers, des documents et des rôles. Une personne qui ne doit pas voir un document ne doit pas non plus le retrouver dans les résultats de recherche ou dans les réponses de l’IA.

4. Chiffrement

La transmission chiffrée est obligatoire, le stockage chiffré devrait être la norme.

5. Journalisation

Qui a ouvert, modifié ou supprimé quel document et quand ? Les journaux sont importants pour les demandes relatives à la protection des données, les incidents de sécurité et les audits.

6. Suppression et conservation

Le RGPD exige de supprimer les données lorsque la finalité disparaît ; le droit commercial et fiscal exige en revanche leur conservation – pour les pièces comptables, huit ans depuis 2025. Un bon DMS intègre les deux avec des délais de conservation et des règles de suppression ab.

7. Sécurité d’audit

Les documents fiscalement pertinents doivent être archivés de manière inaltérable et traçable conformément aux GoBD. En savoir plus dans Archivage numérique en entreprise.

IA dans le DMS : questions supplémentaires

• Où fonctionne le modèle de langage – chez le fournisseur de DMS, chez un prestataire tiers, dans l’UE ?
• Les documents ou les questions sont-ils utilisés pour l’entraînement ?
• La recherche IA respecte-t-elle les droits d’accès ?
• L’IA indique-t-elle la source de sa réponse ?

Ces exigences sont remplies par notre recherche documentaire IA: traitement en Allemagne, accord de traitement des données (AVV), reprise des droits d’accès existants et réponses avec indication des sources. Elle ne remplace pas un DMS, mais rend les classements existants consultables. Détails : Recherche documentaire IA et RGPD.

Open source ou service cloud ?

Les systèmes open source auto-hébergés offrent un contrôle maximal sur les données, mais exigent l’exploitation, les mises à jour et les sauvegardes. Les services cloud prennent en charge ce travail, mais nécessitent en contrepartie un examen attentif des contrats et des lieux de traitement. Une forme hybride est un système open source qu’un prestataire exploite pour vous dans un centre de données allemand.

Sélection en cinq étapes

1. Recenser les types de documents et les besoins de protection.
2. Définir les exigences en matière de droits d’accès, de conservation et d’archivage.
3. Comparer les prestataires à l’aide de la liste de critères.
4. Impliquer tôt les délégués à la protection des données.
5. Piloter dans un service, puis étendre.

La manière de structurer judicieusement un classement numérique est décrite Système de classement numérique pour les entreprises.

Grille de comparaison pour la sélection

• Colonnes : Critère · Fournisseur A · Fournisseur B · Fournisseur C · Pondération
• Critères :Lieu de traitement, DPA, droits, chiffrement, journaux, concept de suppression, sécurité d’audit, fonctions d’IA, interfaces, exploitation
• Évaluation : 2 = satisfait, 1 = partiellement, 0 = non satisfait
• Pondération : Critères relatifs à la protection des données comptent double

Erreurs fréquentes lors de la mise en place

• Reprendre les héritages sans filtrage : Trier les documents obsolètes avant la migration.
• Attribuer les droits de manière trop large : « Tout le monde voit tout » est pratique, mais rarement autorisé.
• Pas de concept de suppression : Sans règles, le système croît de manière incontrôlée.
• Dépôts fantômes : Si le DMS est peu pratique, les documents finissent à nouveau sur les bureaux et dans les e-mails.

Comment l’IA transforme le travail avec un DMS

Les DMS classiques s’appuient sur des dossiers et des mots-clés. L’IA y ajoute une recherche par contenu: les collaborateurs posent une question et obtiennent la réponse avec la source. En outre, l’IA peut classer les documents entrants, proposer des métadonnées et résumer les contenus. La condition reste un concept clair de droits et de protection des données – car une IA qui trouve tout trouve aussi ce qu’elle ne doit pas afficher si les droits ne sont pas corrects.

Exemple pratique : recherche d’informations dans une organisation sociale

Dans les établissements sociaux, les concepts, manuels qualité, consignes de service et formulaires sont souvent répartis sur plusieurs lecteurs. Une recherche documentaire par IA peut rendre ces fonds consultables sans les déplacer : les collaborateurs demandent « Que faut-il documenter en cas de chute pendant le service de nuit ? » et obtiennent la réponse avec un renvoi vers l’extrait correspondant du manuel. Comme les droits d’accès du dépôt sont repris, l’aide-soignant ne voit pas les dossiers du personnel et l’administration ne voit pas les dossiers des usagers. Cet exemple est illustratif ; la mise en œuvre concrète dépend du classement, des droits d’accès et du concept de protection des données.

À propos de bettersorted

bettersorted est une entreprise de conseil et d’automatisation en IA basée à Schwerin. Nous sommes un conseiller enregistré auprès du BAFA, un coach INQA autorisé et cofondateur du réseau KI|werk MV ; notre expérience provient de l’économie sociale, de l’artisanat et des PME. Nos solutions fonctionnent sur des serveurs en Allemagne, avec des workflows consultables au lieu d’une boîte noire.

Questions fréquemment posées

Quel logiciel de gestion documentaire convient en cas d’exigences élevées en matière de protection des données ?

Systèmes avec traitement en Allemagne ou dans l’UE, contrat de sous-traitance selon l’art. 28 du RGPD, droits d’accès fins, chiffrement, journalisation, concept de suppression et archivage à valeur probante. Qu’il s’agisse d’open source ou de cloud, cela dépend de la charge d’exploitation que vous pouvez assumer.

Un DMS cloud est-il conforme au RGPD ?

Il peut être conforme au RGPD si le lieu de traitement, le contrat de sous-traitance, les sous-traitants et les mesures techniques sont appropriés. Cela doit être vérifié au cas par cas.

Les fonctions d’IA dans le DMS peuvent-elles utiliser mes documents pour l’entraînement ?

Cela devrait être exclu contractuellement. Les fournisseurs sérieux n’utilisent pas les documents clients pour entraîner des modèles généraux ou proposent une option de désactivation claire.

Combien de temps les documents doivent-ils être conservés ?

Cela dépend du type de document. Les pièces comptables comme les factures doivent être conservées huit ans à partir de 2025, les courriers commerciaux reçus et envoyés six ans. Des règles spécifiques s’appliquent aux données du personnel, de santé et sociales.

État : octobre 2026.