Analyse d'impact : la lecture par l'IA

1. Le traitement

Labelmate est une app de bureau installée sur les ordinateurs du label. Elle se connecte en lecture seule aux boîtes mail que le label choisit et classe contrats, factures et rapports de distributeurs. La lecture par l'IA est facultative et reste désactivée tant qu'une personne du label ne l'active pas pour une boîte. Une fois activée, l'app envoie à Claude, le modèle d'IA d'Anthropic, le texte de deux sortes d'éléments de cette boîte :

• le texte d'un document qui en vient (un contrat, une facture, un rapport), pour dire ce que c'est et proposer des valeurs (un taux, une avance, un montant) ;
• le texte d'un e-mail qui en vient (son objet et son texte), pour voir si quelqu'un attend quelque chose du label.

Finalité : faire gagner du temps à l'équipe du label. L'IA ne fait que proposer. Rien de ce qu'elle propose n'est enregistré sans l'accord d'une personne du label, et chaque valeur proposée doit se retrouver mot pour mot dans le texte du document, sinon elle est écartée. L'IA n'envoie rien, ne décide rien, ne calcule aucune redevance.

2. Catégories de données et de personnes

Masqués avant l'envoi, jamais vus par l'IA : les IBAN (contrôle ISO 13616), les numéros de carte (préfixes des réseaux et contrôle de Luhn) et les numéros de sécurité sociale de France, des États-Unis, du Canada et du Royaume-Uni. Chaque caractère masqué devient X, la longueur du texte ne change pas. Non masqués : noms, adresses, téléphones, adresses e-mail, montants. Aucune donnée sensible (article 9) n'est recherchée ; un contrat ou un e-mail peut en contenir si quelqu'un l'y a écrite (la santé dans un message qui explique un retard, par exemple) : au label d'en tenir compte.

Jamais envoyés à l'IA : les lettres d'information, les notifications automatiques et les envois de musique (écartés par un premier tri sur l'ordinateur), les fichiers eux-mêmes (seulement leur texte), le mot de passe ou le jeton de la boîte, rien d'une boîte dont l'IA est désactivée.

3. Le parcours

• L'e-mail ou le fichier arrive dans la boîte du label et est lu, en lecture seule, par l'app sur l'ordinateur du label, qui le garde dans une base chiffrée (SQLCipher, clé dans le trousseau du système).
• Si l'IA est activée pour cette boîte, l'app extrait le texte, le masque, vérifie le plafond mensuel et appelle api.anthropic.com directement, en HTTPS, avec la clé d'API de Labelmate. Le texte ne passe pas par les serveurs de Labelmate. La clé n'arrive sur l'ordinateur, par notre relais, que pour un jeton de licence valide.
• Anthropic répond ; l'app vérifie la réponse et la garde sur l'ordinateur, pour ne pas renvoyer le même texte.
• Les ordinateurs des collègues reçoivent ce qui a été classé par notre relais, en copies scellées (chiffrées avec des clés qui ne quittent jamais les appareils du label) : le relais ne peut pas les lire.

Destinataire du texte : Anthropic, PBC, aux États-Unis, notre sous-traitant (accord de traitement des données, annexe 1).

4. Durées de conservation

• Sur les ordinateurs du label : tant que le label garde son espace ; c'est lui qui le supprime.
• Chez Anthropic : les entrées et sorties de l'API sont supprimées dans les 30 jours qui suivent leur réception ou leur production, sauf durée plus longue convenue, contenu signalé au titre de sa politique d'utilisation (jusqu'à deux ans), ou obligation légale (privacy.claude.com, article 7996866, lu le 24 septembre 2026). Les conditions commerciales d'Anthropic excluent l'entraînement de ses modèles sur ces données.
• Chez Labelmate : rien. Le texte ne nous parvient pas.

5. Transfert hors de l'EEE

Vers Anthropic, aux États-Unis, sous les clauses contractuelles types (modules deux et trois), avec les avenants britannique et suisse, de l'accord de traitement des données d'Anthropic (anthropic.com/legal/data-processing-addendum, en vigueur le 24 février 2025, lu le 24 septembre 2026). Il ne s'appuie pas sur le cadre de protection des données entre l'Union européenne et les États-Unis.

6. Accord et maîtrise, boîte par boîte

• L'interrupteur est propre à chaque boîte, réglé à sa connexion ou plus tard dans les Réglages. L'activer enregistre qui a accepté, et quelle version du texte d'accord ; une nouvelle version redemande l'accord. Sans cet enregistrement pour la boîte d'où vient un élément, l'élément n'est pas envoyé à l'IA, même si une autre boîte du même ordinateur a l'IA activée.
• La désactiver arrête une lecture en cours ; ce qui attendait n'est pas envoyé.
• Un plafond mensuel est vérifié avant chaque appel ; les Réglages montrent la dépense.
• La base légale du traitement du label (souvent son intérêt légitime à gérer son activité, ou le contrat avec l'artiste) est à fixer et documenter par le label ; l'accord ci-dessus est l'instruction du label à notre égard, pas le consentement des artistes.

7. Mesures de sécurité

Comme à l'annexe 2 de l'accord de traitement des données : chiffrement sur les ordinateurs du label (SQLCipher, clés dans le trousseau du système) ; HTTPS vers Anthropic ; masquage ; clé remise aux seuls ordinateurs sous licence, révocable, nombre d'ordinateurs plafonné par licence ; journaux sans contenu (identifiants, nombres, durées ; jamais un objet, un nom, un montant ni un corps de message) ; relais qui ne garde que des données scellées ; app Mac signée et notariée ; mises à jour signées et vérifiées avant installation.

8. Risques que le label peut peser, et ce qui les réduit

9. Désactiver la lecture par l'IA

Réglages, la boîte, désactiver la lecture par l'IA. Plus rien de ce qui n'est arrivé que par cette boîte n'est envoyé à Anthropic ensuite. Tout le reste de Labelmate fonctionne sans l'IA (classement par règles, relevés, calcul des redevances).

Une question pour votre analyse ? Écrivez à contact@getlabelmate.com.