Agentforce entraîne-t-il un modèle d'IA avec les données de mon entreprise ?

Avec l'arrivée d'Agentforce, la couche d'agents IA de Salesforce, de nombreux décideurs se posent une question légitime : les données de mon entreprise, mes échanges clients, mes documents internes vont-ils servir à entraîner un modèle d'intelligence artificielle exploité par d'autres ? La réponse repose sur l'architecture technique et contractuelle mise en place par Salesforce, mais aussi sur la façon dont vous configurez et gouvernez l'outil. Voici les repères pour clarifier ce sujet.

Ce que dit l'architecture d'Agentforce

Agentforce s'appuie sur une brique appelée Einstein Trust Layer. D'après la documentation officielle de Salesforce, cette couche a été conçue précisément pour répondre aux préoccupations de confidentialité liées à l'IA générative. Deux principes structurants y sont mis en avant :

• Aucun entraînement des modèles sur vos données : les grands modèles de langage (LLM) utilisés, qu'ils soient hébergés par Salesforce ou fournis par des partenaires comme OpenAI ou Anthropic, ne sont pas ré-entraînés avec vos données CRM.
• Rétention zéro (« zero data retention ») : les prompts envoyés au modèle et les réponses générées ne sont pas stockés par le fournisseur du modèle une fois la réponse produite. Ils ne sont donc pas réutilisés ni conservés au-delà du traitement.

Concrètement, cela signifie que vos données servent à contextualiser une réponse à un instant T (par exemple récupérer l'historique d'un compte pour rédiger un message), mais pas à améliorer un modèle qui bénéficierait ensuite à d'autres organisations.

Les mécanismes de protection intégrés

Au-delà de la non-utilisation pour l'entraînement, l'Einstein Trust Layer regroupe plusieurs dispositifs décrits par Salesforce :

• Masquage des données sensibles : certaines informations personnelles ou confidentielles peuvent être anonymisées avant d'être envoyées au modèle, puis restaurées dans la réponse finale.
• Ancrage sécurisé (secure data grounding) : les réponses sont générées à partir de vos données autorisées, dans le respect des permissions Salesforce existantes.
• Journalisation et audit : les interactions peuvent être tracées pour permettre un contrôle a posteriori.
• Filtres de toxicité et de conformité sur les contenus générés.

Ces mécanismes visent à maintenir les données dans le périmètre contractuel de Salesforce et à respecter les permissions déjà en place dans votre organisation.

Ce qui reste sous votre responsabilité

La garantie technique ne dispense pas d'une gouvernance côté entreprise. Plusieurs points relèvent directement de vos choix :

• La configuration des accès : Agentforce n'expose que les données auxquelles l'utilisateur ou l'agent a droit. Un paramétrage trop large des permissions peut exposer des informations au-delà du nécessaire.
• Les sources de connaissance connectées : documents, bases de connaissances ou systèmes externes que vous branchez sur les agents. Il vous appartient de cadrer ce qui est ingéré.
• Les cas d'usage retenus : certains traitements (données de santé, données très sensibles) peuvent nécessiter des précautions supplémentaires ou être exclus.
• La conformité RGPD : information des personnes, base légale, durée de conservation dans votre CRM restent de votre ressort.

Les vérifications à mener avant déploiement

Avant d'ouvrir Agentforce à vos équipes, il est prudent de traiter ces points avec votre DSI et votre DPO :

1. Relire les engagements contractuels : DPA (Data Processing Addendum), localisation des données, sous-traitants et fournisseurs de modèles concernés.
2. Confirmer la configuration de l'Einstein Trust Layer et les options activées (masquage, rétention) selon votre édition.
3. Cartographier les données réellement mobilisées par chaque agent et vérifier les permissions associées.
4. Vérifier la localisation d'hébergement et sa compatibilité avec vos exigences (par exemple hébergement en Europe).
5. Documenter les traitements dans votre registre RGPD.

La CNIL (cnil.fr) publie par ailleurs des recommandations générales sur l'usage de l'IA et le RGPD, utiles pour cadrer votre analyse d'impact.

Points de vigilance et évolutions

Deux réserves méritent d'être gardées à l'esprit. D'une part, les fonctionnalités et garanties peuvent varier selon l'édition, le module et la région : ce qui est vrai pour une configuration ne l'est pas nécessairement pour une autre. D'autre part, l'offre IA de Salesforce évolue rapidement ; il est donc conseillé de se référer à la documentation officielle à jour plutôt qu'à des articles anciens. En cas de doute sur un point contractuel précis, demandez une confirmation écrite à votre interlocuteur Salesforce ou à votre intégrateur.

Comment sécuriser votre analyse

La question de l'entraînement des modèles est souvent le point de départ d'un chantier plus large : gouvernance des données, sécurité, conformité et pertinence des cas d'usage d'agents IA. Un intégrateur expérimenté sur Agentforce peut vous aider à traduire les garanties techniques en configuration concrète et en procédures internes.

INTEGREER est une plateforme neutre de mise en relation. Sans lien de partenariat avec Salesforce, elle peut vous orienter vers des intégrateurs qualifiés capables d'auditer votre configuration Agentforce et de cadrer votre projet, sans engagement de votre part.