Utiliser un agent de prospection LinkedIn conforme au RGPD

Un agent de prospection LinkedIn est un système d'IA qui assiste la prospection B2B sur LinkedIn : il recherche des contacts cibles, les enrichit, personnalise le message et rédige des brouillons. L'utiliser en conformité avec le RGPD signifie que le traitement des données repose sur l'art. 6(1)(f) du RGPD (intérêt légitime) avec une mise en balance des intérêts documentée, garantit un droit d'opposition effectif et respecte les obligations de transparence, sans que l'automatisation du navigateur ou le scraping n'enfreignent les conditions d'utilisation de LinkedIn.

L'idée reçue la plus fréquente : puisqu'un agent peut techniquement tout automatiser, ce serait aussi autorisé. En réalité, il existe deux niveaux de risque distincts : le droit contractuel de la plateforme (conditions d'utilisation de LinkedIn) et le cadre légal de la protection des données et de la publicité. Le traitement des données relève du RGPD et, en cas d'effets en Suisse, de la nLPD (art. 3 LPD), y compris pour les prestataires établis en Autriche ou en Allemagne. Les e-mails et SMS publicitaires sont en outre régis par le § 7 UWG en Allemagne, le § 174 TKG 2021 en Autriche et, pour la publicité de masse, l'art. 3, al. 1, let. o LCD en Suisse. Les deux niveaux doivent être respectés indépendamment l'un de l'autre.

Trois réponses rapides pour commencer :

• Ce que les agents peuvent faire sans danger : recherche, enrichissement, personnalisation et brouillons de messages, chaque fois avec une validation humaine avant l'envoi.
• Ce qui est risqué : l'envoi entièrement automatique d'invitations et de messages via l'automatisation du navigateur, le scraping au-delà de l'API officielle, la prise de contact massive sans limitation de fréquence.
• Ce qui est légalement obligatoire : documenter la mise en balance de l'art. 6(1)(f), respecter l'obligation d'information (art. 14) et permettre une opposition simple (art. 21) et, à partir du 2 août 2026, assurer en plus la transparence prévue par le règlement sur l'IA (art. 50) en cas d'interaction directe avec une IA.

Le risque plateforme : automatisation du navigateur et suspension de compte

LinkedIn lutte activement contre les outils d'automatisation. Les Conditions d'utilisation de LinkedIn interdisent expressément les bots et autres méthodes automatisées non autorisées pour ajouter des contacts ou envoyer des messages, tout comme le scraping de profils. Quiconque les enfreint s'expose à la suspension de son compte. Le cas Artisan montre à quelle vitesse LinkedIn intervient : en décembre 2025, LinkedIn a restreint la page entreprise et les profils de collaborateurs de ce fournisseur d'agents outbound. Selon TechCrunch, le CEO Jaspar Carmichael-Jack a avancé deux raisons : l'utilisation du nom LinkedIn sur le site d'Artisan et des courtiers en données qui auraient scrapé LinkedIn sans autorisation. D'après l'article, le spam des agents n'était pas en cause. Début janvier 2026, Artisan a été rétabli. Piloter un agent directement via une connexion LinkedIn, c'est risquer, au-delà d'un débat sur le RGPD, le canal commercial lui-même.

La conséquence stratégique : l'agent ne doit pas se comporter comme un bot qui se connecte à une session LinkedIn et y agit de façon autonome. L'usage est sûr lorsque l'agent travaille hors de la plateforme (recherche, rédaction dans tes propres systèmes) et que l'humain déclenche lui-même les actions proprement dites, invitation ou message, dans l'interface LinkedIn habituelle. LinkedIn reste le canal dominant en B2B dans la zone DACH (Allemagne, Autriche, Suisse) ; Xing n'a pratiquement plus d'intérêt pour un usage B2B. C'est précisément pour cela que le compte a trop de valeur pour être mis en danger par l'automatisation.

La base juridique RGPD de la prospection B2B à froid

Pour la prospection B2B à froid, l'art. 6(1)(f) du RGPD (intérêt légitime) est la base juridique type. Selon les lignes directrices 1/2024 du CEPD (adoptées le 8 octobre 2024) et l'avis 28/2024 du CEPD (17 décembre 2024), le responsable du traitement doit documenter un examen en trois étapes :

1. Test de finalité : l'intérêt doit être licite, réel, actuel et formulé concrètement. « Améliorer la prospection grâce à l'IA » ne suffit pas ; « premier contact qualifié avec des décideurs pertinents pour le produit X », si.
2. Test de nécessité : la finalité pourrait-elle être atteinte avec moins de données ou des données plus anonymes ? Cela plaide pour la minimisation des données : uniquement les champs nécessaires à la prise de contact, pas de copie intégrale du profil.
3. Mise en balance des intérêts : pondération au regard des attentes raisonnables des personnes concernées, de la nature des données et du contexte. Il faut s'appuyer sur les critères du CEPD (l'information était-elle publique ? Quelle relation entre la personne concernée et le responsable du traitement ? Quelle nature de service ? La personne avait-elle conscience d'être en ligne ?).

Public ne veut pas dire libre. Une erreur tenace consiste à croire que les données de profil visibles publiquement échappent au RGPD. La jurisprudence de la CJUE dans l'affaire Meta/Bundeskartellamt (C-252/21, 4 juillet 2023) et les amendes infligées à Clearview AI en Italie, en France, en Grèce, au Royaume-Uni et aux Pays-Bas confirment le contraire : la disponibilité publique ne vaut ni consentement ni autre base juridique, et la mise en balance au titre de l'art. 6(1)(f) reste nécessaire.

Origine des données et obligation d'information. Comme les coordonnées ne sont pas collectées auprès de la personne concernée elle-même (elles proviennent de profils, de courtiers en données B2B ou de services d'enrichissement), l'obligation d'information de l'art. 14 du RGPD s'applique. L'exception des « efforts disproportionnés » (art. 14, par. 5, point b) n'aide en règle générale pas en prospection à froid : si tu écris à la personne, tu dois l'informer, selon l'art. 14, par. 3, point b, au plus tard au moment de la première communication, et en tout état de cause dans un délai d'un mois après la collecte des données (art. 14, par. 3, point a). C'est aussi l'interprétation des lignes directrices sur la transparence du groupe de travail « Article 29 » (WP260 rev.01, points 27 et s.). Concrètement, dès le premier message, tu informes de façon transparente sur la source des données, la finalité, l'intérêt légitime et la manière de s'opposer. La CNIL recommande une information par niveaux : un premier niveau court et clair (nature IA, durée de conservation, opt-out) avec un lien vers un niveau détaillé.

Opposition (art. 21). Pour un traitement fondé sur l'art. 6(1)(f), le droit d'opposition doit être simple, visible et effectif. La prospection B2B à froid relève de la prospection directe, et le droit d'opposition de l'art. 21, par. 2 et 3, du RGPD s'y applique sans condition : la personne concernée n'a rien à justifier et, après son opposition, ses données ne peuvent plus être traitées à des fins de prospection. Une opposition reçue (ou un refus clair dans la conversation) doit entraîner de façon fiable l'arrêt de toute nouvelle sollicitation et la suppression des données dans les systèmes internes. Seule une entrée minimale subsiste dans une liste d'opposition, pour que le contact ne soit pas sollicité à nouveau, par exemple si un courtier en données le fournit une nouvelle fois.

Action, risque, recommandation : le tableau de décision

Le tableau suivant distingue ce que les agents peuvent faire sans danger de ce qui met en péril le compte ou la conformité. Il s'agit d'une analyse experte, pas d'un conseil juridique.

Limitation de fréquence et comportement proche de l'humain

Même lorsque c'est l'humain qui déclenche les actions, la fréquence et les schémas comptent. Des demandes de connexion massives, envoyées à la seconde, sont à la fois un signal de détection technique pour les systèmes de protection de la plateforme et l'indice d'un traitement qui dépasse les attentes raisonnables des personnes concernées. Des volumes quotidiens réalistes, un étalement dans le temps et des messages adaptés au contexte, pas calqués sur un modèle, protègent le compte et constituent un argument dans la mise en balance. En B2B dans la zone DACH, les décideurs repèrent de toute façon en quelques semaines une prospection IA trop formatée ; la délivrabilité et l'image de marque en pâtissent.

Un exemple concret, chiffres à l'appui

Une PME de logiciels de la zone DACH veut contacter 600 décideurs d'entreprises industrielles. Un dispositif conforme au RGPD et aux conditions d'utilisation de LinkedIn se présente ainsi :

• Agent de recherche (hors de LinkedIn) : à partir d'une source de sales intelligence conçue pour le RGPD comme Dealfront (Karlsruhe, ~6 millions d'entreprises, ~24 millions de fiches contacts, chiffres de 2026), il établit une liste aux champs minimisés : nom, fonction, entreprise, une accroche de pertinence.
• Agent de rédaction : rédige pour chaque contact un premier message personnalisé, avec une mention de l'origine des données et de l'opt-out.
• Humain (rep-in-the-loop) : vérifie chaque brouillon, corrige les hallucinations et déclenche lui-même l'invitation et l'envoi dans LinkedIn, par exemple en les étalant sur environ 20 contacts par jour ouvré plutôt que 600 d'un coup. L'enrichissement se fait par tranches hebdomadaires, afin qu'il ne s'écoule jamais plus d'un mois entre la collecte des données et le premier message.
• Logique d'opposition : chaque refus ou opposition est marqué dans le CRM avec subject_id ; une tâche planifiée supprime les données des couches d'enrichissement et de mémoire.

Sont documentés : la LIA (Legitimate Interest Assessment) selon les trois étapes, la liste des sources de données, les durées de conservation et le registre des opt-out. Le traitement est ainsi traçable, et le compte LinkedIn reste intact, puisqu'aucun bot ne le pilote.

Pourquoi l'autonomie totale échoue en B2B dans la zone DACH

La tentation de retirer complètement l'humain est forte, mais les faits plaident contre. Les stacks SDR purement autonomes n'ont pas fait leurs preuves à grande échelle jusqu'ici dans les PME B2B de la zone DACH. En cause, une combinaison de facteurs : l'application stricte des règles de LinkedIn contre l'automatisation, le droit de la publicité (§ 7 UWG en DE, § 174 TKG 2021 en AT, art. 3, al. 1, let. o LCD en CH) et le processus d'achat en plusieurs étapes des PME de la zone DACH (technique, achats, finance, direction ; typiquement de 6 à 18 mois). En Allemagne, un « consentement présumé » ne suffit que pour les appels publicitaires aux entreprises (§ 7, al. 2, n° 1 UWG) ; les e-mails publicitaires à froid y exigent un consentement préalable exprès. En Autriche, le § 174, al. 3, TKG 2021 impose un consentement préalable pour les e-mails publicitaires. S'y ajoute la qualité des produits : le CEO d'Artisan a reconnu que les SDR IA de première génération avaient un « taux d'attrition relativement élevé » et que le propre produit d'Artisan avait à son lancement des « hallucinations extrêmement mauvaises ». Ce qui fonctionne dans la zone DACH, ce n'est pas « remplacer le SDR », mais épauler le commercial en mode rep-in-the-loop.

En Suisse, le droit de la protection des données part d'une autre logique : la nLPD n'exige pas de base juridique pour chaque traitement. Une justification au sens de l'art. 31 (consentement, intérêt prépondérant ou loi) n'est requise que si le traitement porte atteinte à la personnalité des personnes concernées. La responsabilité est plus sévère : les personnes physiques peuvent être punies d'amendes jusqu'à 250 000 CHF en cas de violation intentionnelle des obligations d'information, de renseignement et de diligence ou du secret professionnel (art. 60 à 62 nLPD). L'entreprise elle-même ne peut être condamnée qu'exceptionnellement, à une amende de 50 000 CHF au plus, lorsque l'identification de la personne responsable exigerait des mesures d'instruction disproportionnées (art. 64 nLPD).

Remarque : cet article est une analyse experte et ne remplace pas un conseil juridique. Les articles, délais et procédures cités proviennent des recherches sur lesquelles il s'appuie ; pour évaluer ton cas particulier, fais appel à un conseil juridique compétent.

Pour les agences et les équipes B2B

Pour les agences, l'agent de prospection LinkedIn conforme au RGPD est une offre de service clairement délimitée : tu fournis l'automatisation de la recherche, de la personnalisation et des brouillons, avec mise en balance documentée et processus d'opt-out, et tu laisses volontairement de côté l'automatisation qui pilote le compte. Cela se vend, parce que cela réduit le risque au lieu de le créer. Pour les équipes B2B, la séquence est la suivante : d'abord les comptes rendus de réunion et la mise à jour du CRM (ROI le plus sûr, risque le plus faible), puis la prospection et la personnalisation, et seulement après une validation de conformité au regard du RGPD ou de la nLPD, du § 7 UWG (DE), du § 174 TKG 2021 (AT) et de l'art. 3, al. 1, let. o LCD (CH), ainsi qu'un examen explicite des conditions d'utilisation de LinkedIn, un regard prudent sur une automatisation plus poussée. Si tu gardes l'humain à l'étape de décision, tu gagnes en vitesse sans mettre en jeu ni le compte ni la conformité.