Siri AI s’ouvre aux applications tierces : les points RGPD à régler avant le printemps 2027

Sommaire

Avec la préversion de Siri AI, chaque action et chaque contenu déclarés par une application deviennent utilisables par l’assistant.

Depuis le 3 novembre 2026, n’importe quel développeur peut brancher son application sur Siri AI. Apple a ouvert une préversion dans les bêtas d’iOS, iPadOS, macOS et visionOS 27.3, avec les App Intents comme point d’entrée. Apple précise aussi que Siri AI reste indisponible dans l’Union européenne sur iPhone, iPad et Apple Watch, ce qui réduit nettement la portée immédiate de l’annonce pour un public français.

Ce que la préversion Siri AI permet aux développeurs

L’éditeur déclare les contenus de son application (les entités) et les actions que Siri a le droit d’utiliser. Une nouvelle macro transforme une intention en outil que l’assistant peut appeler, et les contenus indexés dans Spotlight deviennent accessibles à Siri. Siri AI combine ensuite ces éléments avec le contexte personnel de l’utilisateur et ce qui s’affiche à l’écran.

A lire aussi sur DPO PARTAGE

Des agents IA de Railway ont sondé l’infrastructure d’un concurrent : les leçons RGPD pour vos agents et vos hébergeurs

Tutoriel entreprise : utiliser Microsoft 365 Copilot avec vos documents internes dans le respect du RGPD

Filigrane des textes produits par Claude : ce que l’AI Act exige vraiment

Pour les demandes en plusieurs étapes, Apple introduit les compétences d’application : des fichiers SKILL.md, rédigés en Markdown, qui décrivent par exemple comment passer une commande ou réserver une table. Apple prévient que ces compétences ne garantissent pas un comportement déterministe et que Siri n’appelle pas forcément les outils listés dans l’ordre prévu.

Les tests sont réservés aux versions signées en développement et aux testeurs internes de TestFlight. Apple annonce une arrivée chez les utilisateurs d’ici quelques mois et l’ouverture des soumissions App Store au printemps. Les conditions d’utilisation et les règles d’usage ne sont pas encore publiées. La bêta prévoit aussi des plafonds quotidiens côté serveur, six langues et une exclusion des moins de 13 ans.

Calendrier annoncé par Apple pour Siri AI et ce que chaque étape implique pour un éditeur d’application
Échéance	Étape	Ce que cela change pour l’éditeur
3 novembre 2026	Ouverture de la préversion dans les bêtas 27.3.	Tests possibles en interne, avec des données fictives.
Date non fixée	Publication des conditions d’utilisation et des règles d’usage.	Moment de qualifier le rôle d’Apple et de finaliser la documentation RGPD.
D’ici quelques mois	Arrivée de Siri AI chez les utilisateurs, hors iPhone, iPad et Apple Watch dans l’Union européenne.	Les utilisateurs européens sur Mac et les marchés hors UE sont concernés en premier.
Printemps 2027	Ouverture des soumissions App Store pour les intégrations Siri AI.	Registre, information des personnes et AIPD éventuelle doivent être prêts avant cette date.

Pourquoi chaque intention exposée à Siri est un choix de traitement

Exposer une entité à Siri revient à mettre des données à disposition d’un assistant qui les croisera avec d’autres informations sur la personne. Le principe de minimisation (article 5) et la protection dès la conception (article 25) s’appliquent donc dès la rédaction du code. Une application de livraison peut exposer le statut d’une commande en cours sans livrer l’historique complet des achats. Une application de banque peut proposer un solde sans exposer le détail des opérations.

Beaucoup d’applications ont déjà des App Intents, déclarés à l’époque pour l’application Raccourcis. Ces intentions anciennes méritent une relecture : elles n’avaient pas été pensées pour un assistant capable de raisonner sur le contexte personnel.

Vérifier soi-même ce que l’application expose

Le DPO n’a pas besoin de lire le code Swift. Il demande à l’équipe mobile de remplir le tableau ci-dessous pour chaque élément trouvé, puis contrôle les réponses lors d’un test sur un appareil de développement. Le test compte davantage que la déclaration : ce que Siri répond vraiment montre ce qui est exposé.

Pour chaque type d’élément Siri : ce que l’équipe voit, ce que cela signifie, la version maîtrisée et le test à faire
Élément	Ce que l’équipe voit	Ce que cela signifie	Version maîtrisée	Comment vérifier
Entités	Des types de données déclarés comme entités App Intents (commande, rendez-vous, client).	Siri peut lire ces contenus et les combiner avec le reste du contexte personnel.	Chaque entité ne porte que les champs utiles à une demande vocale précise.	Demander à Siri ce qu’il sait d’une commande de test, puis comparer avec la liste des champs prévus.
Outils	Des intentions marquées comme outils appelables par Siri.	Siri peut déclencher l’action sans que l’utilisateur ouvre l’application.	Les actions engageantes (paiement, envoi, suppression) demandent une confirmation dans l’application.	Lancer chaque action à la voix et noter si une confirmation apparaît avant l’exécution.
Spotlight	Des contenus de l’application indexés dans Spotlight.	Ces contenus deviennent visibles pour Siri, au-delà de la simple recherche.	Les contenus sensibles restent hors de l’index.	Taper dans la recherche de l’appareil un mot tiré d’un contenu sensible et vérifier qu’il ne remonte pas.
Compétences	Des fichiers SKILL.md dans le bundle de compétences de l’application.	Siri suit ces consignes de façon souple, sans garantie d’ordre.	Aucune règle de sécurité ou de conformité ne dépend d’une compétence.	Relire chaque fichier et repérer toute étape qui suppose un ordre strict.

L’avis du DPO : partir de zéro plutôt que tout reprendre

La tentation sera de marquer comme outils toutes les intentions déjà écrites pour Raccourcis, parce que c’est rapide. Je conseille l’inverse : repartir d’une liste vide et n’ajouter une entité ou une action que si l’on sait dire en une phrase quelle demande vocale elle sert. Une entité sans usage clair n’apporte rien à l’utilisateur et alourdit le registre, l’information des personnes et, le cas échéant, l’AIPD.

Le rôle d’Apple dans le traitement reste à qualifier

Tant que les conditions d’Apple ne sont pas publiées, impossible de dire avec certitude si Apple agit comme responsable de traitement distinct, pour le compte de l’éditeur, ou selon un schéma mixte. La réponse dépendra de l’endroit où les requêtes sont traitées et de ce que prévoient les futurs contrats. L’analyse doit être calée sur le calendrier d’Apple et terminée avant la première soumission, avec la mise à jour du registre et de la politique de confidentialité.

Santé, paiement, mineurs : les intégrations qui demandent plus de précautions

Trois familles d’applications appellent une analyse plus poussée, parce qu’une erreur y touche des données sensibles, de l’argent ou des enfants.

Applications de santé

Prise de rendez-vous, rappels de traitement, résultats d’examens : toutes ces données relèvent de l’article 9. Une intégration vocale qui y touche entre très probablement dans les cas où une analyse d’impact (AIPD) s’impose. Un détail concret à tester : un assistant qui lit un résultat à voix haute dans un open space ou une voiture partagée expose une donnée de santé à des tiers sans qu’aucun système n’ait été piraté.

Paiement et actions engageantes

Un passage en caisse piloté par une compétence non déterministe doit se terminer par une confirmation explicite dans l’application. Même règle pour un envoi de message, une suppression ou une modification de compte. Le recueil d’un consentement au sens du RGPD ne peut pas reposer sur une compétence Siri.

Publics jeunes

Siri AI n’est pas proposé aux moins de 13 ans. Une application familiale ou éducative doit prévoir un parcours qui fonctionne sans l’assistant, et une information adaptée pour les parents.

Que faire selon ma situation ?

Nous éditons une application grand public

Commencez par le tableau des éléments exposés, puis préparez la mise à jour de la politique de confidentialité. Vos utilisateurs européens sur Mac et vos marchés hors UE seront concernés avant les utilisateurs d’iPhone en France.

Notre application traite des données de santé

Ouvrez l’AIPD dès la phase de test, en y intégrant le risque d’écoute par des tiers. Limitez l’exposition à des informations non médicales (date et lieu d’un rendez-vous, par exemple) tant que l’analyse n’est pas validée.

Notre application vise les familles ou les enfants

Vérifiez que tout le parcours fonctionne sans Siri, puisque les moins de 13 ans n’y ont pas accès. Prévoyez une information claire destinée aux parents.

Les six étapes RGPD à mener avant le printemps 2027

Le délai jusqu’à l’ouverture de l’App Store suffit pour faire les choses dans l’ordre, à condition de commencer pendant la phase de test.

Inventorier les intentions et entités déjà déclarées dans l’application.
Classer chaque entité selon la sensibilité des données qu’elle porte, et retirer celles qui n’ont rien à faire dans un assistant.
Tester sur TestFlight interne avec des comptes et des données fictifs, jamais avec des données de clients réels.
Inscrire l’intégration Siri au registre comme évolution du traitement, et lancer l’AIPD pour les cas sensibles.
Préparer le paragraphe de la politique de confidentialité : ce que Siri peut lire et faire dans l’application, et comment le désactiver.
Fixer une revue à la publication des conditions d’Apple, avant la soumission sur l’App Store.

DPO SUITE

Avec DPO SUITE, l’évolution du traitement, l’AIPD et le suivi des actions restent dans le même outil. Le jour où Apple publie ses conditions, le DPO reprend le dossier là où il l’avait laissé.

Vérifier ses connaissances sur Siri AI et le RGPD

Trois questions pour savoir si vous êtes prêt à cadrer le projet avec l’équipe mobile.

1. Un utilisateur d’iPhone en France pourra-t-il utiliser l’intégration Siri AI de votre application ce printemps ?

A. Oui, dès l’ouverture de l’App Store

Pas tout à fait. La bonne réponse est B. Apple indique que Siri AI reste indisponible dans l’Union européenne sur iPhone, iPad et Apple Watch.

B. Non, pas en l’état des annonces d’Apple

Bien vu. L’Union européenne reste exclue sur iPhone, iPad et Apple Watch. Les utilisateurs sur Mac et hors UE sont les premiers concernés.

2. Qui peut tester l’intégration pendant la préversion ?

A. Les testeurs internes de TestFlight et les versions de développement

Bien vu. Les testeurs externes et les utilisateurs de l’App Store n’ont pas accès aux fonctions de la préversion.

B. Tous les testeurs TestFlight, y compris externes

Pas tout à fait. La bonne réponse est A. Apple limite la préversion aux versions signées en développement et aux testeurs internes.

3. Une compétence Siri peut-elle servir à recueillir un consentement au sens du RGPD ?

A. Oui, si le fichier SKILL.md le prévoit

Pas tout à fait. La bonne réponse est B. Apple prévient que Siri ne suit pas forcément les étapes d’une compétence dans l’ordre. Un consentement doit être libre, spécifique, éclairé et univoque, et l’éditeur doit pouvoir le prouver.

B. Non, le consentement reste géré dans l’application

Bien vu. Une compétence au comportement souple ne permet pas de démontrer qu’un consentement valable a été recueilli.

Voir le barème

3 bonnes réponses : vous pouvez cadrer le projet avec l’équipe mobile. 2 bonnes réponses : relisez le calendrier et la partie sur le paiement. 0 ou 1 : reprenez le tableau des éléments exposés avec un développeur.

L’essentiel à retenir sur Siri AI et la protection des données

Les éditeurs ont jusqu’au printemps pour construire leur intégration, et l’Europe attend toujours Siri AI sur iPhone. Ce délai laisse le temps de faire les choses dans l’ordre : décider ce que l’on expose, documenter, tester avec de fausses données. Les applications qui arriveront prêtes à la soumission auront fait ce travail pendant l’hiver.

DPO FRANCE

Votre intégration Siri sera-t-elle prête au printemps ?

Un DPO du réseau DPO FRANCE relit avec vous les données exposées, conduit l’AIPD si elle s’impose et prépare la mise à jour du registre.

Être rappelé par un DPO

Sources consultées

Questions fréquentes

Siri AI est-il disponible en France ?

Pas sur iPhone, iPad ni Apple Watch : Apple indique que Siri AI reste indisponible dans l’Union européenne sur ces appareils. La préversion pour développeurs concerne aussi macOS, où la restriction européenne n’est pas mentionnée. Apple n’a donné aucune date d’ouverture pour l’Europe.

Quand les applications pourront-elles utiliser Siri AI ?

Apple annonce l’ouverture des soumissions sur l’App Store au printemps 2027 pour les applications intégrées à Siri AI. D’ici là, seules les versions de développement et les testeurs internes de TestFlight y ont accès. Apple prévoit une arrivée de Siri AI chez les utilisateurs d’ici quelques mois, sans date précise.

Comment intégrer son application à Siri AI ?

L’intégration passe par le framework App Intents : l’éditeur déclare les contenus (entités) et les actions que Siri peut utiliser. Les demandes en plusieurs étapes se décrivent dans des compétences d’application, des fichiers SKILL.md rédigés en Markdown. La documentation Apple de la préversion détaille la marche à suivre.

Faut-il une AIPD pour intégrer Siri à une application ?

Pas dans tous les cas, mais elle devient très probable dès que l’intégration touche des données de santé, des données financières détaillées ou des publics vulnérables. Le DPO tranche à partir de l’inventaire des entités exposées. Mieux vaut l’ouvrir pendant la phase de test, quand les choix techniques sont encore faciles à modifier.

Apple est-il sous-traitant quand Siri utilise les données d’une application ?

On ne peut pas encore le dire, car Apple n’a pas publié les conditions d’utilisation de Siri AI pour les développeurs. Selon le lieu de traitement des requêtes et les futurs contrats, Apple pourrait agir comme responsable de traitement distinct, comme sous-traitant ou selon un schéma mixte. L’analyse doit être terminée avant la première soumission.

Peut-on tester Siri AI avec de vraies données clients ?

Mieux vaut l’éviter. Les tests fonctionnent très bien avec des comptes fictifs, et utiliser des données de clients réels ajoute une finalité qu’il faudrait documenter et justifier. Des jeux de données inventés couvrent aussi les cas limites qu’on ne trouve pas toujours dans la base réelle.