CRM open source et agents IA : garder la main sur vos données

Twenty est le plus récent des cinq, conçu pour être piloté par API : chaque objet que vous ajoutez, une facture par exemple, reçoit aussitôt ses accès REST et GraphQL, comme les objets fournis. Sa licence est l’AGPLv3, à l’exception de fichiers marqués « Enterprise », qui demandent un abonnement pour un usage en production.

EspoCRM et SuiteCRM sont des CRM écrits en PHP, sous AGPLv3. EspoCRM propose l’IA par une extension officielle ; le dépôt de SuiteCRM n’en décrit aucune, et les fonctions d’IA passent par des modules tiers de sa place de marché.

Odoo et Dolibarr sont des progiciels de gestion dont le CRM est un module parmi d’autres : utile si vous voulez aussi devis, factures ou stocks au même endroit. L’édition Community d’Odoo, sous LGPLv3, ne contient pas l’application d’IA d’Odoo ; et sur les offres hébergées par Odoo, sa documentation réserve l’accès aux données par l’API externe au plan Custom. Dolibarr intègre un module d’IA dans son code, qui appelle un service externe.

CRM IA : l’IA de l’éditeur, ou vos agents sur vos données

Deux chemins mènent à un CRM qui travaille avec l’IA. Le premier passe par les fonctions intégrées. Twenty annonce un assistant qui interroge vos fiches en langage courant, et des agents qui enrichissent des fiches, préparent des relances ou signalent les affaires à risque. EspoCRM, par son extension, et Dolibarr proposent résumé, rédaction d’e-mails, classement ou traduction.

Open source ne veut pas dire que ces fonctions restent chez vous. Toutes s’appuient sur un modèle dont vous renseignez la clé (OpenAI, Anthropic, Google ou Mistral, selon le CRM) : le texte traité part chez ce fournisseur. Twenty, EspoCRM et Dolibarr acceptent aussi un service compatible OpenAI, qui peut être un modèle installé sur vos serveurs. C’est ce réglage, plus que la licence du CRM, qui décide où va le texte.

Le second chemin, ce sont vos propres agents, qui lisent et écrivent dans le CRM par son API. Ils font ce que l’éditeur ne prévoit pas : qualifier une demande entrante selon vos règles, rattacher un e-mail à la bonne société, préparer un devis à partir de votre grille. Leur accès se règle comme celui d’un salarié : chez Twenty, une clé d’API peut être limitée à un rôle ; chez EspoCRM, un utilisateur d’API reçoit ses rôles comme les autres. Twenty précise aussi que ses propres agents ne voient que les objets et les champs autorisés au rôle de l’utilisateur. Si une règle fixe suffit, mieux vaut d’ailleurs ne pas mettre d’agent : la grille est dans agent IA ou workflow : comment choisir.

Reste à décider ce qu’un agent a le droit de faire. Dans leur note du 20 juillet 2026 sur l’IA agentique, la CNIL et le Conseil de l’IA et du numérique proposent de classer les actions possibles sur chaque service par niveau de risque (accès aux données, modification, suppression, envoi hors du système) et d’exiger une intervention humaine selon ce niveau. Appliqué à un CRM, cela donne quatre niveaux.

Ce que la note ajoute sur la mémoire des agents et la traçabilité est détaillé dans agents IA et données personnelles.

Le trajet de vos données, de la fiche au modèle

Le trajet s’écrit avant de brancher le premier agent, champ par champ : ce qui sort du CRM, vers quel modèle, et ce qui revient.

Le référentiel de la CNIL sur la gestion commerciale, adopté en 2021 et non contraignant, précise ce qu’est un contact venu du prospect : une demande de documentation ou un clic sur un lien d’un e-mail, mais pas la simple ouverture d’un e-mail. Il recommande aussi des habilitations documentées et revues chaque année, et une journalisation des accès. Sur un CRM que vous hébergez, ces règles se programment : une tâche qui signale les fiches arrivées à trois ans, un journal des accès que vous gardez.

Un cas réel, dans son état au 5 octobre 2026

Aucun CRM Twenty n’est en production à ce jour, ni chez un client, ni sur notre infrastructure. Le cas le plus proche est une base de prospection qualifiée en août 2026 pour un organisme de formation professionnelle qui visait des bureaux d’études techniques. La base, 490 sociétés et 616 contacts issus de fichiers par code NAF, était tenue dans NocoDB. Son modèle de données a été préparé pour passer dans Twenty sans ressaisie, mais cette bascule reste une cible.

La qualification a tourné sur des règles, sans IA générative : lecture du site de chaque société pour confirmer son activité, classement en cible ou hors cible avec un motif, puis recherche d’un décideur par société sous quota journalier. 133 sociétés ont été qualifiées par lecture de site, dont 63 sorties en hors cible, et 21 contacts rattachés à la mauvaise société ont été détectés.

Les limites sont nettes. 50 rattachements douteux restent à vérifier à la main. Aucune campagne n’est partie, donc aucun taux de réponse n’est mesuré : la prospection par e-mail reste bloquée tant que le lien de désinscription n’est pas conforme au RGPD. Ce cas ne prouve pas qu’un CRM fait vendre ; il montre qu’une base tenue sur vos propres outils se mesure avant de servir. La méthode, étape par étape, est dans prospection B2B européenne automatisée et conforme au RGPD.

Choisir en quatre étapes

L’ordre compte : les données d’abord, l’outil ensuite.

Le CRM n’est qu’un des processus à outiller : la grille pour choisir le premier est dans quels processus automatiser en premier, et la méthode d’ensemble dans automatisation IA en PME. Pour le cadre général, voyez IA et protection des données : six décisions avant de déployer.

Pour cadrer votre CRM, le cadrage de 30 minutes est offert : prenez rendez-vous, ou lisez le détail de l’offre Automatisation et CRM.

Sources

Questions fréquentes

À lire aussi