Chatbot d’entreprise : obligations RGPD et AI Act

Un chatbot qui répond à vos visiteurs traite presque toujours des données personnelles : le RGPD s’applique donc dès le premier message. Vous devez définir pourquoi vous les traitez, en informer les personnes, limiter ce que vous collectez, encadrer vos sous-traitants et fixer une durée de conservation. Le règlement européen sur l’IA (AI Act) ajoute surtout, pour ce type d’outil, une exigence de transparence : l’utilisateur doit savoir qu’il échange avec une IA. Selon la Commission européenne, ces règles de transparence entrent en application en août 2026.

Cet article est un repère de lecture au 21 octobre 2026, pas un avis juridique. Le calendrier de l’AI Act a été modifié cette année et les lignes directrices évoluent : vérifiez les sources officielles citées et, pour un cas sensible, faites relire votre projet par un juriste ou votre délégué à la protection des données. Notre page chatbots intelligents présente la façon dont nous abordons la conception ; l’IA conforme au RGPD décrit l’accompagnement dédié à ce sujet.

Quelles données personnelles un chatbot traite-t-il ?

Plus que ce que l’on imagine. Outre le nom et l’adresse électronique saisis volontairement, un chatbot reçoit le contenu libre des messages (qui peut contenir des informations de santé, de situation personnelle ou de litige que vous n’avez pas demandées), des identifiants techniques, parfois l’historique de navigation et la page d’origine. Si le chatbot passe par un fournisseur de modèle d’IA, ces messages quittent votre site pour être traités ailleurs.

Faites l’inventaire de quatre éléments : les données saisies par l’utilisateur, les données ajoutées automatiquement, les services qui les reçoivent et l’endroit où elles sont conservées. Notre article sur l’IA et le RGPD avec les données clients détaille les erreurs courantes avec les outils généralistes.

Quelles obligations RGPD s’appliquent à un chatbot ?

Les principes sont ceux de tout traitement de données personnelles. Dans le cas d’un chatbot, ils se traduisent ainsi :

• Finalité claire : répondre aux questions sur vos services, prendre un rendez-vous, qualifier une demande. Une finalité précise évite de réutiliser les conversations pour autre chose.
• Base légale : l’intérêt légitime, l’exécution de mesures précontractuelles ou le consentement selon l’usage. Le choix se justifie par écrit.
• Minimisation : ne demandez que ce qui est nécessaire, et avertissez les utilisateurs de ne pas saisir de données sensibles si le chatbot n’en a pas besoin.
• Information des personnes : la CNIL rappelle les éléments d’information à fournir (finalité, catégories de données, destinataires, durée de conservation, droits) dans sa page IA : informer les personnes concernées. Un lien vers votre politique de confidentialité, visible dès l’ouverture du chat, est un point de départ.
• Durée de conservation : fixée selon la finalité, avec suppression ou anonymisation ensuite.
• Droits des personnes : accès, rectification, effacement, opposition. Prévoyez comment retrouver les conversations d’une personne qui en fait la demande.
• Sécurité : contrôle des accès aux journaux, chiffrement des échanges, journalisation maîtrisée. Voir l’article 32 du RGPD sur la CNIL.
• Registre et analyse d’impact : le traitement doit figurer au registre. Une analyse d’impact (AIPD, article 35) peut être nécessaire selon l’ampleur ou la sensibilité des données ; le DPO ou un conseil juridique aide à trancher.

Comment encadrer le fournisseur du modèle et de l’hébergement ?

Si un prestataire traite les conversations pour votre compte, il agit en tant que sous-traitant. L’article 28 du RGPD impose un contrat qui précise les instructions, la sécurité, le recours à d’autres sous-traitants et le sort des données en fin de contrat.

Posez ces questions au fournisseur du modèle et de l’hébergement :

• Où sont traitées et stockées les conversations ?
• Sont-elles utilisées pour entraîner ou améliorer le modèle ? Peut-on le désactiver ?
• Combien de temps sont-elles conservées côté fournisseur ?
• Quels sous-traitants ultérieurs interviennent ?
• Comment sont gérés les transferts hors de l’Union européenne ?
• Quels outils de suppression et d’export sont proposés ?

Gardez la réponse écrite. Si le fournisseur ne sait pas répondre, ce n’est pas un bon signe pour un traitement de données de clients.

Que dit l’AI Act sur les chatbots ?

Le règlement (UE) 2024/1689, publié sur EUR-Lex, classe les systèmes d’IA par niveau de risque. Un chatbot de service client ou d’information relève en général des obligations de transparence plutôt que de la catégorie haut risque. Selon la page de la Commission européenne sur le cadre réglementaire de l’IA, les personnes doivent être informées lorsqu’elles interagissent avec un système d’IA, et ces règles de transparence entrent en application en août 2026.

Trois nuances pour rester prudent au 21 octobre 2026 :

1. La Commission indique que le règlement est applicable depuis le 2 août 2026, avec certaines exceptions. Les modalités détaillées de la transparence (formulation, exceptions, marquage des contenus générés) relèvent du texte et des lignes directrices : lisez-les ou demandez un avis avant de figer votre message d’information.
2. L’« omnibus IA », entré en vigueur le 27 juillet 2026 selon la Commission, a repoussé au 2 décembre 2027 les règles pour les systèmes à haut risque de l’annexe III (emploi, éducation, biométrie). Un chatbot qui trie des candidatures ou évalue des personnes ne se traite pas comme un chatbot d’information.
3. Votre rôle dépend de l’usage : une entreprise qui installe un chatbot conçu par un tiers est généralement déployeur ; si elle le développe ou le commercialise sous son nom, d’autres obligations peuvent s’ajouter. Notre article AI Act : ce que doit savoir une PME détaille le calendrier et les rôles.

Comment appliquer ces règles concrètement sur votre site ?

Voici une liste de mise en œuvre que vous pouvez confier à votre prestataire :

1. Annoncez dès le premier message que l’utilisateur parle à un assistant automatisé, avec un lien vers l’information RGPD.
2. Proposez un contact humain pour les demandes de devis, les réclamations ou toute situation sensible.
3. Affichez un avertissement invitant à ne pas saisir de données sensibles ni de coordonnées bancaires.
4. Limitez ce que le chatbot sait faire : périmètre de réponses, sources autorisées, pas d’action sans validation humaine.
5. Définissez la durée de conservation des conversations et automatisez la purge.
6. Mettez à jour la politique de confidentialité et le registre des traitements.
7. Encadrez les fournisseurs par contrat et vérifiez les options de traitement des données.
8. Testez le chatbot sur des questions piégeuses avant la mise en ligne, notamment sur les fuites d’informations : voir notre guide sur la sécurisation d’un chatbot IA.
9. Sensibilisez l’équipe : l’obligation de maîtrise de l’IA de l’AI Act, dont la formulation a été ajustée en 2026, rejoint cet objectif de formation.

Pour les aspects techniques et le coût, voir notre guide sur le coût et la mise en place d’un chatbot IA.

Exemple fictif : un cabinet de conseil et son assistant de site

Cet exemple est fictif et ne décrit ni un client ni un résultat mesuré.

Un cabinet de conseil ajoute un assistant qui répond aux questions sur ses prestations et propose un rendez-vous. Le premier message présente l’assistant comme automatisé, renvoie vers la politique de confidentialité et invite à ne pas partager de données sensibles. Les conversations sont conservées pour une durée limitée définie à l’avance, l’accès est réservé à deux personnes et le contrat avec le fournisseur du modèle précise l’absence de réutilisation pour l’entraînement. Les demandes de devis sont transmises à un humain. Dans cet exemple, le cabinet n’a pas supprimé tous les risques ; il a documenté ses choix et limité les données.

FAQ

Mon chatbot doit-il obligatoirement dire qu’il est une IA ?

Selon la Commission européenne, les personnes doivent être informées lorsqu’elles interagissent avec un système d’IA. Même lorsque la situation paraît évidente, une mention claire reste une bonne pratique de confiance.

Ai-je besoin du consentement pour utiliser un chatbot ?

Pas nécessairement : la base légale dépend de l’usage. Le consentement devient pertinent si le chatbot dépose des traceurs soumis à cette règle ou réutilise les conversations pour d’autres finalités. À faire valider selon votre cas.

Les conversations peuvent-elles servir à entraîner le modèle ?

Seulement si c’est prévu, justifié, annoncé aux personnes et conforme au contrat avec le fournisseur. Vérifiez ce réglage avant tout lancement.

Conclusion

Un chatbot conforme se prépare avant le développement : finalité, données, information des utilisateurs, contrats, durée de conservation et transparence sur l’IA. Les règles de l’AI Act étant en cours de mise en œuvre, gardez une trace de vos décisions et revoyez-les régulièrement. Pour cadrer un projet de chatbot avec ces exigences, consultez notre page IA conforme au RGPD ou contactez-nous.