Chatbot et RGPD : les règles à respecter, avec checklist
En bref
Un chatbot IA traite des données personnelles : il doit donc respecter le RGPD. Il faut une base légale, une information claire, une collecte minimale, une durée de conservation, un contrat avec chaque sous-traitant et un cadre pour les transferts hors UE. Depuis le 2 août 2026, l'AI Act impose aussi d'annoncer qu'on parle à une IA.
À retenir
- Dès qu'un visiteur écrit son nom, son email ou une question personnelle, le RGPD s'applique au chatbot.
- Chaque traitement a besoin d'une base légale : souvent l'exécution d'un contrat ou l'intérêt légitime.
- Le fournisseur du chatbot et celui du modèle d'IA sont des sous-traitants : un contrat article 28 est obligatoire.
- L'AI Act oblige, depuis le 2 août 2026, à informer l'utilisateur qu'il échange avec une IA.
- Cet article est une information générale, pas un avis juridique : faites valider votre cas.
Le RGPD s'applique-t-il à un chatbot ?
Oui, dès que le chatbot traite une donnée qui permet d'identifier une personne. Un prénom, une adresse email, un numéro de commande ou une question sur sa situation suffisent.
Le RGPD ne vise pas la technologie, mais le traitement des données. Un chatbot IA n'est donc ni interdit ni « conforme par nature » : tout dépend de sa conception. Ce guide passe en revue les points à prévoir, avant une checklist finale.
Précision importante : cet article est une information générale, pas un avis juridique. Pour votre situation, faites valider vos choix par un juriste ou votre délégué à la protection des données.
Quelle base légale pour un chatbot ?
Chaque usage des données doit reposer sur l'une des six bases légales de l'article 6 du RGPD. Pour un chatbot, trois reviennent le plus souvent.
| Usage du chatbot | Base légale fréquente |
|---|---|
| Répondre à une question sur une commande ou un service | Exécution d'un contrat ou de mesures précontractuelles |
| Améliorer les réponses à partir des conversations | Intérêt légitime, après mise en balance |
| Envoyer des offres commerciales ensuite | Consentement, ou règles du marketing direct |
| Traiter des données de santé ou autres données sensibles | Conditions renforcées de l'article 9, à éviter si possible |
Notez la base légale de chaque usage dans votre registre des traitements. Si vous ne pouvez pas la justifier, c'est souvent que la donnée n'est pas nécessaire.
Comment informer les utilisateurs du chatbot ?
L'utilisateur doit savoir, avant ou au début de l'échange, qui traite ses données, pourquoi et pour combien de temps. Ce sont les informations de l'article 13 du RGPD.
En pratique :
- un court message dans la fenêtre de discussion, avec un lien vers votre politique de confidentialité ;
- une section « chatbot » dans cette politique : finalités, base légale, durée de conservation, sous-traitants, transferts, droits ;
- une mention claire que l'assistant est une IA, et non une personne.
Ce dernier point est aussi une obligation de l'AI Act, que nous détaillons plus bas.
Quelles données collecter et combien de temps les garder ?
Le chatbot ne doit collecter que ce qui est nécessaire, et ne le garder que le temps utile. Ce sont les principes de minimisation et de limitation de la conservation de l'article 5.
Quelques réflexes concrets :
- ne demandez une adresse email ou un téléphone que si la suite le justifie, par exemple un rappel ;
- ajoutez une consigne pour que le chatbot ne réclame jamais de données sensibles ni de numéros de carte ;
- masquez automatiquement les données inutiles dans les journaux (numéros de compte, numéros nationaux) ;
- fixez une durée de conservation des conversations, puis supprimez-les ou anonymisez-les automatiquement.
Chez Ozapp, les solutions sont hébergées sur des serveurs européens et le client reste propriétaire de ses données et de ses conversations.
Qui sont les sous-traitants d'un chatbot ?
Tout prestataire qui traite les données pour votre compte est un sous-traitant, et l'article 28 du RGPD impose un contrat avec chacun. Pour un chatbot, la chaîne compte souvent plusieurs maillons.
- Le prestataire qui conçoit et héberge le chatbot.
- Le fournisseur du modèle d'IA (OpenAI, Anthropic, Google ou autre).
- Les canaux : par exemple Meta si le chatbot répond sur WhatsApp ou Messenger.
- Les outils connectés : CRM, agenda, boutique en ligne, outil de ticketing.
Pour chacun, vérifiez le contrat de traitement des données, l'usage des données pour l'entraînement et le lieu de traitement. Les offres professionnelles des grands fournisseurs excluent généralement l'entraînement par défaut ; nous comparons ces options dans chatbot vs ChatGPT.
Et les transferts de données hors de l'Union européenne ?
Un transfert hors UE est possible, mais il doit être encadré selon le chapitre V du RGPD. Pour les États-Unis, deux cadres sont courants.
- Le Data Privacy Framework UE-États-Unis : la Commission européenne a adopté une décision d'adéquation le 10 juillet 2023 pour les entreprises américaines certifiées.
- Les clauses contractuelles types, accompagnées d'une analyse du risque lié au transfert.
Le plus simple reste souvent de choisir des services qui traitent ou stockent les données en Europe. OpenAI, par exemple, propose une résidence des données en Europe pour son API et ses offres Enterprise, sous conditions.
Comment gérer les droits des personnes ?
Les utilisateurs du chatbot gardent tous leurs droits : accès, rectification, effacement, opposition, limitation et portabilité. Votre organisation doit pouvoir y répondre dans un délai d'un mois, selon l'article 12.
Concrètement, il faut pouvoir retrouver les conversations d'une personne, les exporter et les supprimer. Prévoyez aussi le cas où le chatbot prend ou prépare une décision importante pour quelqu'un : l'article 22 encadre les décisions entièrement automatisées. Un relais humain est alors la solution la plus sûre.
Que change l'AI Act pour un chatbot ?
L'AI Act ajoute une obligation de transparence : la personne doit savoir qu'elle échange avec une IA. L'article 50 du règlement (UE) 2024/1689 s'applique depuis le 2 août 2026.
Pour un chatbot de service client, l'essentiel tient en trois mesures :
- un message d'accueil qui présente l'assistant comme une IA ;
- une mention visible dans l'interface ;
- la possibilité de joindre un humain pour les demandes qui le justifient.
Un chatbot de service client courant n'entre généralement pas dans les catégories « à haut risque » de l'AI Act. Ce n'est plus vrai s'il sert, par exemple, à trier des candidats à l'embauche ou à évaluer la solvabilité de quelqu'un : une analyse spécifique s'impose alors. Pour les agents qui agissent dans vos outils, lisez aussi notre article sur les agents IA.
Que dit l'Autorité de protection des données ?
En Belgique, c'est l'Autorité de protection des données (APD) qui contrôle le respect du RGPD. Elle a publié en septembre 2024 une brochure sur les systèmes d'IA et le RGPD.
Ce document reprend les principes du RGPD et de l'AI Act appliqués à l'IA : licéité, transparence, minimisation, exactitude, sécurité et responsabilité. C'est une bonne base pour cadrer votre projet avec votre juriste.
Checklist : votre chatbot est-il prêt ?
Avant la mise en ligne, vérifiez ces dix points.
- Le chatbot se présente comme une IA dès le premier message.
- Un lien mène vers une politique de confidentialité qui décrit le chatbot.
- La base légale de chaque usage des données est documentée.
- Le chatbot ne demande que les données nécessaires et refuse les données sensibles.
- Une durée de conservation est fixée et appliquée automatiquement.
- Un contrat article 28 existe avec chaque sous-traitant.
- Les transferts hors UE sont identifiés et encadrés.
- Vous savez retrouver, exporter et supprimer les conversations d'une personne.
- Un relais humain existe pour les demandes sensibles ou les décisions importantes.
- Le traitement figure dans votre registre, avec une analyse d'impact si le risque est élevé.
Pour le reste du projet, notre guide du chatbot IA pour entreprise détaille les étapes de mise en place. Et si votre chatbot répond aussi sur WhatsApp, lisez notre article sur le chatbot WhatsApp.
Passez à l'action
Un chatbot conforme se conçoit dès le départ, pas après la mise en ligne. Découvrez notre service Chatbot IA, hébergé sur des serveurs européens, et testez la démo en direct sur votre propre site, aussi disponible parmi nos démos IA. Consultation gratuite de 30 minutes et devis sous 24-48 h.
Questions fréquentes
Un chatbot doit-il dire qu'il est une IA ?
Oui. L'article 50 du règlement européen sur l'IA, applicable depuis le 2 août 2026, impose d'informer les personnes qu'elles interagissent avec un système d'IA, sauf si c'est évident. Le plus simple : un message d'accueil du type « Bonjour, je suis l'assistant virtuel de l'entreprise » et une mention visible dans la fenêtre de discussion.
Faut-il un consentement pour utiliser un chatbot sur son site ?
Pas forcément pour la conversation elle-même. Répondre à une question peut reposer sur l'exécution de mesures précontractuelles ou sur l'intérêt légitime. Le consentement devient nécessaire pour les cookies non essentiels, le marketing direct ou certaines données sensibles. La base légale se choisit traitement par traitement et doit être documentée.
Combien de temps garder les conversations d'un chatbot ?
Le RGPD n'impose pas de durée fixe : vous la définissez selon la finalité, puis vous la respectez. Une conversation de service client peut être gardée le temps de traiter la demande et d'améliorer le chatbot, puis supprimée ou anonymisée. L'important est de fixer la durée, de l'annoncer et de l'automatiser.
Peut-on utiliser un modèle d'IA américain et rester conforme au RGPD ?
Oui, avec un cadre adapté. Le transfert est possible si le fournisseur est certifié au Data Privacy Framework UE-États-Unis ou s'il a signé des clauses contractuelles types. Beaucoup de fournisseurs proposent aussi un traitement ou un stockage en Europe. Dans tous les cas, documentez le transfert dans votre registre et votre politique de confidentialité.
Qui contrôle le respect du RGPD en Belgique ?
L'Autorité de protection des données (APD), aussi appelée GBA en néerlandais. Elle informe, traite les plaintes et peut sanctionner. Elle a publié en septembre 2024 une brochure sur les systèmes d'intelligence artificielle et le RGPD, utile pour cadrer un projet de chatbot. Pour un cas précis, consultez un juriste ou votre délégué à la protection des données.
