Chatbot et RGPD : sept questions à poser avant de l'installer sur votre site

Dès qu'un visiteur écrit à votre chatbot, vous traitez des données personnelles : son message, souvent son nom, parfois son adresse, son téléphone, son adresse IP. Le fait que la conversation soit machinale ne change rien à cette qualification.

1. Qui est responsable de quoi ?

C'est la première question, et celle dont tout le reste découle. Dans le cas courant, vous êtes responsable du traitement — c'est vous qui décidez de mettre un chatbot sur votre site et de ce qu'il collecte — et l'éditeur est sous-traitant, il agit sur vos instructions.

Cette répartition doit être écrite. L'article 28 du règlement général sur la protection des données exige un contrat entre responsable et sous-traitant, qui précise l'objet du traitement, sa durée, les catégories de données et les obligations de chacun. Si les conditions générales de votre éditeur ne disent rien de tout cela, c'est un signal.

2. Où vont les messages, réellement ?

La question a deux réponses distinctes, et beaucoup d'éditeurs n'en donnent qu'une. La première : où est hébergée la base de données. La seconde : à qui est transmis le contenu des conversations pour produire les réponses.

Un outil peut être hébergé à Paris et transmettre chaque message à un fournisseur de modèle situé aux États-Unis. Ce n'est pas illicite, mais cela demande une base de transfert — décision d'adéquation, clauses contractuelles types — et cela doit être écrit dans la politique de confidentialité que vos visiteurs peuvent lire.

3. Qu'affiche-t-on au visiteur, et quand ?

L'article 13 du règlement impose d'informer la personne au moment où l'on collecte ses données — donc avant son premier message, pas dans une page de politique qu'elle n'ouvrira pas. L'information doit dire qui traite, pourquoi, sur quelle base, combien de temps, à qui les données sont transmises, et quels droits la personne a.

En pratique, un écran d'accueil court avant la conversation suffit, à condition qu'il renvoie à une politique complète et qu'il ne prétende pas moins que ce qui se passe.

4. Faut-il dire au visiteur qu'il parle à une IA ?

Oui, et ce n'est plus seulement une question de RGPD. L'article 50 du règlement européen sur l'intelligence artificielle (l'« AI Act ») s'applique depuis le 2 août 2026 : un système conçu pour dialoguer avec des personnes doit les informer qu'elles s'adressent à une IA, de façon claire et au plus tard lors de la première interaction, sauf si c'est évident.

« Évident » est une exception étroite. Un agent qui porte le nom de votre commerce, répond avec naturel et affiche une pastille verte « En ligne » ressemble à un humain. Une mention discrète dans les conditions générales ne suffit pas non plus : le visiteur ne les lit pas. L'information doit être visible là où la conversation a lieu.

5. Quand faut-il un consentement, et quand n'en faut-il pas ?

Répondre à une question posée relève de l'intérêt légitime ou de l'exécution d'une mesure précontractuelle : la personne vous écrit, vous lui répondez. Aucun consentement n'est requis pour cela.

En revanche, dès que vous conservez des coordonnées pour rappeler quelqu'un plus tard, ou pour lui envoyer autre chose que la réponse qu'il attendait, la situation change : il faut une case à cocher, décochée par défaut, dont le texte dit ce que vous allez faire. Une case pré-cochée ne vaut pas consentement.

Et l'article 22, sur les décisions automatisées ?

L'article 22 du RGPD encadre les décisions prises uniquement par une machine qui produisent des effets juridiques sur une personne, ou l'affectent de manière significative : refuser un crédit, écarter une candidature. Un agent qui répond à des questions, propose des créneaux ou note l'intérêt d'un contact pour savoir qui rappeler d'abord n'entre pas, en règle générale, dans ce cadre : la décision finale reste la vôtre.

La frontière se franchit si vous laissez l'agent trancher seul une question qui compte pour la personne — accepter ou refuser un dossier, fixer un prix individuel. Dans ce cas, il faut une intervention humaine possible et une information spécifique.

6. Combien de temps garde-t-on tout cela ?

Le règlement n'impose pas de durée chiffrée : il impose que la durée soit définie, justifiée par la finalité, et respectée. « Nous conservons vos données aussi longtemps que nécessaire » ne remplit aucun de ces trois points.

La question à poser à un éditeur est donc double : quelle durée par catégorie de données, et qu'est-ce qui l'applique. Une durée écrite dans une politique de confidentialité mais qu'aucune tâche n'exécute est une durée qui n'existe pas.

7. Que se passe-t-il si vous partez ?

• Pouvez-vous exporter vos contacts, et dans quel format ?
• Vos données sont-elles supprimées ou anonymisées à la fermeture du compte, et sous quel délai ?
• Que reste-t-il après, et pourquoi ? Les pièces comptables se conservent légalement, la preuve d'acceptation des conditions aussi — le reste doit partir.

Les quatre signaux qui doivent alerter

• Une politique de confidentialité qui ne nomme aucun sous-traitant. Si l'outil utilise un modèle de langage, il en a au moins un — le taire est un choix.
• Une affirmation de chiffrement « de bout en bout » sur un service qui lit vos messages pour y répondre. Les deux sont incompatibles : ce qui est chiffré de bout en bout ne peut pas être lu par le serveur.
• Aucune mention de la durée de conservation, ou une durée sans mécanisme qui l'applique.
• Un agent qui se présente comme un humain, ou dont rien n'indique qu'il s'agit d'une IA.

La nôtre nomme les huit destinataires, leur pays et leur base de transfert. Vous pouvez la comparer à celle d'un autre éditeur — c'est le meilleur usage qu'on puisse en faire. Lire notre politique de confidentialité

Questions fréquentes

Un chatbot est-il compatible avec le RGPD ?

Oui, à condition de répondre aux questions de cet article : un contrat de sous-traitance avec l'éditeur, une information claire avant le premier message, un consentement pour toute réutilisation des coordonnées, des durées de conservation appliquées, et des sous-traitants nommés. Le RGPD n'interdit pas l'outil ; il encadre ce qu'on fait des données.

Faut-il une analyse d'impact (AIPD) pour un chatbot ?

Pas systématiquement. Pour un chatbot qui répond aux questions courantes d'un commerce, ce n'est en général pas requis. Elle peut le devenir si le traitement porte à grande échelle sur des données sensibles, ou combine plusieurs critères de risque listés par la CNIL. En cas de doute, la CNIL publie la liste des traitements pour lesquels elle est obligatoire.

Un cabinet de santé peut-il utiliser un chatbot ?

Oui, avec plus de précautions. Un visiteur peut décrire ses symptômes sans qu'on le lui demande, et les données de santé sont une catégorie particulière (article 9 du RGPD). Mieux vaut que l'agent serve aux horaires, aux tarifs et à la prise de rendez-vous, qu'il invite à ne pas détailler son état de santé, et que vous vérifiiez avec un professionnel si des règles d'hébergement spécifiques s'appliquent à votre situation.