Un chatbot conforme au RGPD : ce qu’une PME ne peut pas oublier
Plus de 6,2 milliards d’euros d’amendes RGPD ont déjà été prononcés. La bonne nouvelle : la conformité d’un chatbot tient en cinq étapes pratiques — sans ésotérisme.
Depuis l’entrée en vigueur du RGPD, les régulateurs européens ont prononcé plus de 2 800 amendes pour un total supérieur à 6,2 milliards d’euros — plus de 60 % de ce total depuis janvier 2023. Un chatbot mal configuré n’est pas un risque théorique ; c’est l’une des causes les plus fréquentes.
La bonne nouvelle : la conformité tient en cinq étapes pratiques.
1. Dites à l’utilisateur qu’il parle à une IA
Obligatoire depuis l’EU AI Act et renforcé par plusieurs autorités nationales. Une phrase d’ouverture suffit : « Je suis un assistant automatique de [entreprise]. Si vous préférez parler à une personne, dites “personne” à tout moment. »
2. Ne collectez que le strict nécessaire
Si vous prenez un RDV, vous n’avez pas besoin de l’adresse. Si vous répondez à une question, vous n’avez probablement pas besoin de l’e-mail. Chaque champ demandé doit avoir une justification liée à la finalité — c’est le principe de minimisation.
3. Consentement spécifique pour chaque fonction
Le RGPD (et l’interprétation récente de la CNIL) n’accepte pas les consentements génériques. Si le chatbot fait trois choses — traiter les demandes, envoyer des promotions, alimenter le CRM —, il faut trois consentements séparés, pas une case générique.
4. Signez un DPA avec le fournisseur
Avant la mise en ligne, exigez du fournisseur le Data Processing Agreement (DPA) signé. Sans ça, vous êtes le seul responsable des données que le fournisseur traite. Point.
5. Choisissez la résidence de données dans l’UE
Tous les grands fournisseurs proposent aujourd’hui une option d’hébergement UE. Exigez toujours une confirmation écrite que les données de vos utilisateurs restent dans des datacentres européens — y compris les prompts et les réponses utilisés pour le logging ou le tuning.
Ce qui reste de votre responsabilité
Deux choses qu’aucun fournisseur ne peut faire pour vous :
- AIPD (analyse d’impact) pour les chatbots traitant des données sensibles ou opérant à grande échelle. Ce n’est pas un long document — mais il doit exister.
- Politique de confidentialité à jour avec une section spécifique sur l’usage d’IA, le traitement des données, et les droits utilisateur (accès, portabilité, effacement).
Une PME organisée a tout ça en deux matinées de travail. Un petit investissement aujourd’hui vaut bien plus qu’une amende demain.