PIPELINEGuide
Chatbot et protection des données : ce qu'il faut respecter juridiquement
Un chatbot traite des données personnelles dès que quelqu'un tape son nom. Ce que cela signifie concrètement.
Un chatbot traite des données personnelles dès que quelqu'un saisit son nom — c'est le point de départ de toute considération juridique en matière de protection des données. Pour un simple chatbot FAQ, il suffit en pratique la plupart du temps : fournisseur européen, contrat de sous-traitance, délai de suppression de quelques semaines, une mention dans la fenêtre de chat elle-même et l'identification IA selon l'EU AI Act. Trois points manquent presque toujours dans la pratique : le délai de suppression défini, la mention dans la fenêtre de chat, et la vérification de savoir si le fournisseur utilise les données pour l'entraînement. Une analyse d'impact n'est généralement pas requise en cas de faible risque.
01
Ce qui est traité
Les conversations contiennent régulièrement plus que prévu : noms, numéros de téléphone, adresses, parfois des données de santé ou contractuelles. C'est le point de départ de toute considération juridique en matière de protection des données.
02
Les fondamentaux
Désigner la base juridique, définir la finalité, respecter la minimisation des données, définir les délais de suppression, informer les personnes concernées. En outre un contrat de sous-traitance avec le fournisseur et la vérification du lieu de traitement.
03
Où ça coince en pratique
Trois points manquent presque toujours : un délai de suppression défini pour les conversations, une mention dans la fenêtre de chat elle-même et pas seulement dans la politique de confidentialité, et la vérification de savoir si le fournisseur utilise les données pour l'entraînement.
04
Le niveau AI Act
En plus du RGPD s'applique depuis août 2026 l'obligation de transparence : les utilisateurs doivent pouvoir reconnaître qu'ils parlent avec un système IA. C'est une exigence propre qui ne se règle pas par la politique de confidentialité.
05
Ce qui suffit en pratique
Pour un chatbot FAQ sans saisie de données sensibles : fournisseur européen, contrat de sous-traitance, délai de suppression de quelques semaines, mention dans la fenêtre de chat, passage dans la politique de confidentialité, identification IA. Une analyse d'impact n'est généralement pas requise dans ce cas.
06
Ce qui manque souvent en pratique
Beaucoup de chatbots conservent les conversations indéfiniment, parce que personne n'a fixé de délai de suppression lors de la configuration — pas par négligence, mais parce que personne ne l'a explicitement décidé. Un délai de quelques semaines doit figurer dès le départ dans la configuration, pas dans une correction ultérieure.
Questions
Questions fréquentes
Avons-nous besoin d'une analyse d'impact relative à la protection des données ?
Seulement en cas de risque élevé probable — par exemple profilage étendu ou traitement systématique de données sensibles. Pour un chatbot d'information, elle n'est généralement pas nécessaire. L'examen doit tout de même être documenté.
Les conversations peuvent-elles être enregistrées ?
Oui, avec une finalité et un délai. Pour l'amélioration du bot et la traçabilité des demandes, une conservation limitée est licite. Une conservation illimitée ne l'est pas.
Qu'en est-il des chatbots de fournisseurs américains ?
Possible, mais plus complexe : il faut une base juridique valable pour le transfert et un examen documenté. Pour la plupart des petites entreprises, un fournisseur européen est la solution la plus simple.
Prochaine étape
Envoyez-nous quelques phrases sur votre projet.
Nous lisons chaque demande nous-mêmes et vous répondons personnellement. Pas d'équipe commerciale, pas de formulaire de rappel dans le vide.