RGPD et chatbots IA

Même un chatbot de support simple collecte des données personnelles : des identifiants comme un e-mail ou un numéro de téléphone, des détails de commande et de livraison, le contenu des messages, et des données techniques comme l'adresse IP. Comme les utilisateurs écrivent librement, ils peuvent aussi livrer des informations que l'entreprise n'a jamais demandées, y compris des données sensibles comme des informations de santé. La CNIL recommande d'avertir les utilisateurs, avant la conversation, de ne pas communiquer de données sensibles sauf nécessité.

Cette page donne une information générale sur le RGPD (règlement (UE) 2016/679). Elle ne constitue pas un conseil juridique ; pour votre situation, consultez votre délégué à la protection des données ou un avocat.

L'entreprise qui décide pourquoi et comment le chatbot est utilisé est en général responsable du traitement. Il lui faut une base légale pour chaque finalité — par exemple l'exécution d'un contrat quand elle répond à une question sur une commande. Elle doit informer les utilisateurs (articles 13 et 14) : identité du responsable, finalités, base légale, destinataires, durée de conservation et droits. Elle doit ne collecter que ce que la finalité exige, fixer des durées de conservation et permettre l'exercice des droits d'accès, de rectification et d'effacement.

L'éditeur du chatbot agit en général comme sous-traitant et doit être lié par un contrat conforme à l'article 28. Si des données personnelles partent vers un pays hors de l'UE — par exemple vers un fournisseur de modèles aux États-Unis —, les règles de transfert du chapitre V s'appliquent.

Vérifiez si les données des conversations servent à entraîner ou améliorer des modèles, par qui, et si cela peut être désactivé. Sachez où tourne le modèle de langage, puisque les requêtes contiennent des données personnelles. Soyez prudent avec les décisions produisant des effets juridiques ou similaires — refuser un remboursement, par exemple — prises uniquement de façon automatisée, que l'article 22 encadre. Pour les déploiements importants, une analyse d'impact relative à la protection des données (AIPD) peut être exigée.

L'avis 28/2024 du Comité européen de la protection des données (CEPD) précise que les modèles d'IA entraînés sur des données personnelles ne sont pas automatiquement anonymes, ce qui compte dans le choix des fournisseurs de modèles. Le règlement européen sur l'IA impose par ailleurs d'indiquer aux personnes qu'elles échangent avec une IA.

AI SmartTalk est une entreprise française et héberge sa plateforme en France. Les assistants utilisent par défaut des modèles d'IA hébergés dans l'Union européenne ; un administrateur peut choisir un modèle hors UE, comme ceux d'OpenAI ou d'Anthropic, et l'application demande un consentement explicite à chaque sélection. Les données des conversations sont conservées jusqu'à la suppression de l'assistant ou du compte, avec un effacement définitif 30 jours après une demande de suppression de compte, comme le décrit la politique de confidentialité. Il revient à chaque entreprise d'informer ses propres visiteurs.