Mettre un chatbot IA sur son site : ce qu'imposent le RGPD et l'AI Act

Mettre un chatbot IA sur le site d'une PME, c'est se placer sous deux textes : l'article 50 de l'AI Act, qui demande que les visiteurs sachent qu'ils échangent avec une IA, et le RGPD, qui encadre les données que ces conversations produisent. En pratique, il faut une mention visible dès le premier échange, une information claire sur les données traitées et une durée de conservation limitée. On reprend ici ces obligations avec leurs sources, puis ce qu'on a fait chez Antomation, sur le chatbot d'antomation.fr, que vous pouvez comparer à notre politique de confidentialité.

Les obligations d'un chatbot de site en 2026, en bref

Un chatbot IA de site doit d'abord faire savoir au visiteur qu'il échange avec une IA, au plus tard lors de la première interaction : c'est l'article 50 de l'AI Act, applicable depuis le 2 août 2026. Il doit ensuite respecter le RGPD, c'est-à-dire informer sur les données traitées, s'appuyer sur une base légale, limiter la durée de conservation et indiquer les destinataires, prestataires compris. Reste la question des traceurs : leur exemption de consentement dépend de ce qu'ils font réellement, et elle ne se règle pas toujours par un bandeau.

Côté sanctions, le non-respect des obligations de l'article 50 relève, d'après l'article 99 de l'AI Act, d'amendes administratives plafonnées à 15 millions d'euros ou, pour une entreprise, à 3 % de son chiffre d'affaires mondial de l'exercice précédent, selon le montant le plus haut. Pour les PME, c'est le plus faible des deux qui sert de plafond. Chaque État membre fixe le régime précis des sanctions dans ces limites.

Ce qui suit décrit des règles générales et le cas de notre site. La situation de votre entreprise, en particulier son rôle au sens de l'AI Act, est à faire valider par un juriste.

Dire clairement qu'on parle à une IA

Le visiteur doit savoir qu'il échange avec une IA, grâce à une information claire et reconnaissable, donnée au plus tard lors de la première interaction. C'est ce que prévoit l'article 50 de l'AI Act, qui n'impose aucune formule de mention.

Son paragraphe 1 fait peser l'obligation sur le fournisseur d'un système d'IA destiné à interagir directement avec des personnes : il doit le concevoir de sorte qu'elles sachent qu'elles échangent avec une IA, sauf quand une personne normalement informée et attentive le comprend d'elle-même, compte tenu des circonstances. Le paragraphe 5, d'où viennent les conditions de forme, demande aussi que l'information respecte les exigences d'accessibilité applicables.

L'exception de l'évidence s'apprécie selon le contexte, et afficher la mention évite d'en dépendre. La Commission européenne a aussi publié le 20 juillet 2026 des lignes directrices sur l'article 50, présentées comme un guide pratique pour les autorités, les fournisseurs et les déployeurs : c'est le document à donner à votre juriste.

Qui est concerné : fournisseur et déployeur

L'article 50 distingue le fournisseur et le déployeur, et son paragraphe 1 vise le fournisseur. Une PME qui installe sur son site un assistant construit sur un modèle d'un tiers peut se demander dans quelle case elle se trouve : fournisseur, déployeur, ou les deux. Les textes qu'on a consultés ne le tranchent pas.

D'après l'article 3, le fournisseur est la personne ou l'organisme qui développe un système d'IA, ou en confie le développement à un tiers, puis le met sur le marché ou en service sous son nom ou sa marque, contre paiement ou gratuitement. Le déployeur est celui qui utilise un système d'IA sous sa propre autorité, hors usage personnel non professionnel. Les définitions sont claires, leur application à ce montage ne l'est pas : on ne tranche pas ici, ni pour vous ni pour nous.

Depuis quand

L'article 50 s'applique depuis le 2 août 2026. C'est la date d'application générale fixée par l'article 113, dont les exceptions ne visent pas l'article 50, et c'est aussi celle qu'indique la Commission. Le règlement 2026/1744, dit « omnibus numérique sur l'IA » et publié au Journal officiel le 24 juillet 2026, a décalé les échéances des systèmes à haut risque au 2 décembre 2027 et au 2 août 2028, mais pas celle de l'article 50.

Le seul délai supplémentaire prévu pour l'article 50 court jusqu'au 2 décembre 2026. Il concerne le marquage lisible par machine des contenus générés (paragraphe 2), pour les fournisseurs de systèmes qui génèrent des contenus et qui étaient déjà sur le marché avant le 2 août 2026 : c'est le paragraphe 4 de l'article 111. Ni l'article 111 ni l'article 113 ne prévoient de délai pour l'information d'un chatbot, et les questions-réponses de la Commission réservent aussi la période de grâce au seul marquage. Quant au code de pratique publié en juin 2026, il est volontaire et porte sur le marquage et l'étiquetage des contenus générés, pas sur la mention d'un chatbot.

Comment l'afficher : l'exemple d'antomation.fr

Sur antomation.fr, on affiche la mention sous la barre de conversation de la page d'accueil, dès que la barre apparaît, avant toute question. Elle dit : « Assistant IA : les réponses sont générées automatiquement et peuvent comporter des erreurs. Ne saisissez pas de données sensibles. » Un lien « Vos données » renvoie vers la section consacrée à l'assistant dans notre politique de confidentialité.

La formule est un choix de rédaction de notre part : l'AI Act n'en fournit pas, et ce n'est pas un modèle officiel.

Ce que le RGPD demande en plus à un chatbot IA

Un chatbot reçoit ce que le visiteur écrit, parfois un nom ou une adresse e-mail, et peut enregistrer des éléments techniques autour de la conversation. Dès qu'il traite des données personnelles, le RGPD demande d'informer les personnes, de s'appuyer sur une base légale, de ne pas garder les données plus longtemps que nécessaire et d'encadrer les prestataires comme les transferts hors de l'Union.

Informer dans la politique de confidentialité

L'article 13 du RGPD liste ce qu'il faut dire aux personnes au moment de la collecte, notamment : l'identité et les coordonnées du responsable, les finalités et la base juridique, les destinataires, les éventuels transferts hors de l'Union, puis la durée de conservation, les droits des personnes et la possibilité de saisir une autorité de contrôle. La CNIL reprend cette liste dans sa fiche « IA : informer les personnes concernées ». Elle vise surtout le développement des systèmes d'IA : on la lit comme une illustration du contenu attendu, pas comme un texte applicable tel quel à un site qui installe un assistant.

Notre politique consacre une section à l'assistant. On y liste les données traitées : les messages saisis et les réponses produites, la date des échanges, un identifiant de conversation aléatoire et une empreinte chiffrée de l'adresse IP, qui ne permet pas de retrouver l'adresse elle-même. Si un visiteur donne son nom ou son e-mail dans la conversation, ces informations sont conservées avec elle et servent uniquement à lui répondre à ce sujet. On y rappelle aussi les droits des visiteurs, avec une réponse sous un mois, et la possibilité de saisir la CNIL.

Choisir une base légale

L'article 6 permet de traiter des données lorsque c'est nécessaire aux intérêts légitimes du responsable ou d'un tiers, sauf si les intérêts, droits et libertés de la personne passent avant. Ce choix revient au responsable du traitement, qui doit pouvoir le justifier et indiquer l'intérêt poursuivi dans son information.

Pour notre assistant, on a retenu l'intérêt légitime à répondre aux visiteurs et à protéger le service, et on l'écrit dans notre politique. Les finalités qu'on y affiche : répondre aux questions, limiter les abus et améliorer les réponses à partir des questions posées.

Fixer une durée de conservation, et la faire respecter

Les données ne doivent pas être conservées sous une forme identifiable plus longtemps que nécessaire à leur finalité : c'est le principe de l'article 5, que reprennent les conseils de la CNIL sur les chatbots. Annoncer une durée ne suffit pas, car le même article demande au responsable d'être en mesure de démontrer qu'il respecte ce principe.

Dans notre politique, on annonce 6 mois pour les conversations et 24 heures pour les compteurs servant à limiter les abus.

Déclarer les prestataires et les transferts hors de l'Union

L'article 28 demande de ne recourir qu'à des sous-traitants présentant des garanties suffisantes, avec un contrat qui encadre le traitement. Pour les transferts vers un pays tiers, le chapitre V du RGPD pose des conditions, notamment une décision d'adéquation de la Commission (article 45) ou, à défaut, des garanties appropriées comme les clauses contractuelles types (article 46). Pour les États-Unis, la décision d'adéquation du 10 juillet 2023 couvre les entreprises qui participent au cadre de protection des données UE-États-Unis. Le Tribunal de l'Union a rejeté en septembre 2025 le recours Latombe en annulation contre cette décision, mais un pourvoi est pendant devant la Cour de justice (affaire C-703/25 P, selon la fiche InfoCuria au 3 octobre 2026).

Dans notre politique, on nomme les prestataires de l'assistant : Mistral AI génère les réponses, et la base de données de l'assistant est hébergée à Paris. Si vous hésitez sur le fournisseur du modèle, on y revient dans notre article sur le choix du fournisseur d'IA.

Décision automatisée et contact humain

L'article 22 reconnaît à chacun le droit d'échapper à une décision prise uniquement par un traitement automatisé, quand elle a des effets juridiques sur lui ou l'affecte de façon significative. Quand une conversation avec un chatbot sert à prendre une telle décision, la CNIL demande de prévoir un moyen de faire intervenir une personne, de donner son avis et de contester la décision. Cette recommandation ne vise donc pas tous les chatbots.

Notre assistant ne prend aucune décision concernant le visiteur, et on l'écrit dans notre politique. On y indique aussi comment joindre une personne, par e-mail ou en réservant un appel ; la fenêtre de conversation n'a pas de bouton pour cela. Dans nos mentions légales, on précise par ailleurs que les réponses de l'assistant ne constituent ni un devis ni un engagement contractuel.

Faut-il un bandeau cookies pour un chatbot ?

Pas forcément : tout dépend de ce que font les traceurs du chatbot. La loi Informatique et Libertés (article 82) dispense de consentement la lecture ou l'écriture dans le terminal de l'utilisateur lorsqu'elle est strictement nécessaire à un service de communication en ligne qu'il a expressément demandé. L'exemption dépend donc de ce que fait réellement chaque traceur, et on ne peut pas écrire qu'un chatbot n'a jamais besoin de bandeau.

La notion de traceur dépasse les cookies : la CNIL y range aussi, par exemple, les pixels invisibles ou les identifiants générés par un logiciel, comme l'explique sa page « Cookies et traceurs : que dit la loi ? ». Un traceur exempté de consentement appelle tout de même de l'information : la FAQ de la CNIL du 29 avril 2026 recommande d'en informer les utilisateurs par souci de transparence, et le RGPD impose d'informer sur tout traitement de données personnelles.

Sur antomation.fr, on ne dépose aucun cookie et on n'utilise aucun outil de mesure d'audience. Il n'y a pas non plus de formulaire, et notre politique le dit. L'identifiant de conversation n'existe qu'à partir du premier message envoyé et il est effacé à la fermeture de l'onglet. On n'en tire pas de conclusion juridique : on décrit ce qui est fait.

Ce qu'on a mis en place sur antomation.fr

Sur le chatbot d'antomation.fr, on affiche une mention IA avant la première question et on décrit dans notre politique de confidentialité les données traitées, la base légale, les durées de conservation et les prestataires. Les conversations sont supprimées automatiquement après six mois sans activité. C'est un état des lieux, pas une attestation de conformité.

Tout est lisible sur notre site, la mention sur la page d'accueil, le reste dans la politique de confidentialité et les mentions légales :

• une mention IA sous la barre de conversation, avant la première question, avec la consigne de ne pas saisir de données sensibles ;
• une section de la politique sur l'assistant : données traitées, base légale (l'intérêt légitime), finalités ;
• des durées annoncées : 6 mois pour les conversations, 24 heures pour les compteurs anti-abus ;
• un identifiant de conversation créé au premier message et effacé à la fermeture de l'onglet, sans cookie ni mesure d'audience ;
• des prestataires nommés : Mistral AI pour les réponses, une base de données hébergée à Paris ;
• aucune décision concernant le visiteur, des réponses qui ne valent ni devis ni engagement, un contact humain proposé dans la politique.

Pour les projets qu'on mène chez des clients, la question « Mes données sont-elles en sécurité ? » de notre FAQ explique où restent les données.

Les erreurs à éviter

Les erreurs les plus faciles à éviter sont celles qui contredisent un texte ou une recommandation écrite : une mention absente ou enfouie, une conservation sans limite, des prestataires et des transferts non indiqués. Pour la mise en garde sur les données sensibles, le repère est une page de la CNIL plutôt qu'un article de loi. S'y ajoute un risque propre au chatbot, celui de laisser croire que ses réponses engagent l'entreprise.

L'article 50 demande une information claire et reconnaissable dès la première interaction : une mention qu'on ne trouve que dans des conditions générales colle mal à cette exigence, et c'est le premier point qu'on vérifierait. La conservation sans limite contredit l'article 5 du RGPD. Quant à un prestataire ou un transfert hors de l'Union absent de la politique, il pose problème au regard de l'article 13, qui demande d'informer sur les destinataires et les transferts.

Pour les données sensibles, la CNIL attend, quand la collecte du chatbot n'est pas prévisible, des mesures qui limitent les risques, comme une mise en garde avant toute utilisation invitant à ne pas en communiquer. Sa page date de février 2021, donc d'avant l'AI Act, et ne traite pas de la mention « vous parlez à une IA ». Pour les réponses qui passeraient pour des engagements, on n'a lu aucune obligation légale dans les textes : s'en prémunir est un choix de prudence. Un assistant qui chiffre un prix ou promet un délai peut créer une attente que l'entreprise n'a pas validée, d'où notre précision dans les mentions légales.

Article préparé avec l'aide d'outils d'IA à partir de sources vérifiées, sous la responsabilité éditoriale d'Antal Rocton.