Chatbot IA, RGPD et AI Act : le cadre

Un chatbot IA peut collecter des informations personnelles dès qu’il demande un nom, un email, un besoin, une entreprise ou un message libre. Pour une PME, le sujet n’est pas de devenir juriste, mais de cadrer correctement les données, la transparence et les limites avant la mise en ligne. Le risque principal vient souvent de l’improvisation.

Ce guide ne remplace pas un conseil juridique. Il donne une base opérationnelle pour discuter avec votre prestataire, votre DPO ou votre conseil. L’objectif est de lancer un chatbot utile sans collecter trop de données, sans cacher l’usage de l’IA et sans laisser le système répondre à des sujets sensibles qu’il ne devrait pas traiter.

Informer clairement l’utilisateur

Le visiteur doit comprendre qu’il interagit avec un système automatisé. Le message n’a pas besoin d’être lourd. Il peut indiquer que le chatbot répond à partir des informations de l’entreprise, qu’il peut se tromper, et qu’un humain peut reprendre la demande si nécessaire. Cette transparence protège la relation autant que la conformité.

L’AI Act prévoit des obligations de transparence pour certains systèmes d’IA, notamment quand une personne interagit directement avec un système. L’information doit être claire et reconnaissable au plus tard au moment de la première interaction. Source : AI Act, article 50. Même quand votre cas d’usage paraît simple, cette logique est une bonne pratique.

Évitez les formulations qui humanisent trop l’assistant. Un prénom peut être acceptable, mais le visiteur ne doit pas croire qu’une personne réelle répond en direct si ce n’est pas le cas. Une phrase simple au démarrage suffit souvent à clarifier le cadre.

Limiter les données collectées

La minimisation est un réflexe essentiel. Un chatbot de qualification commerciale peut demander un nom, une adresse email, l’entreprise et le besoin. Il n’a généralement pas besoin d’informations sensibles, de documents personnels ou de détails qui n’aident pas à traiter la demande.

La CNIL rappelle que les traitements liés à l’IA doivent respecter le RGPD lorsque des données personnelles sont en jeu, avec une attention portée à la nécessité des données, aux droits des personnes et aux finalités. Source : CNIL, recommandations IA et RGPD. Pour un chatbot, cela se traduit par une collecte sobre et expliquée.

• Demander uniquement les informations nécessaires au traitement.
• Éviter les champs sensibles dans un message libre quand ils ne sont pas utiles.
• Expliquer la finalité : réponse, devis, support ou rappel.
• Ne pas conserver indéfiniment les conversations sans raison.

Définir les finalités et la conservation

La finalité doit être compréhensible : répondre à une question, qualifier un prospect, créer un ticket, préparer un rendez-vous. Si les conversations sont aussi utilisées pour améliorer le chatbot, dites-le dans votre politique de confidentialité et limitez l’accès aux personnes concernées.

La durée de conservation doit être proportionnée. Une conversation commerciale peut être utile pendant le cycle de vente. Une question simple résolue n’a pas forcément besoin d’être conservée longtemps. Définissez une règle réaliste, documentez-la et appliquez-la. Les conversations ne doivent pas devenir une archive permanente par défaut.

Pensez également aux exports. Si une conversation est transmise à un CRM ou à un outil de ticketing, les mêmes questions se posent : qui peut y accéder, combien de temps, pour quelle finalité, et comment répondre aux demandes de suppression ou de rectification.

Gérer les sujets sensibles et hors périmètre

Un chatbot commercial ne doit pas improviser sur des sujets juridiques, médicaux, financiers ou conflictuels. Il peut orienter, recueillir les informations nécessaires et proposer un contact humain. Il ne doit pas donner une décision qui engage l’entreprise si le processus n’a pas été validé.

Définissez une liste de sujets à refuser ou à transférer. Les mots seuls ne suffisent pas, mais ils aident à déclencher une prudence. Ajoutez aussi des consignes de comportement : reconnaître l’incertitude, ne pas inventer de politique, ne pas promettre un délai ou un prix non validé, ne pas demander de données sensibles non nécessaires.

La sécurité des LLM ajoute un autre niveau. L’OWASP recense des risques spécifiques comme l’injection de prompt et la divulgation d’informations sensibles. Source : OWASP Top 10 for LLM Applications. Limiter les outils accessibles au chatbot et filtrer les actions sensibles réduit l’exposition.

Prévoir le handoff et les droits des personnes

Le transfert humain doit faire partie du cadre de conformité. Si une personne demande à exercer un droit, se plaint d’un traitement ou partage une situation sensible, le chatbot doit orienter vers le canal adapté. Il peut créer un résumé, mais la réponse doit être reprise par une personne compétente.

Dans le message d’accueil ou la politique de confidentialité, indiquez comment contacter l’entreprise pour les demandes relatives aux données. Le chatbot peut aussi proposer un lien direct vers cette page lorsqu’une question touche à la confidentialité. C’est une façon simple de rendre l’information accessible au moment utile.

Pour la partie opérationnelle, l’article Handoff humain : réussir l’escalade chatbot complète ce cadre. Pour la partie technique de déploiement, consultez le guide d’intégration du widget chatbot.

Checklist avant publication

Avant la mise en ligne, vérifiez que le chatbot annonce sa nature automatisée, que les données demandées sont justifiées, que les conversations sensibles déclenchent un transfert, que la politique de confidentialité couvre le cas d’usage, que les logs sont accessibles seulement aux bonnes personnes et que les connecteurs ne transmettent pas plus d’informations que nécessaire.

Ce cadrage peut paraître moins visible qu’une belle interface, mais il protège l’entreprise. Un chatbot conforme inspire aussi plus de confiance. Dans un contexte B2B, la confiance est souvent ce qui fait passer un prospect de la curiosité à la prise de contact.

Mise en œuvre : transformer la conformité en règles produit

Le passage à l’action commence par une décision volontairement étroite : lister les données demandées par le chatbot et supprimer celles qui ne servent pas directement la demande du visiteur. Cette contrainte évite de transformer le projet en chantier abstrait. Elle donne aussi un terrain de test concret, avec des conversations, des données et des retours que l’équipe peut relire sans attendre des mois.

Désignez un propriétaire clair. Dans ce cas, une personne doit être responsable des règles de conservation et du lien avec la politique de confidentialité. Sans propriétaire, les réponses vieillissent, les connecteurs se multiplient et personne ne sait décider si une demande doit être automatisée ou reprise par un humain. Le responsable n’a pas besoin d’être développeur, mais il doit pouvoir arbitrer le métier.

Gardez une trace légère des décisions : sources utilisées, limites du chatbot, règles de transfert, champs collectés, date de dernière revue et changements réalisés. Ce journal évite de refaire les mêmes débats à chaque correction. Il aide aussi à expliquer pourquoi une réponse a été autorisée ou refusée.

Tests à réaliser avant de publier

Le test le plus utile consiste à tester les conversations avec données personnelles, demandes sensibles et questions sur la confidentialité. Ne testez pas seulement les scénarios idéaux. Ajoutez des formulations courtes, des fautes, des demandes ambiguës, des visiteurs pressés et des questions hors périmètre. Un chatbot correct dans une démonstration peut être beaucoup moins convaincant face aux vraies formulations des prospects.

Le risque principal à surveiller est simple : un champ libre mal cadré peut recevoir des informations sensibles que l’entreprise n’avait pas prévu de traiter. Pour le réduire, prévoyez une réponse de repli, un transfert humain et une consigne de prudence. Une bonne automatisation ne force pas une réponse quand les sources manquent. Elle reconnaît la limite et propose la suite la plus utile.

Après publication, relisez les premières conversations au lieu de regarder uniquement les métriques globales. Les chiffres indiquent une tendance, mais les verbatims expliquent les problèmes. Une phrase incomprise, un champ demandé trop tôt ou un lien mal placé peuvent coûter plus cher qu’un défaut technique.

Critère de réussite à retenir

Le signal de réussite n’est pas un effet spectaculaire. C’est plutôt ceci : le visiteur comprend qui répond, pourquoi certaines données sont demandées et comment joindre un humain. Quand ce signal apparaît, vous pouvez étendre le scénario. S’il n’apparaît pas, il faut simplifier le parcours, améliorer les sources ou réduire le périmètre au lieu d’ajouter de nouvelles fonctionnalités.

Documentez aussi ce qui reste volontairement manuel. C’est une marque de maturité, pas un échec. Les meilleurs déploiements IA distinguent les tâches répétitives, les décisions sensibles et les moments où la relation humaine fait la différence. Cette frontière doit rester visible pour l’équipe comme pour le client.

Enfin, reliez toujours la mesure à une action de correction. Un taux de transfert élevé peut être bon si le chatbot qualifie mieux les demandes, ou mauvais s’il abandonne trop vite. Une question sans réponse peut devenir une nouvelle source documentaire, une FAQ, un article ou une règle de handoff. C’est cette boucle qui crée le progrès.

Avant d’ajouter une nouvelle fonctionnalité, demandez quelle friction elle retire et qui la maintiendra. Cette question simple évite les démonstrations séduisantes mais inutiles. Elle force le projet à rester relié au service client, à l’acquisition ou à l’efficacité interne.

Ce filtre garde le contenu exploitable après lecture.

Dans le parcours AutMyWork, l’article doit soutenir les pages commerciales en rassurant sur la transparence et la sobriété de collecte. Ce lien entre contenu, outil et action commerciale est essentiel pour le SEO/GEO : chaque article doit répondre à une vraie question, puis orienter vers l’étape suivante sans forcer la vente.