AI Act et RGPD : à quoi veiller pour un chatbot d'entreprise ?

Mesterséges Intelligencia Központ Kft. est une société de développement logiciel basée à Budapest. Pour un chatbot d'entreprise, deux règles priment : selon l'AI Act, il doit signaler que c'est une IA qui répond, et selon le RGPD, il doit traiter les données personnelles de manière licite.

L'essentiel : l'article 50, paragraphe 1, de l'AI Act s'applique depuis le 2 août 2026 : le chatbot doit indiquer clairement, au plus tard lors de la première interaction, que l'utilisateur s'adresse à une intelligence artificielle, sauf si cela est évident. Un chatbot de service client typique n'est pas un système d'IA à haut risque, mais s'il traite des données personnelles, le RGPD s'applique aussi, notamment en ce qui concerne la base juridique, l'information des personnes, la minimisation des données et le contrat de sous-traitance à conclure avec le fournisseur d'IA. Ces indications sont données à titre d'information et ne constituent pas un conseil juridique (vérifié le 17 octobre 2026).

De quels deux textes s'agit-il ?

L'AI Act est le règlement de l'Union européenne sur l'intelligence artificielle, officiellement le règlement (UE) 2024/1689. En tant que règlement, il est directement applicable dans tous les États membres. Le texte officiel hongrois appelle le système d'IA « MI-rendszer » ; dans cet article, nous employons le terme courant « IA ».

L'article 3 du règlement distingue deux rôles. Le fournisseur est celui qui développe ou fait développer un système d'IA et le met sur le marché ou le met en service sous son propre nom ou sa propre marque. Le déployeur est celui qui utilise sous sa propre autorité un système d'IA, sauf dans le cadre d'une activité personnelle à caractère non professionnel. Si une entreprise fait développer un chatbot et l'exploite sous son propre nom sur son site web, les deux définitions peuvent s'appliquer ; mieux vaut donc ne pas laisser les obligations au seul développeur.

Le RGPD, c'est-à-dire le règlement général sur la protection des données, officiellement le règlement (UE) 2016/679, s'applique à tout traitement de données personnelles, y compris à celui qu'effectue un chatbot. L'article 2, paragraphe 7, de l'AI Act précise que le règlement (à quelques exceptions étroites près, qui ne concernent généralement pas les chatbots) n'a pas d'incidence sur le RGPD : les deux ensembles de règles s'appliquent côte à côte, et aucun ne remplace l'autre.

Que prévoit l'article 50 de l'AI Act ?

L'article 50 impose des obligations de transparence aux fournisseurs et aux déployeurs de certains systèmes d'IA. Un chatbot d'entreprise est concerné avant tout par le paragraphe 1, mais il vaut la peine de connaître aussi les autres, car un assistant qui produit également des images, du son ou des textes publiés peut tomber sous leur coup.

Paragraphe	Qui est tenu	Ce qu'il impose	Quand cela concerne un chatbot
(1)	le fournisseur	pour un système qui interagit directement avec des personnes, les personnes concernées doivent être informées qu'elles interagissent avec un système d'IA, sauf si cela est évident	presque toujours : c'est le cas de base du chatbot
(2)	le fournisseur d'un système qui génère des textes, des images, des contenus audio ou vidéo de synthèse	les sorties doivent être marquées dans un format lisible par machine, afin d'être identifiables comme générées artificiellement	si le système génère du contenu ; les lignes directrices et le code de bonnes pratiques de la Commission en précisent les détails
(3)	le déployeur d'un système de reconnaissance des émotions ou de catégorisation biométrique	les personnes concernées doivent être informées du fonctionnement du système	si le système déduit des émotions ou des intentions à partir de données biométriques
(4), premier alinéa	le déployeur d'un système qui génère des hypertrucages (deepfakes)	il faut indiquer que le contenu image, audio ou vidéo a été généré artificiellement	si le bot produit une image, un son ou une vidéo qui ressemble de manière trompeuse à une personne réelle
(4), deuxième alinéa	le déployeur d'un système qui génère des textes publiés dans le but d'informer le public sur des questions d'intérêt public	il faut indiquer que le texte a été généré artificiellement, sauf si une personne l'a relu et que quelqu'un en assume la responsabilité éditoriale	rarement : la réponse individuelle d'un chatbot n'est généralement pas un tel texte publié
(5)	les deux	l'information est claire et reconnaissable, fournie au plus tard lors de la première interaction, et conforme aux exigences d'accessibilité	toujours, avec la mention prévue au paragraphe 1

Que signifie le paragraphe 1 en pratique ?

La mention doit apparaître au début de la conversation, à un endroit visible pour l'utilisateur, et non au fond des conditions générales. Une solution judicieuse consiste à l'afficher à la fois dans l'en-tête de la fenêtre de discussion et dans le premier message du bot : « Un assistant IA vous répond. » C'est particulièrement important si le bot a son propre nom ou un avatar, car un prénom humain laisse facilement penser qu'un collaborateur écrit.

L'exception de l'évidence est étroite. Selon le texte du règlement, elle s'apprécie du point de vue d'une personne normalement informée et raisonnablement attentive et avisée, compte tenu des circonstances et du contexte d'utilisation. Selon le document de questions-réponses de la Commission européenne, l'exception doit être interprétée de manière restrictive, car elle prive les personnes de transparence ; ce document cite d'ailleurs expressément les chatbots, les agents IA et les avatars parmi les exemples de systèmes qui interagissent directement avec les personnes. Dans une discussion de service client, il est donc judicieux de toujours indiquer que c'est une IA qui répond.

À partir de quand les règles s'appliquent-elles ?

L'AI Act est entré en vigueur le 1er août 2024, et ses dispositions sont devenues applicables par étapes (article 113). Le 19 novembre 2025, la Commission a proposé de simplifier le règlement ; il en est résulté le règlement (UE) 2026/1744, adopté le 8 juillet 2026 et intitulé « train de mesures omnibus numérique sur l'IA ». Il a été publié au Journal officiel le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Il n'a pas reporté la date d'application de l'article 50, paragraphe 1, mais il a modifié plusieurs autres dates (vérifié le 17 octobre 2026) :

Règle	Applicable	Où c'est fixé
Pratiques interdites en matière d'IA et maîtrise de l'IA (chapitres I et II)	à partir du 2 février 2025 ; les deux nouvelles interdictions introduites par la modification, à partir du 2 décembre 2026	AI Act, article 113, point a)
La nouvelle formulation, plus souple, de la maîtrise de l'IA (article 4)	à partir du 27 juillet 2026	l'entrée en vigueur du règlement (UE) 2026/1744
Obligations de transparence, dont l'article 50, paragraphe 1	à partir du 2 août 2026	AI Act, article 113, date générale d'application
Marquage lisible par machine (article 50, paragraphe 2) pour les systèmes génératifs mis sur le marché avant le 2 août 2026	mise en conformité requise au plus tard le 2 décembre 2026	AI Act, article 111, paragraphe 4, inséré par la modification
Systèmes à haut risque relevant de l'annexe III	à partir du 2 décembre 2027	AI Act, article 113, point c), texte modifié
Systèmes à haut risque intégrés dans des produits (annexe I)	à partir du 2 août 2028	AI Act, article 113, point c), texte modifié

La page de la Commission consacrée à l'AI Act et son document de questions-réponses sur l'article 50 indiquent les mêmes dates principales. Si une nouvelle modification paraît à l'avenir, il convient de la vérifier sur EUR-Lex, sur la fiche du règlement.

Maîtrise de l'IA : que doit savoir l'équipe ?

Dans sa version initiale, l'article 4 imposait aux fournisseurs et aux déployeurs de garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA à leur personnel. Depuis la modification 2026/1744, l'obligation consiste à soutenir, par des mesures, le développement de la maîtrise de l'IA de leur personnel et des personnes agissant pour leur compte ; le texte précise que cela n'oblige pas à garantir un niveau de maîtrise déterminé. Il incombe à la Commission et aux États membres d'apporter un soutien en ce sens, en particulier aux petites et moyennes entreprises.

Pour une entreprise qui exploite un chatbot, cela signifie en pratique une courte formation adaptée à chaque rôle : ce que le bot sait faire et ne sait pas faire, comment reconnaître une réponse erronée, quand et comment reprendre la conversation, et quelles données ne doivent pas être saisies dans un outil d'IA. Il est utile de documenter cette formation.

Un chatbot de service client est-il à haut risque ?

Dans le règlement, la catégorie s'appelle « système d'IA à haut risque ». L'article 6 y fait entrer un système de deux manières : s'il est un composant de sécurité d'un produit relevant de la législation de l'Union sur les produits énumérée à l'annexe I (ou s'il constitue lui-même un tel produit), et que ce produit doit faire l'objet d'une évaluation de la conformité par un tiers ; ou si son utilisation relève de l'un des domaines de l'annexe III. Les domaines de l'annexe III sont la biométrie, les infrastructures critiques, l'éducation, l'emploi, l'accès aux services privés essentiels et aux services publics essentiels, la répression, la migration et le contrôle aux frontières, ainsi que l'administration de la justice et les processus démocratiques.

Un chatbot qui répond aux questions sur les produits, la livraison, les horaires d'ouverture ou l'état des commandes ne relève d'aucun de ces domaines ; il n'est donc pas à haut risque, et ce sont les règles de transparence de l'article 50 qui s'appliquent à lui. La même technologie peut toutefois devenir à haut risque selon sa destination, par exemple si elle :

filtre des candidatures ou évalue des candidats (annexe III, point 4 a)) ;
évalue la solvabilité de personnes physiques ou établit leur note de crédit (point 5 b)) ;
évalue les risques ou fixe les tarifs pour des personnes physiques en matière d'assurance-vie ou d'assurance maladie (point 5 c)) ;
évalue, au nom d'une autorité publique, l'éligibilité à des prestations ou à des services publics (point 5 a)).

Selon l'article 6, paragraphe 3, un système relevant de l'annexe III n'est exceptionnellement pas à haut risque s'il ne présente pas de risque important, par exemple parce qu'il accomplit une tâche procédurale étroite ou ne fait que préparer une décision humaine, mais il est toujours à haut risque lorsqu'il effectue un profilage de personnes physiques. Quiconque invoque cette exception doit documenter son évaluation. Les exigences détaillées applicables aux systèmes à haut risque s'appliquent à partir du 2 décembre 2027 pour les cas relevant de l'annexe III. Si un chatbot s'approche de décisions de ce type, il est judicieux de clarifier sa classification avec un juriste avant même le développement.

Qu'exige le RGPD d'un chatbot ?

Une conversation avec un chatbot contient souvent des données personnelles : un nom, une adresse e-mail, un numéro de commande, la description d'une réclamation. L'entreprise qui exploite le chatbot pour son propre service client est alors généralement responsable du traitement, et le fournisseur du modèle de langage est généralement sous-traitant. Le 19 novembre 2025, la Commission a également proposé de modifier le RGPD (COM(2025) 837), mais aucun acte modifiant le RGPD n'a encore été publié au Journal officiel (vérifié le 17 octobre 2026) : ce qui suit repose sur le texte en vigueur.

Base juridique (article 6)

Chaque finalité de traitement exige une base juridique prévue à l'article 6, paragraphe 1. Pour un chatbot, les plus fréquentes sont l'exécution d'un contrat (par exemple une réponse sur l'état d'une commande), l'intérêt légitime (avec une mise en balance des intérêts) et le consentement (par exemple lors de l'inscription à une lettre d'information). Si les conversations devaient ensuite servir à une autre finalité, par exemple à l'analyse ou au développement, il faut l'examiner séparément, car la base juridique initiale ne suffit pas pour un traitement ultérieur incompatible avec la finalité initiale (article 6, paragraphe 4).

Information (article 13)

Lors de la collecte des données, la personne concernée doit être informée, entre autres, de l'identité du responsable du traitement, des finalités et de la base juridique, des destinataires, d'un éventuel transfert vers un pays tiers, de la durée de conservation, de ses droits et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle, qui est en Hongrie l'Autorité nationale pour la protection des données et la liberté de l'information (NAIH). La mention « c'est une IA qui répond » prévue par l'AI Act ne remplace pas cette information : la politique de confidentialité doit elle aussi être accessible depuis la fenêtre de discussion.

Minimisation des données et limitation de la conservation (article 5)

Selon l'article 5, seules les données nécessaires au regard de la finalité peuvent être traitées, et seulement aussi longtemps que la finalité l'exige. Pour un chatbot, cela se traduit par trois décisions concrètes : le bot ne demande pas plus de données que la réponse n'en nécessite ; seules les données nécessaires à la tâche parviennent au modèle, masquées ou pseudonymisées lorsque c'est possible ; les journaux de conversation ont une durée de conservation et une procédure de suppression. La sécurité des données (gestion des droits d'accès, chiffrement, journalisation) relève du même article.

Contrat de sous-traitance avec le fournisseur d'IA (article 28)

Si le fournisseur du modèle de langage traite des données personnelles pour le compte de l'entreprise, un contrat de sous-traitance écrit doit être conclu avec lui. Selon l'article 28, paragraphe 3, ce contrat doit prévoir, entre autres, que le sous-traitant ne traite les données que sur instruction documentée du responsable du traitement, garantit la confidentialité et la sécurité, ne fait appel à un autre sous-traitant qu'avec autorisation, aide à donner suite aux demandes des personnes concernées, supprime ou renvoie les données au terme de la prestation et permet la réalisation d'audits. En pratique, il faut donc examiner les conditions professionnelles (API) du fournisseur et son avenant relatif au traitement des données, et non celles de l'application de discussion grand public : où les données sont stockées, pendant combien de temps, et si elles sont utilisées pour entraîner des modèles.

Transferts hors de l'UE (chapitre V)

Si les données sont traitées dans un pays situé hors de l'UE, dit pays tiers, il faut une base au titre du chapitre V du RGPD : une décision d'adéquation (article 45) ou des garanties appropriées, par exemple des clauses types de protection des données (article 46). Pour les États-Unis, la décision d'exécution (UE) 2023/1795 de la Commission relative au cadre de protection des données UE-États-Unis constitue une décision d'adéquation, mais uniquement pour les organisations américaines inscrites sur la liste du cadre de protection des données. La décision est en vigueur ; le recours en annulation dirigé contre elle a été rejeté par le Tribunal le 3 septembre 2025, et un pourvoi contre cet arrêt est pendant devant la Cour de justice (C-703/25 P) (vérifié le 17 octobre 2026). Il est donc utile de vérifier aussi si le fournisseur propose un stockage ou un traitement des données dans l'UE.

Analyse d'impact relative à la protection des données (article 35)

Une analyse d'impact est nécessaire lorsque le traitement, en particulier par le recours à de nouvelles technologies, est susceptible d'engendrer un risque élevé pour les droits des personnes concernées. L'article 35, paragraphe 3, l'impose expressément dans certains cas, et la NAIH a publié sa propre liste relative aux analyses d'impact, qui mentionne notamment le profilage, la prise de décision automatisée produisant des effets juridiques, l'utilisation de données d'enfants à des fins de profilage ou de marketing, et le croisement de données provenant de différentes sources. Pour un bot simple qui répond à des questions sur les produits, elle est rarement nécessaire ; en revanche, si le bot combine des données clients issues du CRM, effectue du profilage ou traite des données de santé à grande échelle, elle l'est probablement. Il est utile de consigner l'appréciation par écrit, même lorsqu'elle conclut « pas nécessaire ».

Décision automatisée (article 22)

La personne concernée a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire. Si un chatbot devait par exemple rejeter lui-même une réclamation, un remboursement ou une demande, cette règle compte aussi : lorsqu'une telle décision est nécessaire à l'exécution d'un contrat ou fondée sur le consentement explicite, il faut tout de même garantir au moins la possibilité d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision. Le plus simple est que le bot se contente de préparer une telle décision et qu'un collaborateur la prenne.

Liste de contrôle pratique

À faire	Pourquoi	Source juridique
Indiquer dans le premier message et dans la fenêtre de discussion que c'est une IA qui répond	transparence	AI Act, article 50, paragraphes 1 et 5
Clarifier qui est le fournisseur, qui est le déployeur, qui est le responsable du traitement et qui est le sous-traitant	répartition des responsabilités	AI Act, article 3 ; RGPD, article 28
Consigner la destination du bot et sa classification en matière de risque	exclure ou gérer le haut risque	AI Act, article 6, annexe III
Définir la base juridique pour chaque finalité	traitement licite	RGPD, article 6
Rendre la politique de confidentialité accessible dans la fenêtre de discussion	information	RGPD, article 13
Ne demander et ne transmettre au modèle que les données nécessaires	minimisation des données	RGPD, article 5, paragraphe 1, point c)
Fixer une durée de conservation pour les journaux de conversation	limitation de la conservation	RGPD, article 5, paragraphe 1, point e)
Conclure un contrat de sous-traitance avec le fournisseur d'IA	recours à un sous-traitant	RGPD, article 28
Vérifier la base des transferts hors de l'UE	transfert vers un pays tiers	RGPD, chapitre V
Apprécier et documenter la nécessité d'une analyse d'impact	traitement à risque élevé	RGPD, article 35 ; liste de la NAIH
Associer une personne aux décisions à effet important et, sur demande, transférer à un collaborateur	décision automatisée	RGPD, article 22
Former les collaborateurs qui gèrent le bot	maîtrise de l'IA	AI Act, article 4

Erreurs fréquentes

Mention cachée : « c'est une IA qui répond » ne figure que dans les conditions d'utilisation, pas dans la conversation.
Persona humaine sans mention : le bot reçoit un nom humain et une photo, et rien n'indique qu'il s'agit d'une machine.
Toute la fiche client dans le prompt : le modèle reçoit la fiche complète du CRM, alors que deux champs suffiraient pour la réponse.
Un outil grand public avec des données d'entreprise : les collaborateurs copient des données clients dans une application de discussion gratuite, sans contrat de sous-traitance.
Des journaux conservés indéfiniment : les conversations s'accumulent sans règle de suppression.
Décision automatique sans contrôle humain : le bot rejette lui-même des demandes importantes, et personne ne les réexamine.

Questions fréquentes

Devons-nous signaler que c'est une IA qui répond ?

En règle générale, oui. Selon l'article 50, paragraphe 1, de l'AI Act, un système d'IA qui interagit directement avec des personnes doit être conçu de manière que les personnes concernées sachent qu'elles interagissent avec un système d'IA, sauf si cela est évident du point de vue d'une personne normalement informée. Selon le paragraphe 5, cette information doit être fournie de manière claire et reconnaissable, au plus tard lors de la première interaction. Dans une discussion de service client, le plus sûr est donc de l'indiquer dès le premier message.

À partir de quand est-ce obligatoire ?

L'article 50 s'applique depuis le 2 août 2026, et le règlement modificatif (UE) 2026/1744 n'a rien changé à cette date. Pour le marquage lisible par machine des sorties des systèmes génératifs (article 50, paragraphe 2), les fournisseurs de systèmes mis sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour se mettre en conformité. L'article 4 relatif à la maîtrise de l'IA s'applique depuis le 2 février 2025, avec une formulation plus souple depuis le 27 juillet 2026.

Un chatbot de service client est-il considéré comme à haut risque ?

Généralement non. Un chatbot qui informe sur des produits, des commandes ou des services ne relève pas des domaines de l'annexe III de l'AI Act ; ce sont donc les règles de transparence qui s'appliquent à lui. Il peut en revanche être à haut risque si, par exemple, il filtre des candidats à un emploi, évalue la solvabilité ou fixe le prix de risques en assurance-vie et en assurance maladie.

Pouvons-nous transmettre des données personnelles à un fournisseur d'IA ?

Oui, si le traitement repose sur une base juridique, si les personnes concernées en sont informées, si un contrat de sous-traitance est conclu avec le fournisseur (RGPD, article 28) et, lorsque les données quittent l'UE, si le transfert a lui aussi une base (chapitre V). Il est conseillé de ne transmettre que les données nécessaires à la tâche, et de vérifier si le fournisseur les utilise pour entraîner des modèles.

Faut-il une analyse d'impact relative à la protection des données ?

Elle est nécessaire si le traitement est susceptible d'engendrer un risque élevé pour les droits des personnes concernées (RGPD, article 35). Rarement pour un simple bot d'information ; probablement en cas de profilage, de décision automatisée produisant des effets juridiques, de profilage de données d'enfants, de catégories particulières de données traitées à grande échelle ou de croisement de données provenant de plusieurs sources ; la liste de la NAIH relative aux analyses d'impact énumère également ces cas. Dans les deux cas, il est utile de consigner la décision par écrit.

Comment pouvons-nous vous aider ?

Nous développons des chatbots et des agents IA, et le chatbot que nous développons indique dès son premier message que c'est un assistant IA qui répond. Lorsque nous connectons des modèles de langage (nous en parlons sur la page Intégration d'IA), nous veillons à ce que seules les données nécessaires à la tâche parviennent au modèle, nous examinons les conditions de traitement des données du fournisseur, et nous veillons à ce que le modèle ne voie que ce que l'utilisateur qui pose la question peut voir lui aussi et à ce que les conversations puissent être retrouvées. Vous trouverez les détails techniques dans les articles Chatbot ou agent IA ? et L'IA sur les propres documents de l'entreprise (RAG).

Cet article est donné à titre d'information et ne constitue pas un conseil juridique : pour savoir si un traitement donné est conforme, il est utile de consulter aussi un juriste ou un délégué à la protection des données. Le premier échange est gratuit ; si vous envisagez un chatbot, écrivez-nous via les coordonnées indiquées sur la page Contact.