RGPD et agents IA : ce qu'il faut savoir avant d'installer un bot sur votre site

Un chatbot sur votre site ou sur WhatsApp, cela semble anodin : quelques réponses automatiques, un formulaire de rendez-vous, peut-être une prise de commande. Mais dès le premier message où un client écrit son nom, son téléphone ou un problème de santé, votre bot traite des données personnelles. Et cela veut dire RGPD.

Bonne nouvelle : un chatbot conforme au RGPD n'est pas plus difficile à construire qu'un chatbot non conforme, à condition de penser aux données dès le départ. Vous trouverez ci-dessous ce qu'il faut savoir avant d'installer un bot sur votre site, étape par étape, avec une liste de vérification à la fin. Il ne s'agit pas d'un conseil juridique ; pour les cas particuliers, parlez-en à un spécialiste de la protection des données.

Pourquoi un chatbot relève du RGPD

Le Règlement général sur la protection des données (règlement (UE) 2016/679) s'applique à tout traitement de données personnelles, c'est-à-dire à toute information concernant une personne identifiée ou identifiable. Un bot traite presque toujours ce type de données :

• nom, téléphone, e-mail, adresse de livraison ;
• le contenu de la conversation, qui peut inclure des détails sur des commandes, des problèmes, des préférences ;
• le numéro de téléphone et l'enregistrement ou la transcription d'un appel, dans le cas d'un agent vocal ;
• des données techniques : adresse IP, identifiants de session, cookies.

En tant qu'entreprise qui décide pourquoi et comment les données sont utilisées, vous êtes le responsable du traitement. Les fournisseurs qui traitent les données pour votre compte (l'agence qui construit le bot, la plateforme de messagerie, le fournisseur du modèle d'IA, la base de données) sont des sous-traitants. La responsabilité principale reste la vôtre.

Les six questions auxquelles vous devez savoir répondre

1. Sur quelle base légale traitez-vous les données ?

L'article 6 du RGPD énumère les bases légales. Pour un chatbot de relation client, les plus fréquentes sont :

• l'exécution d'un contrat ou de mesures précontractuelles à la demande de la personne : le client demande un rendez-vous ou passe une commande ;
• l'intérêt légitime : par exemple, répondre à des questions générales ou améliorer le service, à condition que votre intérêt ne prévale pas sur les droits du client ;
• le consentement : nécessaire, en règle générale, pour le marketing, la newsletter ou les cookies non strictement nécessaires.

Déterminez la base légale séparément pour chaque finalité. Qu'un client ait demandé un rendez-vous ne vous donne pas automatiquement le droit de lui envoyer des offres promotionnelles.

2. Avez-vous informé clairement les personnes ?

L'article 13 exige, lors de la collecte, d'indiquer qui vous êtes, pourquoi vous collectez les données, sur quelle base, à qui vous les transmettez, combien de temps vous les conservez et quels sont les droits de la personne. En pratique :

• le premier message du bot contient un lien court vers la politique de confidentialité ;
• la politique décrit explicitement le bot : quelles données il collecte, qui sont les fournisseurs, où les données sont stockées ;
• pour un agent vocal, le message d'accueil précise que l'appel est pris en charge par un assistant virtuel et, le cas échéant, qu'il est enregistré ou transcrit.

3. Collectez-vous uniquement ce dont vous avez besoin ?

Le principe de minimisation des données, prévu à l'article 5, impose de ne demander que les données nécessaires à la finalité. Pour un rendez-vous, il vous faut le nom, le téléphone et l'horaire. Pas le numéro d'identification national ni la date de naissance. Configurez le bot pour qu'il ne demande pas plus que nécessaire et n'encourage pas le client à envoyer des documents ou des détails inutiles.

4. Combien de temps conservez-vous les conversations ?

Ce même article 5 exige que les données ne soient pas conservées plus longtemps que nécessaire. Fixez une durée de conservation concrète pour les conversations, transcriptions et enregistrements, et automatisez la suppression dans le système, au lieu de la laisser sur la liste des choses « à faire un jour ».

5. Avez-vous des contrats avec tous vos fournisseurs ?

L'article 28 impose un contrat écrit avec chaque sous-traitant, qui fixe ce qu'il a le droit de faire avec les données. Dressez la liste de tous les fournisseurs impliqués dans le bot (l'agence, la base de données, la plateforme de messagerie ou de téléphonie, le fournisseur de voix, le fournisseur du modèle d'IA) et vérifiez pour chacun l'accord de traitement des données.

6. Où vont les données ?

Si les données sont transférées hors de l'Espace économique européen, le chapitre V du RGPD exige des garanties appropriées. De nombreux fournisseurs de technologie ont une infrastructure ou une maison mère hors de l'UE. Demandez explicitement où les données sont stockées, où elles sont traitées et sur quelle base s'effectue le transfert.

Les situations qui demandent plus de vigilance

Données de santé et autres catégories particulières

Cliniques, cabinets dentaires, salons qui posent des questions sur les allergies ou les pathologies : si le bot recueille des informations de santé, vous relevez de l'article 9, qui protège les catégories particulières de données et n'en autorise le traitement que dans des conditions strictes. Une analyse dédiée s'impose. Une solution pratique : le bot ne prend que le rendez-vous, et les détails médicaux sont réservés à l'échange avec le spécialiste.

Décisions automatisées

L'article 22 donne aux personnes le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou les affectant de manière significative de façon similaire. Un bot qui fixe des rendez-vous n'est pas concerné. Un bot qui refuse automatiquement une demande de crédit ou un candidat à l'embauche peut l'être. Gardez un humain dans la décision.

L'analyse d'impact

L'article 35 exige une analyse d'impact relative à la protection des données lorsque le traitement est susceptible d'engendrer un risque élevé, notamment avec de nouvelles technologies. Pour un simple bot d'information, ce n'est généralement pas nécessaire. Pour un bot qui traite des données de santé à grande échelle ou prend des décisions concernant des personnes, voyez avec un spécialiste si l'analyse est obligatoire.

Cookies et widget de chat

De nombreux widgets de chat déposent des cookies ou des identifiants dans le navigateur. En Roumanie, les règles sur les cookies découlent de la loi n° 506/2004, en plus du RGPD. Vérifiez si votre widget dépose des cookies non strictement nécessaires et, si c'est le cas, ne le chargez qu'après consentement.

La sécurité, côté pratique

L'article 32 exige des mesures techniques et organisationnelles adaptées au risque. Pour un chatbot, cela signifie au minimum :

• un accès aux conversations réservé aux personnes qui en ont besoin, avec des comptes individuels ;
• des clés d'accès et mots de passe conservés en sécurité, pas dans des e-mails ou des documents partagés ;
• des connexions chiffrées et une base de données protégée, avec des règles d'accès par ligne et par table ;
• des sauvegardes et un plan d'action en cas de problème ;
• un bot qui n'a pas accès à plus de données que ce qu'exige sa mission.

Les droits des clients : comment y répondre

Les personnes ont le droit de savoir quelles données vous détenez sur elles, de les faire rectifier, d'en demander l'effacement et de s'opposer à certains traitements. Assurez-vous de pouvoir retrouver rapidement toutes les conversations d'une personne à partir de son téléphone ou de son e-mail, et de pouvoir les supprimer sur demande. Si le bot repose sur une base de données bien organisée, cela prend quelques minutes, pas des jours.

Ce que vous risquez

L'autorité qui contrôle l'application du RGPD en Roumanie est l'ANSPDCP (l'équivalent roumain de la CNIL). L'article 83 du RGPD prévoit des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les violations les plus graves. Au-delà de l'amende, une fuite de données issues des conversations clients nuit directement à votre réputation.

Checklist avant de mettre le bot en ligne

1. Vous avez défini les finalités et la base légale de chacune.
2. La politique de confidentialité décrit le bot et ses fournisseurs.
3. Le premier message indique qu'il s'agit d'un assistant virtuel et renvoie à la politique de confidentialité.
4. Le bot ne demande que les données nécessaires.
5. Vous avez une durée de conservation et une suppression automatique.
6. Vous avez des contrats de sous-traitance avec tous les fournisseurs.
7. Vous savez où les données sont stockées et traitées, et sur quelle base se font les éventuels transferts.
8. Vous avez vérifié si vous traitez des données de santé ou prenez des décisions automatisées.
9. Le widget ne dépose pas de cookies non essentiels sans consentement.
10. Vous pouvez retrouver et supprimer rapidement les données d'une personne.
11. Vous avez inscrit le système dans le registre des activités de traitement, si votre entreprise y est tenue.

Notre façon de construire

Nos agents tournent sur Claude, d'Anthropic, et les conversations et données clients sont stockées dans Supabase, sur des serveurs situés dans l'UE. Chaque chatbot WhatsApp ou sur site web se présente comme un assistant virtuel, ne demande que les données dont il a besoin et n'accède qu'à ce qui lui est nécessaire. Les détails techniques figurent sur la page sécurité des données. Notez que l'AI Act exige aussi, indépendamment du RGPD, que les personnes sachent qu'elles parlent à une IA.

Si vous voulez un bot qui vous aide avec vos clients sans vous créer de problèmes de données, réservez un échange gratuit de 30 minutes. Nous vous dirons franchement quelles données votre bot traiterait et ce qu'il faut préparer avant le lancement.