RGPD et chatbot IA : quelles obligations pour les TPE/PME ?

Déployer un chatbot IA sur votre site, c'est mettre en œuvre un traitement de données personnelles. Le RGPD s'applique. Voici ce qu'une TPE/PME doit concrètement faire pour rester conforme, sans s'embarquer dans une démarche disproportionnée.

Qui fait quoi ? Responsable de traitement vs sous-traitant

C'est la distinction de départ. Quand un visiteur dialogue avec votre chatbot :

• Vous êtes responsable de traitement : vous décidez des finalités (qualifier des prospects, répondre au SAV, capter des leads) et des moyens (quel chatbot, quels champs, quelle durée).
• La plateforme de chatbot (Mankonnect, ou un autre) est sous-traitant : elle exécute le traitement pour votre compte, sur la base de vos instructions.
• Les sous-traitants ultérieurs (modèle d'IA US, hébergeur, prestataire d'envoi d'emails) sont des sous-traitants de la plateforme. Ils sont encadrés par la chaîne contractuelle (article 28 RGPD).

Cette répartition explique pourquoi, dans notre DPA, Mankonnect s'engage à respecter vos instructions — et pourquoi vous gardez la décision sur les finalités et les durées de conservation.

Informer les visiteurs : ce qui doit être visible

L'article 13 du RGPD impose une information claire au moment de la collecte. Concrètement, sur un chatbot :

• Une mention courte dans le widget (« Cet assistant est un agent automatique. Vos messages peuvent être traités pour répondre à votre demande. En savoir plus → politique de confidentialité ».)
• Un lien vers la politique de confidentialité détaillée, qui décrit les finalités, bases légales, durées, sous-traitants, transferts, droits.
• Pour la capture de leads, une mention dédiée avant la soumission du formulaire : « ces informations sont utilisées pour vous rappeler sous 24 h par notre équipe commerciale. Vous pouvez retirer votre consentement ou demander la suppression à tout moment à [email] ».

Sur quelle base légale s'appuyer ?

Trois bases courantes pour un chatbot :

• Exécution du contrat (art. 6.1.b) : pour les chatbots qui répondent à un client existant (support post-achat, suivi de commande). La base est solide.
• Intérêt légitime (art. 6.1.f) : pour le pré-sales, la qualification commerciale d'un prospect. Documenter le test de mise en balance (intérêt vs droits du visiteur). Pour Mankonnect, le DPO du client peut s'appuyer sur le fait que la conversation reste à l'initiative du visiteur.
• Consentement (art. 6.1.a) : nécessaire quand on dépose un cookie non essentiel ou quand on traite une donnée sensible (santé, opinion politique). Pour la capture de leads marketing, le consentement explicite via une case à cocher non pré-cochée est la bonne pratique.

Combien de temps conserver les données ?

Le principe RGPD : pas plus longtemps que nécessaire. Pour un chatbot, voici des fourchettes typiques (à adapter à votre registre des traitements) :

• Transcriptions de conversation sans donnée identifiante : 12-24 mois pour amélioration du service.
• Conversations avec donnée identifiante : durée nécessaire au traitement de la demande, puis archivage ou suppression. 3 ans à compter du dernier contact pour la prospection commerciale (recommandation CNIL).
• Leads captés : durée du cycle commercial + 3 ans depuis le dernier contact si pas de conversion. Durée du contrat + délais de prescription civile (5 ans en général) si conversion.
• Logs techniques (IP, user-agent) : 6 à 12 mois pour la sécurité.

Les droits des visiteurs

Vous devez pouvoir répondre dans les 30 jours (prolongeable de 60 jours pour demande complexe) à toute demande d'exercice des droits :

• Accès : copie des données traitées.
• Rectification : corriger une information.
• Effacement : « droit à l'oubli ».
• Limitation : geler temporairement le traitement.
• Portabilité : récupération format structuré.
• Opposition : refuser un traitement fondé sur l'intérêt légitime ou la prospection.
• Retrait du consentement à tout moment.

Mankonnect expose dans le tableau de bord les fonctions d'export, de suppression d'une conversation, de suppression d'un lead. C'est ce qui vous permet de répondre matériellement aux demandes — la décision juridique reste de votre ressort.

Modèles d'IA américains — et le RGPD ?

Les principaux modèles d'IA générative (OpenAI, Anthropic) sont opérés depuis les États-Unis. Le transfert de données hors UE nécessite des garanties :

• Clauses contractuelles types (CCT) approuvées par la Commission européenne (Décision 2021/914). Mankonnect signe ces clauses avec ses sous-traitants US et les met à disposition de ses clients sur demande.
• Data Privacy Framework UE-US (juillet 2023) : certification volontaire des entreprises américaines au cadre de protection adéquat. OpenAI, Anthropic et Stripe sont certifiés à ce jour.
• Mesures complémentaires : chiffrement en transit, contrôle d'accès, journalisation, sensibilisation.

Une analyse d'impact des transferts (TIA) peut être conduite pour documenter cette conformité — Mankonnect peut partager la sienne avec ses clients qui en font la demande.

Quand faut-il une AIPD (analyse d'impact) ?

L'AIPD (article 35 RGPD) est obligatoire pour les traitements « à risque élevé ». La CNIL a publié une liste indicative. Pour un chatbot, l'AIPD est généralement requise si :

• Le bot traite des données sensibles (santé, opinions, données biométriques) ;
• Le bot prend des décisions automatisées avec effet juridique sur la personne (rare en V1) ;
• Le bot s'adresse à des personnes vulnérables (mineurs, patients) ;
• Le bot traite des données à grande échelle (ex : plusieurs millions de conversations / mois).

Pour la majorité des chatbots SAV classiques en TPE/PME, l'AIPD n'est pas obligatoire. Tenir à jour son registre des traitements suffit.

Checklist conformité chatbot

• [ ] Politique de confidentialité du site mise à jour pour intégrer le chatbot.
• [ ] Mention courte affichée dans le widget avec lien vers la politique.
• [ ] DPA signé avec le prestataire de chatbot.
• [ ] Registre des traitements interne mis à jour (finalité, base légale, durée, sous-traitants, transferts).
• [ ] Procédure documentée pour traiter les demandes d'exercice des droits.
• [ ] Si capture de leads marketing : case à cocher consentement non pré-cochée.
• [ ] Mesures de sécurité documentées (TLS, chiffrement, RBAC).
• [ ] AIPD si secteur sensible.

FAQ RGPD chatbot

Faut-il un consentement préalable du visiteur pour utiliser le chatbot ?

Pour la simple interaction conversationnelle, non — l'utilisation du chatbot relève de l'exécution du service (l'utilisateur visite votre site et choisit d'engager la conversation). En revanche, dès qu'il y a collecte de données personnelles via formulaire (capture de leads), le visiteur doit être informé clairement de la finalité, des destinataires et de ses droits. L'information dans le widget + un lien vers la politique de confidentialité suffisent dans la plupart des cas.

Les conversations doivent-elles être conservées combien de temps ?

Sans donnée personnelle identifiante, vous pouvez conserver les transcriptions à des fins d'amélioration du service (par exemple 12-24 mois). Avec données identifiantes, la durée doit être proportionnée à la finalité (gestion d'un lead commercial, suivi d'une demande SAV) — typiquement 3 ans si le visiteur n'a pas converti, durée du contrat + délais de prescription si conversion. À documenter dans votre registre des traitements.

Faut-il déclarer le chatbot à la CNIL ?

Depuis 2018, la déclaration préalable n'existe plus. Vous tenez un registre des traitements en interne, vous documentez les finalités, bases légales et mesures de sécurité. Une AIPD (analyse d'impact RGPD) est requise pour les traitements 'à risque élevé' — un chatbot SAV classique ne l'impose pas, mais un chatbot couplé à de la prise de décision automatisée ou des données sensibles peut l'exiger.

Puis-je utiliser un modèle d'IA américain (OpenAI, Anthropic) tout en étant conforme RGPD ?

Oui, à condition d'encadrer le transfert. La plupart des fournisseurs IA US sont aujourd'hui certifiés au Data Privacy Framework UE-US et, en complément, signent des clauses contractuelles types (CCT) selon la décision UE 2021/914. Mankonnect gère ces engagements pour vous (cf. notre DPA). Vous restez responsable de traitement et devez en informer vos visiteurs (mention dans la politique de confidentialité).

Mon chatbot collecte des données médicales par accident — que faire ?

Les données de santé sont des données sensibles (article 9 RGPD), leur traitement est en principe interdit sauf exception (consentement explicite, intérêt vital, base légale spécifique). Configurer le chatbot pour refuser ce type de demandes ou les rediriger immédiatement vers un canal humain est une bonne pratique. Si votre activité implique un traitement régulier de données santé (ex: cabinet médical), un AIPD et des mesures techniques renforcées sont obligatoires.

Pour aller plus loin : notre DPA conforme art. 28 RGPD, notre politique de confidentialité, ou ChatGPT vs chatbot personnalisé entreprise.