Le cadre réglementaire en 2026
Déployer un chatbot en France en 2026 implique de naviguer dans deux cadres réglementaires superposés :
- Le RGPD (Règlement Général sur la Protection des Données), en vigueur depuis 2018, qui s'applique à tout traitement de données personnelles de citoyens européens.
- L'AI Act européen, entré en vigueur en 2024, qui classe les systèmes d'IA par niveau de risque et impose des obligations spécifiques aux systèmes à haut risque.
Ce que le RGPD impose aux chatbots
Un chatbot traite des données personnelles dès qu'il reçoit le nom, l'email, le numéro de commande ou toute autre information identifiante d'un utilisateur. Les obligations principales sont :
- Base légale : vous devez avoir un fondement juridique pour traiter ces données (consentement, exécution d'un contrat, intérêt légitime).
- Information de l'utilisateur : l'utilisateur doit savoir qu'il parle à un chatbot (pas à un humain), quelles données sont collectées et dans quel but.
- Durée de conservation : les conversations ne doivent pas être conservées indéfiniment. Définissez une politique de rétention claire.
- Droits des personnes : accès, rectification, effacement des données sur demande.
- Sécurité : chiffrement des données en transit et au repos, contrôle d'accès aux logs.
L'AI Act et les chatbots
L'AI Act classe les chatbots en catégorie de risque limité dans la plupart des cas d'usage CX et supply chain. Cela implique principalement une obligation de transparence : l'utilisateur doit savoir qu'il interagit avec une IA.
Exception : si votre chatbot est utilisé dans des contextes à haut risque (décisions médicales, crédit, recrutement), les obligations sont plus lourdes.
Checklist pratique
- ☑ Mention explicite "Vous discutez avec un assistant automatique" dès le début de la conversation
- ☑ Politique de confidentialité accessible depuis l'interface du chatbot
- ☑ Durée de conservation des logs définie et documentée
- ☑ Procédure de traitement des demandes d'exercice de droits
- ☑ Registre des activités de traitement mis à jour (obligation RGPD)
- ☑ Chiffrement TLS pour les échanges, chiffrement au repos pour les logs
- ☑ Pas de transfert de données hors UE sans garanties appropriées (si hébergé sur un cloud US, vérifier les clauses)
- ☑ DPA (Data Processing Agreement) signé avec votre prestataire chatbot
Comment H'appi aborde la conformité
Par défaut, tous nos déploiements incluent : mention de transparence IA, politique de rétention configurable, hébergement sur infrastructure européenne, et DPA disponible sur demande. La conformité n'est pas un add-on — elle fait partie de la conception.
Si vous avez des questions spécifiques sur la conformité de votre projet, contactez-nous directement. Nous préférons répondre honnêtement aux questions difficiles plutôt que de vous vendre une conformité de façade.