Quelles données à caractère personnel un chatbot IA traite-t-il ?
Dès qu'un utilisateur interagit avec un chatbot IA, des données sont générées. Les plus évidentes sont le contenu de la conversation elle-même : saisies de texte, questions, réclamations, détails de réservation. Ces données de conversation constituent, dans de nombreux cas, des données à caractère personnel au sens du RGPD — soit parce qu'elles contiennent des identifiants directs tels que des noms ou des adresses e-mail, soit parce qu'elles peuvent être rattachées à une personne en combinaison avec d'autres données disponibles. Les adresses IP, transmises techniquement lors du chat web, sont elles aussi considérées comme des données à caractère personnel.
Pour les chatbots utilisés dans le cadre de processus liés aux comptes clients, d'autres catégories de données s'ajoutent : numéros de client, historiques de commandes, informations de paiement (si le chatbot est intégré aux processus de paiement) ou données de santé (dans les applications médicales). Ces catégories particulières relevant de l'article 9 du RGPD sont soumises à un niveau de protection renforcé et exigent des mesures techniques et juridiques spécifiques.
Le principe de minimisation des données (article 5, paragraphe 1, point c) du RGPD) exige de ne traiter que les données réellement nécessaires à la finalité poursuivie. Pour un chatbot FAQ pur, sans authentification, cela signifie : le contenu des conversations ne devrait pas être conservé durablement, les adresses IP devraient être anonymisées, et les données personnelles ne devraient être collectées que si elles sont strictement indispensables au processus de service. Un chatbot soigneusement configuré est ainsi nettement moins problématique, sur le plan de la protection des données, qu'un chatbot mal conçu.
Exigences du RGPD pour l'exploitation d'un chatbot
Le RGPD impose une série d'exigences fondamentales pour chaque opération de traitement. Premièrement, tout traitement de données nécessite une base juridique au sens de l'article 6 du RGPD : le consentement de l'utilisateur, la nécessité pour l'exécution d'un contrat, un intérêt légitime de l'entreprise, ou l'un des autres fondements prévus par la loi. La base juridique doit être déterminée et documentée avant le traitement — et pouvoir être justifiée, en cas de doute, auprès de l'autorité de contrôle.
Deuxièmement, il existe une obligation d'information complète envers les personnes concernées. Les utilisateurs doivent savoir quelles données sont traitées, à quelle fin, pendant combien de temps elles sont conservées, qui peut en être destinataire et quels droits ils possèdent — notamment le droit d'accès, de rectification, d'effacement et de limitation du traitement. Ces informations doivent être accessibles dans un langage clair et compréhensible, typiquement dans la politique de confidentialité et via une mention dans la fenêtre de chat.
Troisièmement, le RGPD impose le principe de « protection des données dès la conception et par défaut » (article 25). Cela signifie que les configurations respectueuses de la vie privée doivent être le paramétrage par défaut dès le départ, et non des ajouts ultérieurs. Pour les chatbots IA, cela se traduit concrètement par : des durées de conservation plus courtes en standard, l'anonymisation des données de journalisation, des droits d'accès restrictifs, et la possibilité pour les utilisateurs de faire supprimer leurs données facilement.
IA en cloud vs. mode sur site (on-premises) : quelles conséquences pour la protection des données ?
Dans le cas d'un chatbot IA basé sur le cloud, les données de conversation et les requêtes sont envoyées vers les serveurs externes d'un fournisseur de modèle de langage, y sont traitées et — selon la configuration — potentiellement utilisées à des fins d'entraînement. Pour l'évaluation au regard du RGPD, l'élément déterminant est le suivant : dans quel pays se trouvent les serveurs ? Pour les fournisseurs basés aux États-Unis, la situation juridique est complexe depuis l'arrêt Schrems II. Les fournisseurs européens, ou ceux disposant de centres de données dans l'UE, sont clairement à privilégier au regard du droit européen de la protection des données. Un contrat de sous-traitance (CST) doit en outre être conclu.
Le mode sur site (on-premises) signifie que l'ensemble de l'infrastructure — y compris le modèle IA — fonctionne sur des serveurs contrôlés par l'entreprise elle-même. Avec une exécution locale du modèle IA, aucune donnée de conversation ne quitte l'infrastructure propre de l'entreprise. La nécessité d'un CST avec un fournisseur IA en cloud disparaît alors entièrement ; le traitement s'effectue exclusivement en interne. Pour les entreprises de secteurs réglementés — santé, conseil juridique, services financiers — le mode sur site est souvent la seule option défendable.
Une approche hybride est également possible : l'infrastructure du chatbot et la base de connaissances fonctionnent sur des serveurs sécurisés situés dans l'UE, tandis qu'un modèle en cloud est utilisé pour certains cas d'usage spécifiques, moins sensibles. Zentor App prend en charge les deux modes d'exploitation — cloud via un fournisseur IA externe, ainsi que totalement local — et laisse les entreprises décider elles-mêmes de l'architecture adaptée à leur stratégie de protection des données. Idéalement, cette décision devrait être prise conjointement avec le délégué à la protection des données et un avocat spécialisé en protection des données.
Contrat de sous-traitance (CST) : quand est-il nécessaire et que régit-il ?
Le contrat de sous-traitance (CST), prévu à l'article 28 du RGPD, est l'instrument central permettant de régler juridiquement les responsabilités entre une entreprise (responsable du traitement) et un prestataire externe (sous-traitant) qui traite des données à caractère personnel pour son compte. Lors de l'exploitation d'un chatbot IA via une plateforme SaaS, le CST est en règle générale impératif : le fournisseur du chatbot traite les données de conversation sur ses propres serveurs — il s'agit là d'un cas classique de sous-traitance.
Un CST doit être conclu par écrit ou sous une forme électronique équivalente, et couvrir un certain nombre d'éléments minimaux : l'objet et la durée du traitement, la nature et la finalité du traitement, les catégories de données à caractère personnel et de personnes concernées, ainsi que les obligations et droits du responsable du traitement. Le sous-traitant doit en outre garantir la mise en œuvre de mesures techniques et organisationnelles appropriées (MTO) et s'engager à ne recourir à aucun sous-traitant ultérieur sans autorisation.
Important : le CST doit être conclu avant la mise en service du chatbot — et non a posteriori. L'absence de CST malgré une sous-traitance effective constitue une violation autonome du RGPD, passible d'amende. Vérifiez donc, pour chaque fournisseur de chatbot, si et sous quelle forme un CST est proposé, quels sous-traitants ultérieurs sont utilisés (par exemple des fournisseurs cloud ou des fournisseurs IA externes) et comment cela est géré. Des fournisseurs sérieux comme Zentor App mettent à disposition des modèles de CST standardisés et sont prêts à en divulguer le contenu en toute transparence.
Délégué à la protection des données et chatbot : points à considérer
Les entreprises disposant d'un délégué à la protection des données (DPD) interne ou externe doivent l'associer à l'introduction d'un chatbot IA. Le DPD a pour mission de garantir une mise en œuvre conforme à la protection des données, d'évaluer les risques et de surveiller le respect du RGPD. Il ne s'agit pas seulement de conformité formelle, mais de la configuration technique concrète : quelles données sont conservées ? Pendant combien de temps ? Qui y a accès ? Comment les demandes d'accès des personnes concernées sont-elles traitées ?
L'une des tâches les plus importantes du DPD dans le contexte d'un chatbot consiste à vérifier si une analyse d'impact relative à la protection des données (AIPD) au sens de l'article 35 du RGPD est nécessaire. Une AIPD est obligatoire lorsque le traitement des données est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques. Cela peut être le cas pour un chatbot lorsque des données sensibles sont traitées de manière systématique, qu'un profilage est réalisé, ou que le système est utilisé pour des décisions ayant des effets significatifs sur les personnes concernées.
Même si la loi n'impose pas de DPD, un contrôle de conformité en matière de protection des données est recommandé avant la mise en ligne. Chez les petites entreprises qui déploient un chatbot pour la première fois notamment, des pièges classiques guettent : politique de confidentialité manquante ou obsolète, CST oublié, durées de conservation excessives, ou absence de concept de suppression des données. Un accompagnement externe par un expert en protection des données est rentable à long terme et protège contre les amendes sévères que les autorités de contrôle peuvent infliger.
Mesures techniques et organisationnelles (MTO) pour les chatbots
L'article 32 du RGPD exige des mesures techniques et organisationnelles (MTO) appropriées afin de garantir un niveau de sécurité adapté au risque. Pour les chatbots IA, cela signifie concrètement : toutes les transmissions de données entre le navigateur de l'utilisateur et le backend du chatbot doivent être chiffrées (TLS/HTTPS). Les données de conversation stockées et le contenu de la base de connaissances devraient également être conservés de manière chiffrée — aussi bien dans la base de données que sur les supports de stockage associés.
Concernant les accès, le RGPD impose le principe de restriction d'accès aux données : seuls les collaborateurs et systèmes qui en ont réellement besoin pour leur travail peuvent accéder aux données à caractère personnel. Zentor App met en œuvre ce principe grâce à un système de contrôle d'accès basé sur les rôles (RBAC), disponible en tant que module librement sélectionnable dans le forfait Individuel : différents rôles se voient attribuer différents droits d'accès, et tous les accès sont consignés dans une piste d'audit. Cela permet, en cas de besoin, de prouver qui a accédé à quelles données et à quel moment.
Sur le plan organisationnel, les MTO comprennent des processus internes clairs : qui est responsable de la base de connaissances ? Comment les demandes de suppression des personnes concernées sont-elles traitées ? Comment s'assure-t-on qu'aucune donnée de conversation n'est conservée plus longtemps que nécessaire ? Comment l'entreprise réagit-elle en cas de violation de données — par exemple si un chatbot divulgue involontairement les données à caractère personnel d'un autre utilisateur ? Ces processus doivent être documentés par écrit et vérifiés régulièrement.
Zentor App et le RGPD : hébergement dans l'UE et solution sur site en option
Zentor App a été conçue dès l'origine dans le but de permettre une exploitation conforme au RGPD. La plateforme peut être hébergée sur des serveurs situés dans l'UE — l'hébergement, les bases de données et la logique applicative relèvent alors du droit européen de la protection des données. Si un fournisseur IA externe est intégré en option, toute utilisation en dehors de l'UE s'effectue exclusivement sur la base des clauses contractuelles types de l'UE (article 46 du RGPD) — ce qui élimine les incertitudes juridiques liées à un transfert non maîtrisé vers un pays tiers. Pour les entreprises qui envisagent une solution basée sur le cloud, l'hébergement dans l'UE constitue la première et la plus importante orientation vers la conformité au RGPD.
Pour les entreprises ayant les exigences de protection des données les plus élevées, Zentor App propose une installation entièrement sur site (on-premises). Dans ce mode d'exploitation, l'ensemble de la plateforme — moteur de chatbot, base de connaissances, boîte de réception omnicanale et tous les composants de traitement — fonctionne sur une infrastructure contrôlée par l'entreprise elle-même. Avec une exécution locale du modèle IA, aucune donnée de conversation ni aucune information à caractère personnel ne quitte l'environnement informatique de l'entreprise. Cette approche convient particulièrement aux hôpitaux, cabinets d'avocats, cabinets d'expertise comptable et autres secteurs où la protection des données revêt un caractère existentiel.
Zentor App fournit des contrats de sous-traitance (CST) pour l'exploitation en cloud et documente les sous-traitants ultérieurs utilisés — nom de l'entreprise, pays, finalité et base juridique du transfert — au point 13 de la politique de confidentialité. Les fonctionnalités techniques de protection des données — RBAC, piste d'audit, durées de conservation des données configurables et contrôles d'accès basés sur les rôles — sont configurables en tant que modules librement sélectionnables dans le forfait Individuel. Vous créez ainsi les conditions techniques d'une exploitation de chatbot conforme au RGPD — la mise en œuvre juridique dans le cas concret reste toujours de la responsabilité de votre équipe chargée de la protection des données et de vos conseillers juridiques.
Questions fréquentes
Un chatbot IA est-il automatiquement conforme au RGPD s'il fonctionne sur des serveurs situés dans l'UE ?+
L'hébergement dans l'UE est une condition nécessaire, mais non suffisante, pour la conformité au RGPD. Il faut en outre, entre autres, qu'un contrat de sous-traitance (CST) valide existe avec le prestataire, que les personnes concernées soient informées dans la politique de confidentialité, que les données ne soient conservées que le temps strictement nécessaire, et que les mesures techniques et organisationnelles (MTO) soient documentées. Zentor App propose l'hébergement dans l'UE et met à disposition tous les documents contractuels nécessaires, mais la responsabilité juridique de la configuration conforme incombe à l'entreprise exploitante.
Quelles données à caractère personnel un chatbot traite-t-il généralement ?+
Un chatbot IA peut traiter le nom, l'adresse e-mail, le numéro de téléphone, l'adresse IP (pour le chat web), le contenu des conversations ainsi que des données d'utilisation contextuelles. Les données réellement générées dépendent fortement du cas d'usage : un bot FAQ pur, sans authentification, traite nettement moins de données à caractère personnel qu'un chatbot de réservation, où les utilisateurs doivent s'identifier. La minimisation des données — c'est-à-dire le traitement des seules données réellement nécessaires — est un principe central du RGPD et devrait être intégrée dès le départ dans la configuration du chatbot.
Quand un contrat de sous-traitance (CST) est-il nécessaire pour l'exploitation d'un chatbot ?+
Un CST est toujours nécessaire lorsqu'un prestataire externe traite des données à caractère personnel pour votre compte. Lors de l'exploitation d'un chatbot IA via une plateforme SaaS comme Zentor App, c'est systématiquement le cas dès lors que les données de conversation sont traitées ou stockées sur les serveurs du fournisseur. Le CST doit être conclu avant la mise en service et contenir des dispositions spécifiques relatives à la finalité, à la durée, à la nature et à l'étendue du traitement, ainsi qu'aux mesures techniques et organisationnelles.
Que signifie le mode sur site (on-premises) pour la protection des données dans un chatbot IA ?+
Dans une exploitation sur site, l'ensemble de l'infrastructure du chatbot fonctionne sur des serveurs contrôlés par l'entreprise elle-même — soit dans son propre centre de données, soit sur une infrastructure louée dédiée. Avec une exécution locale du modèle IA, aucune donnée de conversation ni information à caractère personnel ne quitte l'infrastructure propre de l'entreprise. Cela élimine la nécessité d'un CST avec un fournisseur cloud pour le traitement IA et confère à l'entreprise une souveraineté maximale sur ses données — un aspect particulièrement pertinent pour des secteurs comme la santé, le droit ou la finance.
Le délégué à la protection des données doit-il être associé à l'utilisation d'un chatbot ?+
Les entreprises disposant d'un délégué à la protection des données (DPD) interne devraient, par principe, l'associer à l'introduction d'un chatbot IA. Le DPD vérifie si une analyse d'impact relative à la protection des données (AIPD) est nécessaire — ce qui peut être le cas pour un chatbot traitant de grandes quantités de données à caractère personnel. Il veille en outre à ce que la politique de confidentialité de l'entreprise soit mise à jour et que toutes les obligations d'information envers les personnes concernées soient respectées.
Comment informer les utilisateurs de l'utilisation d'un chatbot en conformité avec le RGPD ?+
Les utilisateurs doivent être informés du traitement de leurs données avant le début de la conversation avec le chatbot, ou au plus tard lors de la première collecte de données. Cela se fait typiquement par une brève mention dans la fenêtre de chat, avec un lien vers la politique de confidentialité. La politique de confidentialité elle-même doit indiquer clairement la finalité du traitement des données, la base juridique, la durée de conservation et les droits de la personne concernée (accès, effacement, opposition). Zentor App permet de configurer ces textes de consentement et d'information directement dans le système.
Mettre en place un chatbot IA conforme au RGPD
Échangez avec nous sur l'hébergement dans l'UE, l'exploitation sur site avec exécution locale du modèle IA, et la configuration de protection des données adaptée à votre entreprise.
Sujets connexes
En savoir plus dans le centre d'aide