Chatbot IA et politique de confidentialité : un modèle à adapter et le raisonnement RGPD de chaque phrase

Ce qu'un chatbot ajoute à votre politique de confidentialité#

Un chat collecte des données personnelles dès que le visiteur écrit sur lui-même : un nom, un numéro de commande, parfois bien davantage. La CNIL le rappelle dans ses conseils sur les chatbots : des données personnelles sont souvent traitées, par exemple pour garder une trace de la conversation, même sans compte ni information directement identifiante. L'article 13 du RGPD impose de fournir l'information « au moment où les données en question sont obtenues ». Votre politique de confidentialité doit donc être accessible depuis le chat avant le premier message, par un lien clairement visible.

Le sujet est sous surveillance cette année. Le 19 mars 2026, le Comité européen de la protection des données (CEPD) a lancé une action coordonnée dans laquelle 25 autorités européennes vérifient le respect des obligations de transparence et d'information des articles 12 à 14 ; la CNIL en assure la coordination avec le CEPD.

Deux éléments sortent de l'article 13 mais doivent figurer juste à côté : la mention IA dans le chat lui-même, et une invitation à ne pas saisir de données sensibles.

Ce qu'un chatbot conserve vraiment : un exemple détaillé#

Cette partie ne s'écrit pas à partir d'un modèle : il vous faut la cartographie réelle des données de votre prestataire. À titre d'exemple, voici un chat qui fonctionne avec ChatterLab, d'après notre documentation Data and privacy (en anglais). Remplacez chaque ligne par les informations de votre propre prestataire, et lisez la colonne des bases légales comme un point de départ de votre propre analyse.

Le widget ne dépose aucun cookie et ne conserve rien dans le navigateur avant que le visiteur utilise le chat, sauf si votre site transmet son consentement pour la relance. Deux étapes se déroulent aux États-Unis, chez OpenAI et chez Resend : pour un chat ChatterLab, le module D ci-dessous n'est donc pas facultatif.

Ce que fait ChatterLab, et ce qui reste à votre charge#

ChatterLab agit comme votre sous-traitant et envoie son contrat de sous-traitance (article 28) sur demande. Le formulaire de contact et la carte de ticket ne peuvent pas être activés sans l'adresse de votre politique de confidentialité, et tous deux y renvoient. L'Annonce affichée au-dessus de la conversation accepte un markdown simple : elle peut demander de ne pas partager de données sensibles (module E ci-dessous) et renvoyer vers votre politique. Le visiteur peut la fermer : reprenez donc cette demande dans votre politique.

ChatterLab ne rédige pas votre politique de confidentialité, ne supprime pas les conversations de lui-même et ne répond pas à votre place aux demandes des visiteurs. Un point de vigilance : Améliorer la réponse transforme la question d'un visiteur en source question-réponse, et tout ce qui figure dans vos sources peut être montré à n'importe quel visiteur. Retirez donc les données personnelles avant d'enregistrer. Si vous créez des agents pour des clients, votre client est responsable du traitement, vous êtes son sous-traitant et ChatterLab est le vôtre. Le chat lui-même s'essaie avec l'offre gratuite.

Quelle base légale pour un chatbot#

Aucun des textes de régulateurs cités ici n'attribue une base légale unique à tous les chatbots. Vous choisissez par finalité, et vous devez pouvoir justifier ce choix (article 5, paragraphe 2, principe de responsabilité). Les autorités publiques disposent d'une base de moins : l'intérêt légitime ne s'applique pas aux traitements qu'elles effectuent dans l'exécution de leurs missions (article 6, paragraphe 1, second alinéa). Le chat d'une commune doit donc reposer sur une autre base, par exemple une mission d'intérêt public (point e).

L'intérêt légitime suppose trois conditions, que la CNIL et le CEPD décrivent de la même façon : un intérêt réel et licite, un traitement nécessaire pour l'atteindre, et une mise en balance qui tient compte des attentes raisonnables des personnes et ne crée pas de déséquilibre à leur détriment. La CNIL prévient que l'intérêt légitime ne peut être considéré comme une base légale « par défaut ». Les lignes directrices du CEPD ajoutent qu'il faut indiquer aux personnes qu'elles peuvent obtenir, sur demande, les informations sur cette mise en balance. Au 25 octobre 2026, ces lignes directrices en sont toujours à la version 1.0, le projet adopté pour consultation le 8 octobre 2024.

Les mesures précontractuelles vont au-delà du devis formel. La CNIL donne l'exemple d'une personne qui indique son code postal pour savoir si une entreprise livre dans sa zone, et le CEPD admet cette base pour répondre à une personne qui s'informe sur l'offre d'une entreprise. La prospection non sollicitée en est exclue, et la CNIL précise qu'améliorer ses services ne peut en général pas reposer sur le contrat.

Le reste. La prospection par e-mail exige un consentement préalable selon l'article 13 de la directive « vie privée et communications électroniques », telle que transposée dans votre droit national, avec une exception pour les clients existants et des produits analogues. Quant à la décision automatisée (article 22), ce n'est pas le rôle d'un chat d'information : la CNIL précise qu'une conversation sans intervention humaine ne peut conduire à elle seule à refuser un crédit en ligne, appliquer un tarif plus élevé ou empêcher une candidature.

Modèle de texte : un paragraphe de base et sept modules optionnels#

Placez le paragraphe de base dans votre politique de confidentialité sous un titre dédié, et n'ajoutez que les modules qui correspondent à ce que fait réellement votre chat. Remplacez tout ce qui figure entre crochets, et vérifiez aussi les autres phrases auprès de votre prestataire : elles décrivent un chat comme celui de l'exemple ci-dessus. Il s'agit d'un exemple de rédaction à adapter ; faites-le relire par votre conseil si votre secteur ou votre public augmente les enjeux.

Paragraphe de base (toujours).

Notre assistant conversationnel

Notre site propose un assistant conversationnel fondé sur l'intelligence artificielle (chatbot IA), qui répond aux questions à partir des informations que nous lui avons fournies, comme notre site et nos documents. [Nom de l'entreprise], [Adresse], est responsable du traitement des données personnelles collectées dans le chat. Vous pouvez nous contacter à [Adresse e-mail]. [Notre délégué à la protection des données : Nom, Adresse e-mail.]

Lorsque vous utilisez le chat, nous enregistrons vos messages, les réponses de l'assistant, l'heure, la page depuis laquelle vous posez la question et l'éventuelle évaluation que vous laissez. Jusqu'à la fermeture de l'onglet, votre navigateur conserve un numéro de visiteur aléatoire, le numéro de la conversation et d'autres valeurs techniques de ce type, afin de regrouper les messages d'une même visite. Le chat ne vous demande ni votre nom ni vos coordonnées.

Nous utilisons les conversations pour répondre à vos questions et pour vérifier et corriger les réponses, sur le fondement de notre intérêt légitime à répondre rapidement et correctement aux visiteurs (article 6, paragraphe 1, f, du RGPD). Lorsque vous nous interrogez sur nos produits, nos prix ou une offre, nous traitons aussi vos messages pour prendre les mesures que vous avez demandées avant un éventuel contrat (article 6, paragraphe 1, b, du RGPD). Vous pouvez nous demander les éléments de la mise en balance qui fonde notre intérêt légitime.

Le chat repose sur un logiciel de [Prestataire], qui traite les conversations pour notre compte en qualité de sous-traitant, avec les prestataires indiqués ci-dessous. Notre [Équipe ou fonction] peut lire les conversations.

L'utilisation du chat est facultative : vous pouvez aussi nous joindre à [Adresse e-mail ou téléphone]. L'assistant répond à des questions ; il ne prend aucune décision à votre égard.

Votre droit d'opposition. Vous pouvez à tout moment, pour des raisons tenant à votre situation particulière, vous opposer à l'utilisation de vos conversations fondée sur notre intérêt légitime, en écrivant à [Adresse e-mail].

Le droit d'opposition a sa propre ligne parce que l'article 21, paragraphe 4, exige qu'il soit « présenté clairement et séparément de toute autre information ». Supprimez la phrase sur l'article 6, paragraphe 1, b, si le chat ne parle jamais de votre offre. Si vous ajoutez le module A ou B, terminez le deuxième alinéa par « sauf si vous utilisez le formulaire de contact ou transmettez votre question à notre équipe, comme décrit ci-dessous ». Si votre site indique au chat qui est un visiteur connecté, précisez que la conversation est conservée avec l'identifiant client que votre site transmet. Si une agence a construit le chat pour vous, elle est aussi votre sous-traitant : nommez-la.

Module A (facultatif) : les coordonnées laissées dans le chat.

Coordonnées laissées dans le chat. Si vous remplissez le formulaire de contact du chat, nous utilisons les informations saisies ([Nom, adresse e-mail, téléphone]) pour vous recontacter au sujet de votre question, comme vous l'avez demandé. Ce traitement repose sur [les mesures précontractuelles prises à votre demande, article 6, paragraphe 1, b, du RGPD / notre intérêt légitime à vous répondre, article 6, paragraphe 1, f, du RGPD]. Nous conservons ces informations [Durée], sauf si vous nous demandez de les supprimer plus tôt. Nous ne vous envoyons des actualités et des offres que si vous cochez la case prévue (article 6, paragraphe 1, a, du RGPD) ; vous pouvez retirer ce consentement à tout moment [Modalités].

ChatterLab supprime de lui-même les coordonnées après 3 ans, ne précoche jamais la case des actualités et conserve avec le prospect les mots que le visiteur a vus.

Module B (facultatif) : les questions traitées par e-mail.

Questions auxquelles nous répondons par e-mail. Si vous transmettez votre question à notre équipe depuis le chat, nous utilisons votre adresse e-mail, votre nom si vous le donnez, votre question et la page d'où vous l'avez posée pour vous répondre par e-mail. Vos réponses sont ajoutées à la même demande. Nous conservons une demande [Durée] après sa clôture. [Prestataire e-mail] envoie et reçoit ces e-mails pour notre compte.

ChatterLab conserve un ticket 2 ans après sa résolution, et un ticket non résolu jusqu'à ce que vous le supprimiez.

Module C (facultatif) : les fichiers envoyés par les visiteurs.

Fichiers envoyés dans le chat. Vous pouvez joindre un document ou une image à une question. L'assistant le lit pour répondre à cette question. Nous conservons le fichier et le texte qui en a été extrait [Durée] ; ensuite, seul son nom reste associé à la conversation. N'envoyez que ce dont votre question a besoin, et aucune pièce d'identité ni document médical.

ChatterLab conserve ces fichiers 30 jours et envoie leur texte au modèle avec la question, pas à OpenAI.

Module D (nécessaire dès qu'une étape a lieu hors de l'EEE) : le fournisseur d'IA et les transferts.

Qui traite le texte, et où. [Prestataire] conserve les conversations [Lieu]. Les réponses sont rédigées par [Fournisseur du modèle ou passerelle], qui reçoit votre question, la conversation récente et les passages de nos informations retrouvés. Pour chercher par le sens dans nos informations, le texte de chaque question est converti en nombres par [Prestataire] en [Pays]. Les transferts hors de l'Espace économique européen reposent sur [une décision d'adéquation de la Commission européenne / les clauses contractuelles types de la Commission européenne / Autre garantie] ; vous pouvez en obtenir une copie à [Adresse e-mail]. [Prestataire] n'utilise pas les conversations pour entraîner des modèles d'IA.

N'écrivez la dernière phrase que si les conditions de votre prestataire le prévoient, et n'y nommez un autre fournisseur que si ses conditions disent la même chose. ChatterLab n'entraîne aucun modèle sur vos conversations, et le cœur du module ci-dessous couvre OpenAI. Cortecs indique dans sa propre documentation que, par défaut, les données ne servent pas à l'entraînement de l'IA (consulté le 25 octobre 2026) ; demandez à votre prestataire quels réglages s'appliquent à votre chat. Pour un chat ChatterLab, le cœur du module devient :

Nous utilisons ChatterLab, qui conserve les conversations dans l'Union européenne. L'application fonctionne chez Vercel, à Francfort (Allemagne), et les fichiers que vous envoyez sont stockés chez Cloudflare R2, sous juridiction de l'UE. Les réponses sont rédigées via Cortecs, une passerelle de modèles européenne. Pour chercher par le sens dans nos informations, le texte de chaque question est converti en nombres par OpenAI, aux États-Unis, dans le cadre de ses conditions de traitement des données ; OpenAI ne s'en sert pas pour entraîner ses modèles. Les e-mails liés aux demandes de contact et aux tickets passent par Resend, aux États-Unis, dans le cadre du Data Privacy Framework UE-États-Unis et de clauses contractuelles types.

L'article 13, paragraphe 1, f, demande d'indiquer pour chaque transfert si une décision d'adéquation le couvre ou quelle garantie le fait, et comment obtenir une copie de cette garantie : demandez à votre prestataire laquelle couvre chaque étape. ChatterLab envoie son contrat de sous-traitance sur demande : management@sri-group.eu.

Module E (recommandé si les visiteurs peuvent évoquer leur situation personnelle) : les données sensibles.

Merci de ne pas saisir de données sensibles. Le chat est destiné aux questions sur [Sujet]. N'y saisissez pas d'informations sur votre santé, vos finances ou vos pièces d'identité, ni d'informations sur d'autres personnes. Si de telles données nous parviennent malgré tout, nous supprimons la conversation dès que nous les repérons. Nous vérifions les conversations [Fréquence].

C'est ce que la CNIL recommande pour les données sensibles dont la collecte n'était pas prévue : un avertissement avant toute utilisation du chatbot, et une purge, immédiate ou au moins régulière. Affichez donc aussi la mise en garde dans le chat.

Module F (facultatif) : les durées de conservation.

Durée de conservation des données du chat. Nous conservons les conversations [Durée] après le dernier message, puis nous les supprimons. Une conversation qui devient une réclamation, une commande ou un litige est conservée aussi longtemps que ce dossier. Coordonnées : [Durée]. Questions traitées par e-mail : [Durée] après leur clôture. Fichiers : [Durée].

Ne promettez que ce qui se passe réellement. ChatterLab ne supprime pas les conversations de lui-même : vous les effacez une par une avec Supprimer dans Activité, ou par l'API à partir de l'offre Studio.

Module G (recommandé) : les droits dans un chat sans compte.

Vos droits. Vous pouvez nous demander quelles données nous détenons sur vous et en obtenir une copie, les faire rectifier ou effacer, en faire limiter l'utilisation, ou vous opposer à leur traitement lorsqu'il repose sur notre intérêt légitime. Lorsque la loi vous en donne le droit, vous pouvez aussi les recevoir dans un format couramment utilisé. Vous pouvez retirer à tout moment un consentement donné. Le chat ne vous demande pas qui vous êtes : indiquez-nous donc approximativement quand vous avez échangé avec lui et une phrase que vous avez écrite. Nous pouvons vous demander un élément montrant que la conversation est bien la vôtre. Écrivez à [Adresse e-mail] ; nous répondons dans un délai d'un mois. Vous pouvez aussi introduire une réclamation auprès de l'autorité de contrôle : en France, la CNIL ; en Belgique, l'Autorité de protection des données (APD).

Ce module suit les articles 12, 15 à 21 et 77 du RGPD. L'article 77 permet aussi la réclamation dans l'État membre de résidence ou de travail : si une partie de vos visiteurs vit ailleurs, écrivez plutôt « l'autorité de protection des données de votre pays ».

Les formulations à éviter#

• « Nous pourrions utiliser vos données pour améliorer nos services. » La CNIL demande d'éviter les formules telles que « nous pourrions utiliser vos données » ou « une possible utilisation de vos données ». Dites ce que vous faites : « nous relisons les conversations pour corriger les réponses erronées ».
• « Aucune donnée ne quitte l'UE. » Inexact dès qu'une étape, comme les vecteurs de recherche ou l'e-mail, se déroule ailleurs, et l'article 13, paragraphe 1, f, vous oblige à mentionner le transfert.
• « Le chat est anonyme. » La CNIL rappelle qu'un chatbot traite souvent des données personnelles, par exemple pour garder une trace de la conversation.
• « En partageant des informations sensibles, vous consentez à leur traitement. » Une politique de chatbot publiée que nous avons lue dit à peu près cela, et parle même de consentement explicite. Pour des données sensibles dont la collecte n'était pas prévue, la CNIL conseille au contraire une mise en garde et une purge, sans recueil de consentement.
• « Consultez régulièrement cette page pour prendre connaissance des modifications. » Les lignes directrices sur la transparence, reprises par le CEPD, jugent cette formule non seulement insuffisante mais déloyale. La CNIL, elle, demande d'informer en cas de modification substantielle, comme de nouveaux destinataires.
• Un lien vers la politique de votre prestataire à la place de votre propre texte. Vous êtes responsable du traitement, et l'obligation d'informer vous revient. La politique de confidentialité de ChatterLab renvoie d'ailleurs les visiteurs vers le site sur lequel ils discutaient.

Combien de temps conserver les conversations#

Le RGPD ne fixe aucune durée. L'article 5, paragraphe 1, e (limitation de la conservation) interdit de conserver plus longtemps que nécessaire, le considérant 39 précise que des délais devraient être fixés par le responsable du traitement pour l'effacement ou un examen périodique, et l'article 13, paragraphe 2, a, demande d'indiquer la durée ou les critères. La CNIL distingue, dans ses conseils sur les chatbots, les conversations à effacer dès la fin de l'échange, comme pour un chatbot aidant à un achat, de celles qu'il est légitime de garder plus longtemps, comme une réclamation sur un produit acheté. Pour un dossier clos qui garde un intérêt, par exemple en vue d'un contentieux, la CNIL décrit l'archivage intermédiaire : lorsqu'il est nécessaire et justifié, les données sont séparées de la base active et consultées de manière ponctuelle et motivée par des personnes spécifiquement habilitées.

Les exemples ci-dessous sont des illustrations, pas des normes juridiques :

Reportez la durée choisie dans le module F et confiez à quelqu'un la tâche de supprimer à temps.

La mention IA se place dans le chat lui-même#

L'article 50, paragraphe 1, du règlement européen sur l'IA impose aux fournisseurs de faire en sorte que les personnes qui interagissent avec un système d'IA en soient informées, et le paragraphe 5 précise : de manière claire et reconnaissable, au plus tard au moment de la première interaction. Cette obligation s'applique depuis le 2 août 2026. Le train de mesures omnibus numérique sur l'IA du 8 juillet 2026 a maintenu cette date et, pour l'article 50, n'a reporté que le marquage lisible par machine, et seulement pour les systèmes génératifs déjà sur le marché. Une phrase dans votre politique de confidentialité ne suffit pas : la politique ne fait pas partie de la conversation. Notre guide de la mention de transparence propose des textes à reprendre ; chez ChatterLab, chaque conversation s'ouvre sur « Vous discutez avec un assistant IA », dans la langue du widget, et cette ligne ne peut pas être retirée. Pour le cadre général, voyez notre page sur l'AI Act.

Le dépôt de traceurs pour le chat est une autre question, régie par l'article 82 de la loi Informatique et Libertés en France : la CNIL admet qu'un traceur déposé seulement à l'ouverture du chat par l'utilisateur, et qui ne sert qu'au chat, échappe au consentement. Le détail figure dans chatbots et consentement aux cookies.

Quand un visiteur demande ce que vous détenez sur lui#

1. Demandez le quand et le quoi : à peu près quand il a utilisé le chat, sur quelle page, et une phrase qu'il a écrite. Chez ChatterLab, le numéro de visiteur ne fait que relier les messages d'une même visite et ne dit rien de l'identité de la personne. Si votre site indique au chat qui est un visiteur connecté, la conversation porte votre propre identifiant pour ce visiteur.
2. Vérifiez que la conversation est bien la sienne. L'article 12, paragraphe 6, vous permet de demander des informations supplémentaires en cas de doute raisonnable sur l'identité ; n'envoyez pas la conversation d'un autre à quelqu'un qui a deviné une date. Si vous ne pouvez pas l'identifier, l'article 11, paragraphe 2, vous demande de l'en informer.
3. Répondez dans un délai d'un mois (article 12, paragraphe 3), prolongeable de deux mois si la complexité ou le nombre de demandes l'exige.
4. Envoyez une copie qui ne contient que sa conversation (article 15, paragraphe 3). Dans Activité, Exporter en PDF reprend toutes les conversations des dates choisies : vérifiez le fichier avant de l'envoyer.
5. Nommez les destinataires. Dans l'affaire C-154/21 (12 janvier 2023), la Cour de justice a jugé que le droit d'accès porte sur l'identité même des destinataires, sauf s'il est impossible de les identifier ou si la demande est manifestement infondée ou excessive.
6. Effacez sur demande (article 17). Supprimer, en haut d'une conversation, l'efface avec ses messages, son prospect, ses fichiers et son ticket, définitivement. Supprimer le fichier efface un seul fichier ; les pages Prospects et Tickets ont chacune leur Supprimer.

ChatterLab ne répond pas à ces demandes à votre place : les données sont les vôtres, la réponse aussi.

Faut-il une AIPD pour un chatbot ?#

L'article 35 du RGPD impose une analyse d'impact relative à la protection des données (AIPD) lorsqu'un traitement, « en particulier par le recours à de nouvelles technologies », est susceptible d'engendrer un risque élevé. Les lignes directrices européennes retiennent neuf critères, et tout traitement qui en remplit au moins deux est présumé soumis à l'obligation, rappelle la CNIL. Pour un chat, les critères pertinents sont les données sensibles ou très personnelles, le traitement à grande échelle, les personnes vulnérables comme les mineurs ou les patients, et l'usage innovant. Or, dans ses recommandations sur le développement des systèmes d'IA, la CNIL classe dans l'usage innovant les systèmes d'IA générative dont le comportement ne peut être anticipé dans tous les cas d'usage. Selon cette lecture, un chat génératif qui reçoit des questions de santé, s'adresse à un jeune public ou traite de très gros volumes appelle une AIPD. C'est une interprétation, pas une règle écrite dans le RGPD.

Ni la liste française des traitements soumis à AIPD (délibération n° 2018-327 du 11 octobre 2018) ni celle des traitements dispensés (délibération n° 2019-118 du 12 septembre 2019) ne mentionnent les chatbots ; la seconde rappelle qu'en cas de doute, il est recommandé d'en effectuer une. En Belgique, la liste de l'APD (décision n° 01/2019 du 16 janvier 2019) vise notamment le traitement à grande échelle ou systématique de données de communication lorsqu'il n'est pas strictement nécessaire à un service demandé par la personne. Le chat d'une petite boutique sur les délais de livraison et les retours, sans compte, sans sujet sensible et avec une conservation courte, ne remplit qu'un critère au plus. Même dans ce cas, l'APD demande de toujours documenter la décision de ne pas effectuer d'AIPD.

Checklist avant de publier la nouvelle politique#

• Le chat affiche la mention IA et renvoie vers la politique de confidentialité avant le premier message. Article 13, paragraphe 1, du RGPD et article 50, paragraphe 5, du règlement sur l'IA.
• Le responsable du traitement, une adresse de contact et, le cas échéant, le délégué à la protection des données sont indiqués. Article 13, paragraphe 1, a et b.
• Chaque destinataire est nommé, y compris le fournisseur d'IA et les sous-traitants ultérieurs, et le contrat de sous-traitance est signé. Articles 13, paragraphe 1, e, et 28, paragraphe 3.
• Chaque transfert hors de l'EEE figure avec sa garantie. Article 13, paragraphe 1, f.
• Chaque finalité a sa base légale, et l'intérêt légitime est explicité, avec le droit d'opposition. Articles 13, paragraphe 1, c et d, et 21.
• Chaque durée de conservation est réellement appliquée. Article 5, paragraphe 1, e ; avec ChatterLab, vous supprimez les conversations vous-même ou par l'API.
• Le chat demande de ne pas saisir de données sensibles, et quelqu'un purge ce qui arrive malgré tout. Le conseil de la CNIL.
• Le circuit des demandes a été testé une fois : retrouver une conversation de test, en faire une copie, la supprimer. Articles 12, paragraphe 3, 15 et 17.

Pour aller plus loin, voyez notre page sur le RGPD et la checklist sur l'hébergement dans l'UE.

Questions sur la politique de confidentialité d'un chatbot#

Faut-il modifier sa politique de confidentialité quand on ajoute un chatbot ?#

Oui, dès que le chat enregistre ce que les visiteurs écrivent, ce que fait presque tout chat. L'article 13 du RGPD impose d'indiquer, au moment de la collecte, qui vous êtes, pourquoi vous traitez les données et sur quelle base légale, qui les reçoit, s'il y a un transfert hors de l'UE, combien de temps vous les conservez et quels sont les droits des personnes. Une politique rédigée avant le chat ne nomme ni son fournisseur ni le fournisseur d'IA.

Quelle base légale pour un chatbot sur un site web ?#

Aucun texte de régulateur cité ici n'impose une base unique à tous les chatbots. Pour un chat qui répond aux questions des visiteurs, l'intérêt légitime (article 6, paragraphe 1, f) est la base la plus évidente, à condition que votre mise en balance tienne ; une autorité publique ne peut pas l'invoquer pour ses missions. Les questions sur vos produits ou une offre peuvent relever des mesures précontractuelles (b), comme l'admettent la CNIL et le CEPD. La prospection exige le consentement, les sujets sensibles une exception de l'article 9.

Faut-il le consentement des visiteurs pour utiliser un chatbot ?#

En général, pas pour la conversation elle-même : l'intérêt légitime ou les mesures précontractuelles peuvent fonder le fait de répondre aux questions. Le consentement intervient pour la prospection, puisque la prospection par e-mail exige un consentement préalable, et pour la santé ou d'autres sujets sensibles que vous traitez sciemment dans le chat. Les traceurs déposés par le widget relèvent d'une autre règle, l'article 82 de la loi Informatique et Libertés en France.

Combien de temps peut-on conserver les conversations d'un chatbot ?#

Le RGPD ne fixe aucune durée. L'article 5, paragraphe 1, e, interdit de conserver plus longtemps que la finalité ne l'exige, et le considérant 39 demande de fixer des délais d'effacement ou d'examen périodique. La CNIL distingue les conversations à effacer dès la fin de l'échange de celles qu'on peut garder plus longtemps, comme une réclamation sur un achat. Fixez une durée par type de donnée, inscrivez-la dans votre politique et assurez-vous que la suppression a vraiment lieu.

Faut-il nommer le fournisseur d'IA dans la politique de confidentialité ?#

L'article 13 permet d'indiquer « les destinataires ou les catégories de destinataires », mais les lignes directrices sur la transparence reprises par le CEPD estiment que les destinataires nommés sont en général les plus utiles aux personnes, et les sous-traitants comptent comme destinataires. Un visiteur qui exerce son droit d'accès a droit à l'identité même des destinataires, a jugé la Cour de justice en janvier 2023 (affaire C-154/21). Les nommer dès maintenant vous épargne cette recherche plus tard.

Faut-il une politique de confidentialité distincte pour le chatbot ?#

Non. Une section de votre politique principale suffit, si le chat y renvoie avant le premier message et si la section se trouve facilement. La CNIL recommande une information à plusieurs niveaux, par exemple une ligne dans le chat puis le détail à un clic. Elle demande aussi que la politique soit distincte des CGV et des CGU. Une page séparée peut se justifier lorsque le même chat tourne sur plusieurs sites, ou traite des données que le reste du site ne touche pas.

Sources#

• Règlement (UE) 2016/679 (règlement général sur la protection des données), Journal officiel de l'Union européenne, consulté le 25 octobre 2026.
• Règlement (UE) 2024/1689 (règlement sur l'intelligence artificielle), Journal officiel de l'Union européenne, consulté le 25 octobre 2026.
• Règlement (UE) 2026/1744 (omnibus numérique sur l'IA), Journal officiel de l'Union européenne, consulté le 25 octobre 2026.
• Directive 2002/58/CE (vie privée et communications électroniques), version consolidée, Journal officiel de l'Union européenne, consulté le 25 octobre 2026.
• Arrêt dans l'affaire C-154/21, Österreichische Post, 12 janvier 2023, Cour de justice de l'Union européenne, consulté le 25 octobre 2026.
• Guidelines on transparency under Regulation 2016/679 (WP260 rev.01), groupe de travail « article 29 », repris par le CEPD, consulté le 25 octobre 2026.
• Guidelines on Data Protection Impact Assessment (WP248 rev.01), groupe de travail « article 29 », repris par le CEPD, consulté le 25 octobre 2026.
• Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, version 1.0, Comité européen de la protection des données, consulté le 25 octobre 2026.
• Guidelines 2/2019 on the processing of personal data under Article 6(1)(b) GDPR, Comité européen de la protection des données, consulté le 25 octobre 2026.
• Chatbots : les conseils de la CNIL pour respecter les droits des personnes, CNIL, consulté le 25 octobre 2026.
• Conformité RGPD : comment informer les personnes et assurer la transparence ?, CNIL, consulté le 25 octobre 2026.
• L'intérêt légitime : comment fonder un traitement sur cette base légale ?, CNIL, consulté le 25 octobre 2026.
• Le contrat : dans quels cas fonder un traitement sur cette base légale ?, CNIL, consulté le 25 octobre 2026.
• Les durées de conservation des données, CNIL, consulté le 25 octobre 2026.
• IA : Réaliser une analyse d'impact si nécessaire, CNIL, consulté le 25 octobre 2026.
• Analyse d'impact relative à la protection des données : publication d'une liste des traitements pour lesquels une analyse est requise, CNIL, consulté le 25 octobre 2026.
• Analyse d'impact relative à la protection des données : publication d'une liste des traitements pour lesquels une analyse n'est pas requise, CNIL, consulté le 25 octobre 2026.
• CEF 2026 : Le CEPD lance une action coordonnée concernant les obligations de transparence et d'information, CNIL, consulté le 25 octobre 2026.
• Analyse d'impact relative à la protection des données, Autorité de protection des données, consulté le 25 octobre 2026.
• Décision n° 01/2019 du 16 janvier 2019 (liste des traitements soumis à une AIPD), Autorité de protection des données, consulté le 25 octobre 2026.
• Data Governance & Controls, Cortecs, consulté le 25 octobre 2026.

Comment cet article a été fait : rédigé avec l'aide de l'IA, puis vérifié par rapport au fonctionnement réel de ChatterLab et aux sources citées dans l'article. Une erreur ? Écrivez à management@sri-group.eu.