Chatbot RGPD : obligations de conformité d'un agent IA
Dernière mise à jour : 03/09/2026.
Un chatbot RGPD est un agent conversationnel dont le traitement de données personnelles est conforme au règlement : information de l'utilisateur dès le premier échange, base légale identifiée, durée de conservation des conversations définie, encadrement du sous-traitant qui héberge le modèle et contrôle des décisions automatisées.
Quelles informations donner à l'utilisateur avant qu'il n'écrive au chatbot ?
Avant le premier message, l'utilisateur doit savoir qu'il s'adresse à une machine et non à un humain, et connaître le responsable du traitement, la finalité, la base légale, la durée de conservation et ses droits. Ces mentions, exigées par l'article 13 du RGPD pour une collecte directe, restent accessibles depuis la fenêtre de conversation.
La CNIL demande qu'un chatbot soit identifiable comme tel et que l'information soit claire et facile d'accès. L'article 50 du règlement européen sur l'IA ajoute l'obligation de signaler à la personne qu'elle interagit avec un système d'IA.
Combien de temps conserver les conversations d'un chatbot ?
Le RGPD ne fixe aucune durée chiffrée : chaque durée se définit selon la finalité, au titre du principe de limitation de la conservation de l'article 5 du RGPD. Une conversation de support ne se garde pas aussi longtemps qu'une preuve contractuelle. Passé le délai utile, les échanges sont supprimés ou anonymisés.
La durée retenue s'inscrit dans le registre des traitements et se justifie en cas de contrôle. Conserver l'intégralité des historiques sans limite expose au reproche de conservation excessive.
Un chatbot peut-il prendre une décision automatisée sur une personne ?
Un chatbot ne peut pas, à lui seul, prendre une décision produisant des effets juridiques ou significatifs sur une personne. L'article 22 du RGPD interdit qu'une personne soit soumise à une décision fondée uniquement sur un traitement automatisé. La CNIL précise qu'une conversation sans intervention humaine ne peut, seule, refuser un crédit, appliquer un tarif plus élevé ou écarter une candidature.
Dès qu'une suite est donnée à la conversation, une intervention humaine réelle doit encadrer la décision finale, et la personne doit pouvoir la contester.
Callbot vocal et RGPD : ce qui change par rapport au chat écrit
Un callbot vocal ajoute le traitement de la voix : l'enregistrement audio est une donnée personnelle et son analyse doit rester minimisée. Si le callbot identifie l'appelant par son empreinte vocale, il traite une donnée biométrique relevant de l'article 9 du RGPD, soumise à un régime renforcé.
Les obligations du chatbot écrit demeurent, complétées par l'information sur l'enregistrement de l'appel et par une vigilance accrue sur les données sensibles qu'une voix peut révéler.
Qui est responsable de traitement quand le modèle appartient à un éditeur tiers ?
L'organisation qui déploie le chatbot est responsable du traitement ; l'éditeur qui héberge le modèle agit comme sous-traitant, encadré par le contrat prévu à l'article 28 du RGPD. Si cet éditeur réutilise les conversations pour ses propres finalités, l'entraînement de son modèle par exemple, il devient responsable autonome de cette réutilisation.
Cette qualification se tranche avant le déploiement, pas après un incident. Vous pouvez faire porter ces arbitrages par un DPO externe et intégrer le chatbot au registre des traitements. Le suivi documentaire de ces traitements se pilote ensuite dans le logiciel IZIRO.
-----------------
SILEXO a proposé jusqu'en mars 2025 six assistants GPT spécialisés en RGPD et cybersécurité, aujourd'hui retirés et non maintenus. Les échanges avec un agent conversationnel doivent toujours être validés par un professionnel de la protection des données.
Le logiciel RGPD du DPO
Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.
Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.
