Chatbot conforme au RGPD : guide étape par étape (2026)

Un chatbot conforme au RGPD nécessite un déploiement licite, pas seulement un modèle ou un hébergement particulier. Définissez la finalité et la base juridique de chaque utilisation de données personnelles, cartographiez leurs flux, établissez les rôles et contrats, fournissez les informations et procédures d’exercice des droits, puis appliquez une sécurité adaptée aux risques. L’affirmation de conformité d’un fournisseur ne prouve pas que tous les usages de ses clients satisfont ces exigences.

Le consentement n’est pas automatiquement nécessaire pour chaque conversation d’assistance, pas plus qu’un hébergement exclusivement européen ou un modèle distinct pour les visiteurs européens. Vous devez toutefois pouvoir démontrer que les choix de votre processus respectent les règles applicables. L’évaluation couvre aussi le fournisseur de modèle, le CRM, les analyses, les intégrations de canaux et les journaux d’exploitation.

Ce guide a été vérifié à partir de sources officielles le 4 novembre 2026. Il propose un cadre d’évaluation et des exemples de mise en œuvre ; il ne certifie aucun déploiement et ne remplace pas un conseil adapté à sa situation juridique.

Vérifications facultatives d’exemples

• Prévisualiser les clés de métadonnées. Vérifiez comment les noms de champs fournis deviennent des clés de variables, y compris les doublons et erreurs liées aux clés réservées. Cet outil n’inspecte ni les valeurs ni les autorisations du compte.
• Valider un jeu de test. Vérifiez le format pris en charge d’un petit jeu de données fourni, sans exécuter votre AI Agent.

Ces vérifications n’évaluent pas la conformité juridique.

Une liste de 10 étapes avant le lancement pour la confidentialité et la sécurité

Attribuez chaque point à un responsable et conservez la preuve de la décision ou du test :

1. Définir le processus. Séparez informations publiques, assistance liée au compte, transactions, marketing et amélioration du modèle.
2. Cartographier les données personnelles. Incluez prompts, réponses, métadonnées, fichiers, enregistrements récupérés, journaux et systèmes connectés.
3. Choisir les bases juridiques. Évaluez chaque finalité avant le traitement ; ajoutez un mécanisme de consentement valide lorsqu’il est requis.
4. Identifier rôles et contrats. Déterminez qui fixe les finalités et qui traite sur instruction. Examinez les conditions de sous-traitance et les transferts applicables.
5. Minimiser la collecte. Supprimez les champs inutiles et n’envoyez pas un dossier client complet lorsqu’un résultat limité suffit.
6. Organiser conservation et droits. Prévoyez vérification d’identité, accès, rectification, effacement, portabilité lorsqu’elle s’applique et suivi dans les systèmes en aval.
7. Évaluer les risques. Déterminez si une analyse d’impact relative à la protection des données (AIPD) est nécessaire et terminez-la avant le traitement concerné.
8. Sécuriser accès et intégrations. Appliquez chiffrement, authentification, autorisations, surveillance et gestion des incidents adaptés.
9. Informer les utilisateurs. Publiez des informations exactes, fournissez les indications requises sur l’IA et évaluez séparément le stockage du widget.
10. Tester et attribuer une responsabilité durable. Exercez les cas d’échec, formez le personnel et réévaluez les changements de finalité, de fournisseur ou de fonction.

Les principes du RGPD et leurs conséquences pour le chatbot

Le RGPD s’applique aux traitements concernés réalisés dans le cadre d’un établissement dans l’EEE. Il peut également couvrir des organisations situées ailleurs lorsqu’elles proposent des biens ou services à des personnes dans l’EEE ou y suivent leur comportement. Le critère concerne le traitement et son lien territorial, pas simplement la nationalité. Le CEPD explique le champ territorial et les principes essentiels.

Noms, coordonnées, identifiants en ligne et contenu de conversation rattachable à une personne peuvent constituer des données personnelles. Même une FAQ publique peut collecter des identifiants ou du texte libre contenant de telles informations.

Pour certaines infractions relevant du plafond supérieur, les amendes peuvent atteindre 20 millions d’euros ou, pour une entreprise, 4% du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu. La sanction réelle dépend des circonstances ; voir les explications du CEPD sur les pouvoirs des autorités.

Les termes employés dans ce guide

• Responsable du traitement : organisation qui détermine les finalités et les moyens essentiels du traitement.
• Sous-traitant : entité distincte traitant les données personnelles pour le compte du responsable. Les rôles dépendent de l’activité réelle, pas seulement de l’intitulé du contrat.
• Pseudonymisation : réduction du lien direct avec une personne, par exemple en remplaçant un nom par un identifiant. Elle ne rend pas automatiquement les données anonymes.
• AIPD : évaluation requise lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés. L’échelle, les données sensibles, les personnes vulnérables et les décisions automatisées importantes comptent notamment. L’utilisation de l’IA ne suffit pas à trancher. Consultez les indications du CEPD sur l’AIPD et les listes des autorités compétentes.

Traduire les exigences du RGPD en processus opérationnels

Partez du parcours réel du message d’un visiteur jusqu’à son effacement définitif. Les conceptions suivantes sont des exemples de mise en œuvre, pas une liste de fonctions intégrées à Quickchat AI.

Minimiser les données dès la conception

Définissez un schéma required_fields par tâche. Une demande de rendez-vous peut nécessiter un créneau souhaité et un moyen de contact ; une question sur les horaires publics ne devrait pas exiger un profil client.

Le guide de collecte de prospects avec un chatbot de site web fournit une configuration concrète à évaluer : répondre d’abord aux questions générales, puis recueillir les coordonnées pour un suivi demandé. Vérifiez les champs et les destinataires au regard de vos propres finalités avant de l’utiliser avec des clients.

Examinez davantage que le formulaire visible. Une recherche CRM peut récupérer un dossier complet alors que seul le statut d’une commande est nécessaire. Limitez les champs retournés et les données transmises au modèle. Excluez des prompts les identifiants d’accès et les informations client sans rapport avec la tâche.

Le masquage d’une saisie protège des regards à proximité. Il ne démontre pas que la valeur n’a jamais été collectée, journalisée ou transmise. L’occultation peut réduire les divulgations accidentelles, mais testez ses omissions, y compris les identifiants présents dans des phrases ordinaires.

Consentement et autres bases juridiques

Les explications de la Commission sur les bases juridiques présentent plusieurs possibilités. Nécessité contractuelle, intérêts légitimes après l’évaluation requise et consentement obéissent à des conditions différentes. Choisissez la base avant de traiter les données, plutôt que d’ajouter une case de consentement à chaque tâche.

Lorsque vous vous fondez sur le consentement, la finalité doit être précise et le choix libre, éclairé et univoque. Son retrait doit être aussi simple que son obtention. Séparez le marketing facultatif de l’assistance nécessaire. Confirmer avoir lu une notice ne vaut pas, à lui seul, consentement à tous les usages qu’elle décrit.

La double confirmation peut contribuer à la preuve dans certains contextes. Ce n’est pas une exigence universelle du RGPD. Les lignes directrices du CEPD sur le consentement distinguent consentement ordinaire et explicite et présentent la vérification en deux étapes comme une méthode possible.

Si le consentement est votre base, enregistrez finalité, version de la notice, action affirmative, heure et identifiant pertinent. Protégez cette preuve et appliquez une conservation justifiée. Les catégories particulières, comme les données de santé, nécessitent une condition applicable de l’article 9 en plus d’une base de l’article 6.

Traiter les demandes d’accès, d’effacement et de portabilité

Prévoyez un canal accessible et une personne ou équipe responsable de l’aboutissement. Une commande personnalisée /my_data ou /delete_my_data pourrait ouvrir une demande, mais aucune n’est une fonction intégrée vérifiée de Quickchat AI. Un accusé de réception conversationnel ne prouve pas l’exécution de la demande.

Un processus opérationnel vérifie l’identité de façon proportionnée, localise les données, examine le droit et les exceptions, coordonne les sous-traitants, réalise l’action et consigne la réponse. Utilisez une remise authentifiée pour les exports et empêchez un visiteur de demander les données d’un autre.

Le responsable doit agir sans retard injustifié et normalement dans un délai d’un mois calendaire. Une prolongation autorisée allant jusqu’à deux mois supplémentaires nécessite d’informer la personne, avec les raisons, pendant le premier mois. L’effacement comporte des motifs et des exceptions, dont certaines obligations légales de conservation. Accès et portabilité diffèrent : la portabilité de l’article 20 vise, sous conditions, les données fournies par la personne et traitées automatiquement sur la base du consentement ou d’un contrat. Voir le guide du CEPD sur les droits.

Les voies de suppression de Quickchat AI ont des effets différents. Supprimer un AI Agent rend ses conversations inaccessibles sans les effacer. Supprimer un compte efface en arrière-plan les conversations de ses Agents actuels ; la documentation énumère des exclusions, notamment conversations d’Agents précédemment supprimés, pièces jointes, exports, index de recherche et enregistrements externes. Contactez le support pour le processus d’effacement pertinent. Déconnecter un canal Meta arrête le traitement autorisé futur, sans supprimer automatiquement les conversations historiques.

Pour le parcours d’assistance plus large, notre guide de configuration d’un assistant de service client est distinct de cette procédure d’exercice des droits.

Limitation de conservation et planification

Le RGPD ne fixe pas de limite universelle de 30 ou 90 jours pour les conversations. Définissez la conservation par finalité et catégorie, en tenant compte des obligations légales. Distinguez conversations actives, exports, preuves du consentement, journaux de sécurité et sauvegardes.

Ce pseudocode conceptuel illustre la planification et la vérification, pas une implémentation complète d’effacement ni un paramètre existant du produit :

function scheduleRetention(record, policy) {
  return {
    recordId: record.id,
    purpose: record.purpose,
    reviewOrDeleteAt: policy.dateFor(record),
  };
}

function processDueRecord(item) {
  if (requiresRetentionReview(item)) {
    return queueManualReview(item);
  }
  queueErasureAcrossRecordedSystems(item);
  recordVerificationPending(item.recordId);
}

Documentez responsable de la politique, critères, exceptions autorisées, méthode d’effacement et preuve d’achèvement. Surveillez les échecs au lieu de supposer qu’une tâche planifiée a atteint chaque système.

Les sauvegardes nécessitent un traitement explicite. Le rapport du CEPD de février 2026 sur l’effacement relève des difficultés pratiques et la nécessité de prendre en compte les effacements lors d’une restauration. Il ne démontre ni qu’une suppression immédiate des données de toutes les sauvegardes satisfait toujours aux exigences légales, ni qu’attendre n’importe quelle expiration normale y satisfait toujours. Décrivez restrictions, calendrier d’effacement et procédure de restauration réels sans promettre un effacement universel en un mois.

Article 22 et réexamen humain effectif

L’article 22 concerne les décisions exclusivement automatisées produisant des effets juridiques ou affectant une personne de manière similaire et significative. Une réponse de FAQ ordinaire n’est pas automatiquement une telle décision. Éligibilité au crédit, admission ou accès à des services essentiels nécessitent un examen approfondi.

Identifiez ces points de décision avant de construire le processus. Lorsque la disposition s’applique, examinez l’exception pertinente et les garanties. Pour les exceptions de nécessité contractuelle ou de consentement explicite, les garanties comprennent la possibilité d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision. Les catégories particulières font l’objet de restrictions supplémentaires.

La personne chargée du réexamen doit disposer des informations et du pouvoir de reconsidérer le résultat. Ajouter un bouton de transfert alors que l’issue reste figée ne suffit pas. Consignez de manière proportionnée les critères réels, les entrées et le résultat du réexamen ; l’explication générée par un modèle ne prouve pas comment une décision importante a été prise.

Des mesures de sécurité adaptées aux risques du chatbot

L’article 32 exige des mesures techniques et organisationnelles appropriées. Il ne prescrit pas un algorithme de chiffrement ou un produit d’authentification universel. Utilisez les conseils de sécurité du CEPD pour relier les protections aux préjudices possibles, au contexte et aux technologies disponibles.

Chiffrement en transit et au repos

Protégez connexions et données stockées par un chiffrement et une gestion des clés adaptés. Examinez séparément la liaison visiteur-widget, les intégrations, les accès administratifs, les bases, les exports et les sauvegardes.

TLS protège une liaison de transport ; le chiffrement au repos protège les données stockées. Ces mesures ne constituent pas à elles seules un chiffrement de bout en bout empêchant les intermédiaires de lire le contenu. Un service traitant les messages peut avoir besoin de les déchiffrer. Ne présentez pas TLS 1.3 ou AES-256 comme des spécifications imposées par le RGPD ou des preuves de conformité.

Authentification, rôles et intégration d’identité

Protégez les accès administratifs par une authentification forte, incluant la MFA lorsque c’est approprié. Pour une demande liée au compte, préférez une session client déjà authentifiée à la saisie d’un identifiant de compte dans un chat public.

Examinez séparément l’autorisation : une connexion valide ne doit pas exposer les données d’un autre client. Accordez au personnel les accès nécessaires à ses tâches et retirez-les lorsqu’ils deviennent inutiles. Quickchat AI documente ses rôles d’équipe ; vérifiez qu’ils répondent à vos besoins.

Évaluez le SSO d’entreprise si nécessaire, sans déduire la prise en charge de SAML d’une connexion Google ordinaire. L’identification biométrique peut ajouter des obligations de protection des données et n’est pas une solution universellement plus sûre.

Sécurité des API et permissions d’intégration limitées

Utilisez des identifiants à portée limitée et appliquez les autorisations dans l’application connectée. Demander au modèle de n’accéder qu’aux données d’un client n’est pas une frontière de contrôle d’accès.

Appliquez des limites de requêtes adaptées, validez paramètres et sorties structurés et examinez ce que chaque Action ou intégration peut lire ou modifier. Testez l’accès entre clients et les identifiants révoqués. Recensez les tiers recevant des données personnelles, y compris les services de signalement d’erreurs et d’analyse.

Surveillance, journaux et réponse aux incidents

Journalisez suffisamment pour enquêter sur les accès et échecs, sans recopier automatiquement toutes les conversations dans chaque outil de surveillance. Définissez séparément accès, conservation et occultation des journaux d’exploitation.

La procédure d’incident doit couvrir confinement, enquête, rétablissement, documentation et décisions de notification. Selon le RGPD, le responsable notifie une violation devant être signalée à l’autorité compétente sans retard injustifié et, si possible, sous 72 heures après en avoir pris connaissance, sauf si elle est peu susceptible de créer un risque pour les droits et libertés. Un risque vraisemblablement élevé peut imposer d’informer les personnes sans retard injustifié, sous réserve des exceptions de l’article 34. Le sous-traitant informe son responsable du traitement sans retard injustifié.

Il s’agit de devoirs et de seuils différents ; les conseils de la DPC irlandaise sur les violations expliquent cette distinction. Les modifications proposées par le Digital Omnibus relatif au RGPD ne justifient pas l’utilisation d’un autre délai aujourd’hui.

Liste d’évaluation de la sécurité

Gérer les risques propres aux chatbots IA

L’évaluation doit couvrir les informations reçues par le modèle et les actions que ses sorties peuvent déclencher. Les contrôles généraux de sécurité logicielle restent nécessaires.

Injection de prompt et tests adversariaux

L’injection de prompt peut provenir d’un message visiteur ou d’un contenu récupéré qui tente de détourner le modèle. Un document peut, par exemple, lui demander de révéler des dossiers privés ou d’invoquer une Action sans rapport avec la tâche.

Séparez instructions fiables et contenu non fiable, restreignez les permissions, validez les arguments des actions et testez les tentatives d’accès non autorisé. Filtres et instructions peuvent aider sans garantir la prévention. Les conseils OWASP sur l’injection de prompt précisent que le RAG et le fine-tuning ne suppriment pas totalement cette vulnérabilité.

Utilisez des données synthétiques ou préparées de manière appropriée. Consignez si le système refuse, divulgue des informations, appelle un outil ou transfère la demande ; une phrase finale rassurante ne suffit pas à établir un comportement sûr.

Hallucinations et validation des réponses

Un modèle peut produire une réponse plausible sans fondement dans les preuves disponibles. La récupération dans une Knowledge Base entretenue peut ancrer les réponses, mais ne garantit ni leur exactitude ni le respect des autorisations.

Testez politiques obsolètes, sources contradictoires, dossiers absents et demandes hors périmètre. Prévoyez le signalement d’erreurs et le transfert des cas non résolus à une personne. Pour les réponses liées au compte, comparez-les aux sources autorisées au lieu de vous fier à l’assurance du modèle. Notre explication des hallucinations de l’IA décrit ce comportement.

Fuite de données, entraînement et occultation

Entraînement, inférence, état applicatif et journaux sont des traitements distincts. Ne supposez ni que chaque message entraîne un modèle, ni qu’un engagement de non-entraînement signifie qu’aucune donnée n’est transmise ou conservée.

La FAQ juridique de Quickchat AI indique que les contenus clients ne servent pas à entraîner des LLM et qu’un nettoyage des informations personnelles est disponible sur demande. Cela ne promet ni que chaque message est nettoyé ni que toute donnée personnelle est détectée. Confirmez la configuration choisie et les conditions des fournisseurs.

L’occultation des entrées doit précéder le traitement qu’elle cherche à éviter ; celle des sorties intervient après génération. Retirer un nom peut laisser un contexte identifiant. Le CEPD distingue pseudonymisation et anonymisation, et son avis sur les modèles d’IA impose une évaluation de l’anonymat au cas par cas.

Preuves pour les explications et pistes d’audit

Conservez des preuves proportionnées des sources récupérées, actions, paramètres pertinents et contrôles humains. Une explication générée, un score interne de confiance ou une technique d’explication ne constitue pas automatiquement une preuve de conformité juridique.

Dans l’Inbox de Quickchat AI, Why AI said that peut montrer les sources récupérées et les traces d’exécution. Cela aide à examiner une réponse, sans expliquer entièrement les causes internes du modèle ni remplacer l’évaluation des obligations d’explication pour une décision importante.

Traitement international et localisation des serveurs

Cartographiez stockage, traitement par le modèle, accès du support, intégrations et transferts ultérieurs. La région d’une base ne répond qu’à une partie de la question géographique.

Hébergement dans l’EEE et traitement hors EEE

Le RGPD n’impose pas universellement un hébergement exclusivement européen. Les transferts hors EEE nécessitent un mécanisme applicable du chapitre V ainsi que le respect des autres exigences. Le guide du CEPD sur les transferts explique adéquation, garanties appropriées et dérogations limitées.

La FAQ juridique de Quickchat AI décrit un stockage GCP en Belgique. Sa politique de confidentialité traite séparément des transferts vers les États-Unis et des garanties contractuelles. Le stockage belge ne prouve donc pas un traitement exclusivement européen. La FAQ décrit aussi des options Enterprise, dont cloud privé, LLM auto-hébergés et déploiement sur site ; architecture, disponibilité et responsabilités doivent être convenues pour le déploiement précis.

Clauses contractuelles types et EU-US Data Privacy Framework

La liste actuelle des décisions d’adéquation de la Commission inclut les organisations commerciales américaines participant à l’EU-US Data Privacy Framework. Vérifiez leur participation active et le périmètre couvrant le transfert. Une adresse américaine ne suffit pas.

Avec des clauses contractuelles types ou un autre outil de l’article 46, évaluez si le droit et les pratiques du pays destinataire compromettent les garanties et si des mesures supplémentaires sont nécessaires. Un transfert couvert par une décision d’adéquation n’exige pas automatiquement la même évaluation supplémentaire. Aucun mécanisme ne supprime les obligations de finalité, base juridique, sécurité ou contrat de sous-traitance.

Ne confondez pas le statut du fournisseur cloud avec celui du fournisseur de chatbot. La FAQ de Quickchat AI décrit un alignement DPF en cours, pas une participation vérifiée.

Exemple de fournisseur : contrôles de données de l’API OpenAI

La documentation OpenAI sur les données API indique que les entrées et sorties API ne servent pas à l’entraînement par défaut, sauf choix contraire du client. Elle distingue journaux de surveillance des abus et état applicatif. Les journaux standard peuvent être conservés jusqu’à 30 jours, avec des exceptions juridiques ou de sécurité.

Zero Data Retention et Modified Abuse Monitoring nécessitent une approbation et comportent des limites selon les endpoints. Confirmez compte, endpoint, contrat et lieux de traitement réels. Les réglages d’historique du ChatGPT grand public ne déterminent pas ceux d’une intégration API. Ces conditions générales ne prouvent pas qu’un compte Quickchat AI particulier bénéficie d’une rétention nulle.

Contrats de sous-traitance et responsabilités des fournisseurs

Lorsqu’un fournisseur traite des données personnelles pour votre compte, l’article 28 exige un contrat contraignant ou un autre acte juridique admissible. Évaluez séparément ses usages pour ses propres finalités, plutôt que d’attribuer le même rôle à toutes les activités. Les lignes directrices du CEPD sur les responsables et sous-traitants expliquent cette distinction et les exigences contractuelles.

Clauses requises et questions supplémentaires sur l’IA

Vérifiez que l’accord couvre :

• Objet, durée, nature et finalité du traitement, types de données, catégories de personnes, droits et obligations du responsable.
• Instructions documentées, y compris pour les transferts, avec les exceptions légales applicables de l’UE ou des États membres.
• Confidentialité et mesures de sécurité appropriées au titre de l’article 32.
• Autorisation écrite préalable spécifique ou générale des sous-traitants ultérieurs, information sur les changements et possibilité d’objection en cas d’autorisation générale, avec transmission des obligations requises.
• Assistance pour les droits, la sécurité, les violations et les analyses d’impact.
• Effacement ou restitution au choix du responsable à la fin des prestations, et suppression des copies existantes sauf obligation légale de conservation de l’UE ou d’un État membre.
• Informations nécessaires pour démontrer la conformité et dispositions permettant audits et inspections.

Interrogez séparément le fournisseur sur entraînement, feedback, conservation et usages secondaires. Le RGPD n’exige pas simplement une interdiction générale de tout entraînement possible ; chaque usage nécessite une évaluation de sa finalité, de son rôle et de ses conditions juridiques.

Quickchat AI publie un accord de traitement des données. Examinez les conditions signées applicables et les informations complémentaires. Sa disponibilité ne prouve pas à elle seule qu’un contrat ou déploiement particulier remplit toutes les exigences ci-dessus.

Points à négocier avec les fournisseurs d’IA

Demandez des réponses précises sur lieux de traitement, sous-traitants ultérieurs, conservation opérationnelle, contrôles du compte, communication des violations et procédures de sortie. Distinguez paramètres documentés et engagements propres au contrat.

Demandez ce qui se passe lorsqu’une fonction est désactivée, un canal déconnecté, un Agent supprimé ou un contrat résilié. Établissez le périmètre d’export, les preuves d’effacement, les données légalement conservées et le traitement des sauvegardes. Responsabilité et niveaux de service sont aussi des sujets commerciaux ; une déclaration générale de sécurité ne remplace pas une annexe technique complète.

Personnalisation et minimisation des données

Commencez par les informations minimales nécessaires à la question présente. Les profils persistants nécessitent leur propre finalité et évaluation.

Confidentialité différentielle et traitement sur l’appareil

La confidentialité différentielle peut limiter les informations révélées sur des individus dans certaines applications statistiques ou d’entraînement. Sa protection dépend de l’implémentation et des paramètres ; citer la technique ne démontre ni anonymisation ni licéité.

Traiter une préférence sur l’appareil du visiteur peut réduire la collecte serveur. Vérifiez ce qui quitte encore l’appareil, y compris identifiants et télémétrie. Le stockage ou l’accès sur l’appareil peut relever d’ePrivacy même si l’information n’est pas personnelle.

Réponses par segment et profilage individuel

Adapter une réponse à une catégorie de produit indiquée peut exiger moins de données qu’un profil comportemental durable. Cependant, rattacher un client connu à un segment peut toujours constituer un traitement personnel.

Évaluez finalité réelle, base juridique, information, conservation et accès. Le consentement n’est pas universellement requis pour toute personnalisation ; les décisions automatisées importantes nécessitent une évaluation distincte de l’article 22. Proposez un service de base utile lorsque le profilage facultatif est refusé.

Les chatbots dans les secteurs réglementés

Les règles sectorielles dépendent de l’entité, de l’activité et du territoire. Un chatbot IA pour cabinet d’avocats et un chatbot IA pour services financiers nécessitent des limites claires entre information générale, accès au compte et conseil professionnel. Un avertissement ne suffit pas à établir ces limites.

Santé : données sensibles et obligations HIPAA applicables

Les données de santé nécessitent une condition applicable aux catégories particulières du RGPD, en plus d’une base de l’article 6. Prise de rendez-vous, administration, évaluation des symptômes et décisions cliniques présentent des risques différents. Un chatbot IA pour cabinet dentaire doit prévoir une escalade clinique adaptée à son rôle.

Aux États-Unis, HIPAA s’applique aux covered entities et business associates, pas automatiquement à toute donnée de santé américaine. Une relation concernée avec un business associate nécessite l’accord requis. Vérifiez permissions, protections et conservation par type de dossier avec l’organisation responsable. Ne déduisez pas l’adéquation à HIPAA d’un DPA RGPD, d’une affirmation de chiffrement ou d’une page commerciale santé.

Finance : conservation des documents et contrôle des décisions

Identifiez les règles applicables à l’entreprise et au type de document avant de fixer la conservation. La règle FINRA 4511, par exemple, concerne les entreprises membres et prévoit six ans pour les documents FINRA sans autre durée spécifiée. Ce n’est pas une règle universelle pour toute conversation de chatbot.

Distinguez informations publiques sur les produits, conseils personnalisés et décisions d’éligibilité. Examinez autorisations, obligations professionnelles, conservation et réexamen effectif lorsque requis. Ne vous fiez ni à une interdiction générale de la finance automatisée ni à une clause générique prétendant l’autoriser.

Services publics : évaluation et information accessible

Les organismes publics ont généralement besoin d’un DPO, sous réserve des exceptions applicables ; la nécessité d’une AIPD précise dépend des risques. Un chatbot de FAQ publique et un système influençant l’accès aux prestations nécessitent des évaluations différentes.

Expliquez qui exploite le service, comment les données sont utilisées et comment obtenir de l’aide ou exercer ses droits. Considérez les personnes vulnérables, les alternatives accessibles et les conséquences d’une erreur ou d’un transfert manqué. Examinez les exigences d’accessibilité et sectorielles applicables plutôt que de supposer que l’interface les satisfait.

Évaluer les fournisseurs et technologies de chatbot

Demandez des preuves liées à votre usage. Notre guide d’achat de chatbot IA élargit l’évaluation ; l’analyse de confidentialité doit toujours traiter vos flux réels.

Ce que démontrent ISO 27001, SOC 2 et Cyber Essentials

ISO/IEC 27001 concerne un système de management de la sécurité de l’information. Vérifiez organisation, services, lieux et validité du certificat, sans considérer le logo comme une couverture de tous les produits.

SOC 2 est un rapport d’attestation, pas une certification. Un rapport Type 2 examine l’efficacité opérationnelle sur la période indiquée. Vérifiez systèmes, critères, exceptions et responsabilités du client dans le rapport réel.

Cyber Essentials est un dispositif britannique couvrant des contrôles techniques de base contre les menaces courantes d’Internet. Aucun de ces éléments n’établit seul la conformité RGPD de votre usage. La FAQ juridique de Quickchat AI présente SOC 2 comme une démarche en cours, pas comme un rapport achevé.

15 questions à poser aux fournisseurs envisagés

1. Où prompts, réponses, fichiers, journaux et sauvegardes sont-ils stockés et traités, et qui peut y accéder à distance ?
2. Quels rôles et traitements le DPA proposé couvre-t-il ?
3. Comment l’accès aux données d’un client est-il isolé de celles des autres ?
4. Quelles connexions et données stockées sont chiffrées, et comment les clés sont-elles gérées ?
5. Quelles règles de conservation et d’effacement s’appliquent à chaque catégorie ?
6. Comment accès, rectification, effacement et portabilité sont-ils pris en charge et vérifiés ?
7. Quels sous-traitants ultérieurs interviennent, et comment les changements sont-ils annoncés ?
8. Les données clients servent-elles à l’entraînement, à l’évaluation ou au feedback, et selon quelles conditions ?
9. Comment les incidents sont-ils examinés et les violations pertinentes communiquées ?
10. Quels certificats ou rapports actuels couvrent ce service précis ?
11. Quels modes d’authentification, rôles et intégrations d’identité sont réellement disponibles ?
12. Quelles preuves concernent injection de prompt, actions non autorisées et fuite de données ?
13. Quels choix de confidentialité et sécurité sont des valeurs par défaut, des réglages ou des accords Enterprise ?
14. Quels journaux et preuves de sources ou d’actions les clients peuvent-ils consulter, et quelles sont leurs limites ?
15. Comment examiner les preuves de conformité, exporter les données et vérifier la fin des prestations ?

Une grille de comparaison des fournisseurs

Consignez preuves et questions ouvertes à côté des notes. Une information contractuelle ou opérationnelle inconnue doit rester inconnue, plutôt que recevoir des points pour une formule marketing. Une condition obligatoire non satisfaite ne doit pas disparaître dans un total favorable.

Télécharger un registre des flux de données du déploiement

Téléchargez le registre modifiable des flux de données. Le pack commun en anglais contient trois CSV vides, un exemple fictif distinct et des instructions. Utilisez-le pour consigner les composants, les mouvements de données, les preuves et les questions ouvertes de votre déploiement envisagé. Il ne décrit pas une architecture vérifiée de Quickchat AI.

1. Dans components.csv, indiquez le navigateur, l’application, le stockage des connaissances, le fournisseur du modèle, les services connectés, les journaux et les sauvegardes réellement concernés. Distinguez les lieux de traitement et de stockage, puis consignez l’utilisation pour l’entraînement, la conservation, le périmètre de suppression et la responsabilité des accès. Laissez les faits inconnus non résolus.
2. Dans data-flows.csv, reliez les identifiants des composants et décrivez la finalité, les catégories de données et les conditions d’accès de chaque flux. Consignez des catégories et des références documentaires, pas des transcriptions privées ni des identifiants d’accès.
3. Dans evidence-register.csv, associez chaque affirmation à une source datée et à son périmètre. Distinguez les déclarations des fournisseurs, les contrats et la configuration des plans de test et des comptes rendus de tests observés. Un test prévu reste not_run. Attribuez les questions ouvertes à un responsable.

Importez les CSV UTF-8 dans des feuilles séparées et conservez leurs identifiants. Le vérificateur hors ligne facultatif contrôle le format et les références ; il ne peut ni vérifier une affirmation du fournisseur ni établir la conformité juridique. Utilisez le registre avec les questions et la grille ci-dessus, en réalisant l’examen nécessaire à votre déploiement réel.

Une feuille de route pratique pour les petites équipes

Limitez le premier processus à ce que l’équipe peut exploiter et vérifier. Commencer par des informations publiques peut réduire la complexité, même si texte libre et identifiants techniques demandent encore une évaluation.

Logiciels auto-hébergés et SaaS : les compromis

L’auto-hébergement peut offrir un contrôle plus direct sur l’architecture et les données. Il impose aussi exploitation, correctifs, surveillance et sécurisation. Les coûts de licence et d’infrastructure varient ; la disponibilité en open source ne garantit ni déploiement gratuit ni absence de sous-traitants externes.

Le SaaS peut fournir infrastructure gérée et support, mais le client doit toujours établir finalités, bases juridiques, configuration et conditions adaptées. Comparez le travail restant à votre équipe, pas seulement l’abonnement. Vérifiez toute offre cloud privé ou auto-hébergée comme un accord précis, sans la supposer disponible dans chaque formule.

Des contrôles réalisables avec des ressources limitées

Utilisez des logiciels entretenus, un transport sécurisé, une authentification appropriée et des accès restreints. Excluez des prompts les identifiants secrets et de la Knowledge Base les dossiers inutiles. Établissez une boîte de réception des demandes de droits avec un responsable et un registre de conservation correspondant aux systèmes réels.

Les modèles des autorités peuvent structurer l’évaluation, mais rédigez les informations à partir de vos flux. Un générateur générique de politique ne peut déterminer ce que fait votre chatbot. Testez restauration et sauvegardes, documentez les incidents et gardez une voie d’escalade humaine. Si une protection nécessaire ou une analyse juridique reste non résolue, réduisez le périmètre avant le lancement.

Trois exemples de mise en œuvre hypothétiques

Ces exemples de conception ne sont ni des études de cas clients, ni des résultats mesurés, ni des preuves d’approbation réglementaire.

• Assistant d’information d’une banque de détail. Limitez le bot aux informations publiques approuvées et orientez les opérations de compte vers un service authentifié. Évaluez bases juridiques, fournisseurs et documents. Testez si un visiteur peut provoquer une divulgation de données de compte. La conception doit encore être examinée au regard des règles de la banque.
• Assistant d’admission universitaire. Séparez conseils généraux, statut d’une candidature et décision d’admission. Un portail de droits personnalisé pourrait vérifier l’identité et rassembler les dossiers pour examen et remise sécurisée. JSON peut convenir aux demandes de portabilité applicables, mais produire un fichier ne prouve ni l’accès complet ni le respect des délais.
• Assistant administratif de santé. Définissez les tâches autorisées de réservation et d’information, minimisez les données demandées et prévoyez une escalade clinique adaptée. Évaluez l’occultation face à des informations de santé inattendues, en reconnaissant ses omissions. Une clause ou une couche d’occultation ne rend pas nécessairement la conversation restante anonyme ou utilisable sans restriction pour l’entraînement.

L’AI Act européen aux côtés du RGPD

L’AI Act est entré en vigueur en août 2024 et s’applique progressivement. Il ne remplace pas le RGPD. À la date de révision du guide, le calendrier actuel de la Commission tient compte des modifications adoptées, pas seulement des dates initiales.

Transparence actuelle et dates des exigences à haut risque

L’article 50 s’applique depuis le 2 août 2026. Les fournisseurs doivent veiller à ce que les personnes interagissant directement avec une IA en soient informées, sauf si cela est évident dans le contexte. Les informations requises doivent être claires et accessibles dès la première interaction. Examinez les autres obligations de l’article 50 lorsqu’elles concernent les contenus générés ou le système précis.

L’AI Omnibus adopté est entré en vigueur le 27 juillet 2026. Les exigences à haut risque concernées s’appliquent désormais à partir du 2 décembre 2027 pour les systèmes de l’annexe III et du 2 août 2028 pour ceux liés aux produits de l’annexe I. La qualification dépend de l’usage prévu et des critères légaux ; l’appartenance à un secteur réglementé ne rend pas automatiquement un chatbot à haut risque.

Évaluez séparément les responsabilités de fournisseur et de déployeur, notamment documentation, supervision, journalisation et conformité applicables. L’article 4 modifié exige toujours des mesures favorisant la maîtrise de l’IA par le personnel, sans devoir garantir un niveau individuel particulier.

La procédure distincte du Digital Omnibus RGPD/ePrivacy était encore en cours lors de la vérification du 4 novembre 2026. Ses propositions ne doivent pas être traitées comme du droit applicable.

ISO/IEC 42001 et gouvernance de l’IA

ISO/IEC 42001:2023, publiée en décembre 2023, définit un cadre de management de l’IA. Elle peut aider à organiser responsabilités, évaluation des risques et suivi. Un alignement ou une certification ne constate pas automatiquement qu’un chatbot respecte le RGPD ou toutes les obligations applicables de l’AI Act.

Calendrier de mise en œuvre et matrice des responsabilités

Utilisez un plan par étapes pour repérer les preuves manquantes avant le lancement public. Ce calendrier est un exemple, pas un délai légal ni une promesse que tout projet peut aboutir en 90 jours.

Un plan de 90 jours avec points de contrôle

• Jours 1-30 : exploration. Définissez tâches, flux, bases, rôles et exigences sectorielles. Examinez la nécessité d’une AIPD, désignez les décideurs et rassemblez les preuves fournisseurs.
• Jours 31-60 : mise en œuvre. Convenez des conditions de sous-traitance ; configurez information, accès, intégrations et conservation. Construisez les processus de droits et d’incidents nécessaires. Complétez l’évaluation à mesure que la conception se précise.
• Jours 61-90 : vérification. Testez tâches ordinaires, demandes non autorisées, réponses erronées, périmètre d’effacement et restauration. Formez l’équipe, résolvez les protections nécessaires et examinez l’AIPD requise avant le traitement concerné. Même un pilote limité exige des protections adaptées.

Choisissez le lancement selon l’état de préparation, pas le calendrier seul. Le guide des plateformes d’IA conversationnelle apporte un contexte supplémentaire d’évaluation.

Exemple RACI avec conseil indépendant du DPO

R désigne la personne exécutant le travail, A le responsable du projet dans l’organisation, C une personne consultée et I une personne informée. Cet exemple opérationnel ne transfère pas les responsabilités légales du responsable du traitement ou du sous-traitant.

Le DPO conseille et contrôle de manière indépendante. Les lignes directrices sur les DPO attribuent la responsabilité de la conformité et de l’AIPD au responsable du traitement et mettent en garde contre les conflits avec des fonctions déterminant finalités et moyens. Toutes les organisations ne doivent pas désigner un DPO.

Avant d’approuver le déploiement

Examinez ensemble cartographie des données, contrats applicables, règles de conservation et tests opérationnels. Confirmez qui reçoit une demande de droits ou un signalement d’incident, et ce qui se passe lorsqu’un fournisseur, une intégration ou une finalité change.

Pour Quickchat AI, distinguez contrôles documentés et exigences nécessitant un accord spécifique. Suppression de compte ou d’Agent, notice de confidentialité, nettoyage sur demande et région de stockage annoncée ont chacun un périmètre limité. Clarifiez les exigences du déploiement réel avant de vous y fier.

Questions fréquentes sur la confidentialité des chatbots

Un chatbot basé sur GPT peut-il être conforme au RGPD ?

Il peut s’inscrire dans un déploiement licite, selon finalités, données, rôles, contrats, sécurité, droits et transferts. Un nom de modèle, un réglage sans entraînement ou un serveur européen ne suffit pas. La pseudonymisation peut réduire les risques tout en laissant les données dans le champ du RGPD.

Comment effacer les données d’un utilisateur sur demande ?

Vérifiez l’identité de manière proportionnée, identifiez les dossiers, examinez motifs et exceptions, coordonnez les sous-traitants et vérifiez le résultat. Agissez sans retard injustifié, normalement sous un mois calendaire, en communiquant à temps toute prolongation autorisée. Incluez journaux, exports et sauvegardes dans l’analyse. Supprimer un AI Agent Quickchat ne revient pas à effacer ses conversations.

Quelle méthode d’authentification un chatbot doit-il utiliser ?

Adaptez-la à la tâche. Une FAQ publique peut ne pas nécessiter d’authentification, tandis que détails de compte et transactions exigent un parcours correctement authentifié et autorisé. Protégez l’administration, envisagez la MFA et vérifiez les restrictions de rôles. Ni SSO ni biométrie ne répondent universellement à tous les usages.

Combien de temps conserver les conversations selon le RGPD ?

Seulement aussi longtemps que la finalité le justifie, sous réserve des obligations légales applicables. Définissez durées ou critères par catégorie et expliquez-les dans les informations de confidentialité. Une durée d’exemple de 30 ou 90 jours n’est pas une valeur par défaut du RGPD ; conserver une preuve de consentement exige aussi une justification.

Faut-il un DPA si j’héberge moi-même le modèle ?

Examinez si une autre entité traite des données pour votre compte. Exploiter vous-même un logiciel ne crée pas automatiquement une relation de sous-traitance avec son éditeur, mais hébergement, support, analyses ou autres services peuvent le faire. Les conditions applicables de l’article 28 restent nécessaires pour les sous-traitants, et l’auto-hébergement ne supprime pas vos obligations propres.

Un chatbot peut-il décider entièrement automatiquement au titre de l’article 22 ?

La restriction de l’article 22 concerne les décisions exclusivement automatisées ayant des effets juridiques ou similaires et significatifs. Lorsqu’elle s’applique, examinez une exception applicable et les garanties requises, dont une intervention humaine effective si nécessaire. Les réponses ordinaires d’assistance ne relèvent pas automatiquement de cette restriction ; les décisions importantes d’éligibilité ou d’accès nécessitent un examen approfondi.

Que doit contenir la notice de confidentialité d’un chatbot ?

Expliquez responsable et contacts, finalités et bases, destinataires et transferts pertinents, conservation, droits applicables et voies de réclamation. Ajoutez les informations requises par les articles 13 ou 14 pour la collecte réelle, notamment retrait en cas de consentement et informations pertinentes sur les décisions automatisées. Gardez la notice accessible et exacte. Fournissez l’information requise sur l’interaction avec l’IA séparément du recueil du consentement.

Comment réduire le risque d’injection de prompt ?

Traitez messages visiteurs et contenu récupéré comme non fiables. Limitez les permissions, imposez les autorisations hors du modèle, validez les paramètres d’action et testez les tentatives d’accès non autorisé ou d’actions sans rapport. Instructions, filtres et RAG ne garantissent pas la prévention. Conservez une voie d’enquête et d’escalade humaine.

Les widgets de chat nécessitent-ils un consentement aux cookies ?

Évaluez chaque opération de stockage ou d’accès et sa finalité selon l’application nationale d’ePrivacy. Les indications du CEPD dépassent les seuls cookies. Les opérations strictement nécessaires à un service expressément demandé peuvent être exemptées ; d’autres peuvent nécessiter un consentement préalable. Le widget Quickchat AI utilise le stockage local du navigateur pour la continuité des conversations et les préférences. Ne supposez ni que tout stockage du widget est exempté, ni que tout widget doit être entièrement bloqué avant un choix.

L’AI Act européen remplace-t-il le RGPD pour les chatbots ?

Non. Le RGPD continue de régir les traitements personnels concernés, tandis que l’AI Act ajoute des obligations selon le système, le rôle et l’usage. Les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026. Vérifiez le calendrier amendé actuel pour le haut risque plutôt que de vous fier aux prévisions initiales de 2025/2026.

Pour évaluer la plateforme Quickchat AI, commencez par un processus défini et les données nécessaires, puis comparez contrôles documentés et conditions applicables à vos exigences.