L’AI Act européen vous oblige désormais à dire à vos clients que votre chatbot est une IA
L’article 50 du règlement européen sur l’IA (AI Act) s’applique depuis le 2 août 2026. Ce qu’il exige d’un chatbot de support, pourquoi l’exemption du caractère « évident » ne vous protégera pas, et les questions RGPD qui existaient déjà.
Également disponible en : English · Nederlands · Deutsch · Español
Le 2 août 2026, les obligations de transparence du règlement européen sur l’IA (AI Act) sont devenues applicables. Si vous exploitez un chatbot de support qui sert des clients dans l’UE, il ne s’agit plus d’une réglementation lointaine : c’est une exigence concrète qui pèse sur votre widget. La bonne nouvelle, c’est que l’obligation centrale est modeste et que vous pouvez la remplir dès aujourd’hui.
1. L’obligation de transparence
L’article 50 de l’AI Act exige que les personnes qui interagissent avec un système d’IA soient informées qu’elles interagissent avec un système d’IA. La Commission européenne confirme dans sa propre note explicative que l’article 50 s’applique à partir du 2 août 2026 ; voir la FAQ de la Commission sur l’article 50 et le texte du règlement (UE) 2024/1689.
Il existe une exemption lorsqu’il serait évident, pour une personne raisonnablement bien informée, observatrice et avisée, qu’elle a affaire à une IA. La Commission indique que cette exemption doit être interprétée de manière restrictive. Un widget de support conçu pour ressembler à une conversation avec un collègue s’y prête mal : une mention visible coûte moins cher que le débat.
Concrètement
- Placez la mention dans le widget lui-même, et pas seulement dans votre politique de confidentialité ou vos conditions générales. Une personne qui ouvre un chat ne les lit pas.
- Indiquez-le dans le premier message ou dans l’en-tête du chat : « Vous échangez avec notre assistant IA. Demandez une personne à tout moment et nous vous mettrons en relation. »
- Gardez visible le chemin vers un humain. Une transparence sans issue ressemble, pour un client, à une impasse.
- Consignez quand et pourquoi la mention est affichée. Lors d’un contrôle, la question n’est pas de savoir si vous étiez de bonne foi, mais si vous pouvez le démontrer.
2. Êtes-vous concerné ?
L’AI Act vise les fournisseurs et les déployeurs qui mettent des systèmes sur le marché de l’UE ou servent des personnes dans l’UE : une entreprise américaine ou britannique qui exploite un widget de chat pour des clients européens entre donc dans son champ. C’est la même logique extraterritoriale qui a fait du RGPD un chantier de conformité mondial plutôt qu’européen, et la réponse pratique pour la plupart des équipes support est la même : appliquer la règle partout plutôt que de tenter de différencier selon la localisation du visiteur.
3. Les questions RGPD, qui existaient déjà
Un chatbot IA ne change pas vos obligations au titre du RGPD, mais il déplace l’endroit où apparaissent les données personnelles. Les clients tapent dans une fenêtre de chat des choses qu’ils ne mettraient jamais dans un formulaire de contact : numéros de commande, adresses, parfois des informations de santé ou financières.
| Question | Où cela dérape |
|---|---|
| Avez-vous un accord de traitement des données avec votre éditeur de chat ? | Sans cet accord, vous traitez des données personnelles via une partie avec laquelle vous n’avez rien convenu. C’est le point de cette liste le plus rapide à régler et le plus souvent oublié. |
| Où les données sont-elles stockées, et quels sous-traitants interviennent derrière ? | Une grande partie des fonctionnalités d’IA passe par des fournisseurs de modèles situés hors de l’EEE. C’est autorisé, mais cela exige un mécanisme de transfert valable, et vous devez pouvoir expliquer quelle partie voit quoi. |
| Combien de temps conservez-vous les transcriptions ? | Les historiques de chat sont rarement purgés, faute de responsable. Fixez une durée de conservation et laissez-la expirer automatiquement. |
| Le bot peut-il accéder aux données de commande, et comment vérifie-t-il à qui il parle ? | Un bot qui consulte un numéro de commande sans vérifier l’e-mail remet les données à quiconque devine le numéro. Liez chaque consultation à l’adresse e-mail vérifiée du client et renvoyez un « introuvable » neutre en cas de non-correspondance. |
| Que se passe-t-il en cas de demande d’accès ou d’effacement ? | Si les transcriptions ne se trouvent que chez votre éditeur et ne sont pas consultables, vous ne pouvez pas répondre à une telle demande dans le délai légal. |
Pour mémoire, concernant notre propre configuration : le stockage principal des données se trouve dans l’UE, un accord de traitement des données (DPA) est disponible, et les consultations de commandes sont en lecture seule avec vérification de l’e-mail. Une partie du traitement IA passe par des sous-traitants situés hors de l’EEE, sous clauses contractuelles types ; c’est indiqué dans le DPA et dans la politique de confidentialité, pour que vous puissiez le vérifier plutôt que de nous croire sur parole.
4. Où cela dérape en pratique
- Le bot invente des règles. Un modèle qui n’est pas lié à votre propre contenu inventera un délai de retour que vous ne proposez pas. Appuyez les réponses sur votre base de connaissances et affichez la source.
- Le bot prend des engagements qui ont un coût. Ne laissez jamais une IA effectuer seule des remboursements ou modifier des commandes : faites-lui préparer l’action et faites-la approuver par une personne.
- La mention existe mais se trouve tout en bas. Si le client ne la voit qu’après avoir décrit son problème, elle n’a pas rempli son rôle.
- Personne ne relit les conversations. Sans échantillonnage, vous ne savez pas ce qu’on dit à vos clients ; c’est exactement ce que vous demandera un régulateur, ou un client mécontent. Voir taux de déflexion ou taux de résolution pour savoir quoi mesurer plutôt que le volume.
Dois-je dire à mes clients que mon chatbot est une IA ?
Oui, vous devez dire à vos clients que votre chatbot est une IA. L’article 50 de l’AI Act européen exige que les personnes soient informées qu’elles interagissent avec un système d’IA, sauf si c’est évident pour une personne raisonnablement bien informée, observatrice et avisée. La Commission européenne indique que cette exemption doit être interprétée de manière restrictive : une mention visible est donc la voie sûre pour un widget de support.
Depuis quand les règles de transparence de l’AI Act sur les chatbots s’appliquent-elles ?
Les règles de transparence de l’AI Act sur les chatbots s’appliquent depuis le 2 août 2026, selon la note explicative de la Commission européenne sur l’article 50 du règlement (UE) 2024/1689. Le règlement lui-même est entré en vigueur le 1er août 2024, mais ses chapitres sont devenus applicables par étapes.
L’AI Act européen s’applique-t-il aux entreprises situées hors de l’UE ?
L’AI Act vise les fournisseurs et déployeurs qui mettent des systèmes d’IA sur le marché de l’UE ou dont les systèmes servent des personnes dans l’UE : une entreprise établie hors de l’UE qui propose un widget de chat à des clients européens entre donc dans son champ. En pratique, la plupart des équipes support appliquent la mention partout plutôt que de différencier selon la localisation du visiteur.
Un chatbot de support client est-il un système à haut risque au sens de l’AI Act ?
Un chatbot de support client n’est généralement pas un système à haut risque. Un chatbot qui répond aux questions à partir de votre propre base de connaissances relève de l’obligation de transparence de l’article 50 plutôt que des catégories à haut risque, qui couvrent des domaines comme le recrutement, l’évaluation de la solvabilité et la biométrie. Faites évaluer votre propre usage si l’IA contribue à décider d’un accès, d’un prix ou de droits.
Quelles démarches RGPD faut-il effectuer avant de lancer un chatbot IA ?
Avant de lancer un chatbot IA, il vous faut une base légale, un accord de traitement des données avec votre éditeur, une vision claire du lieu de stockage des données et des sous-traitants impliqués, une durée de conservation des transcriptions, une vérification d’identité avant que le bot ne communique des données de commande, et une procédure opérationnelle pour les demandes d’accès et d’effacement.
Résolvez plus de tickets automatiquement.
Connectez votre centre d’aide, testez les réponses sur vos propres questions et vérifiez les transferts avant le déploiement.