Chatbot sur un site : ce que la loi impose depuis août 2026
Une mention claire dès le premier message, des conversations protégées, et une responsabilité sur ce que dit le robot. Le point complet pour une PME.
À jour au 14 septembre 2026 — AI Act & RGPD
Depuis le 2 août 2026, un visiteur qui échange avec un chatbot doit savoir, dès le premier message, qu’il parle à une intelligence artificielle. C’est la règle la plus visible. Deux autres comptent autant pour une PME : le RGPD, qui s’applique à chaque conversation, et le fait que ce que dit votre chatbot peut vous engager.
Check-list gratuite. Faites le point en 15 minutes sur les 10 points AI Act et RGPD à vérifier dans votre PME. Ouvrir la check-list →
Ce que dit l’article 50 de l’AI Act
L’article 50, paragraphe 1, du règlement (UE) 2024/1689 impose que les systèmes d’IA destinés à dialoguer directement avec des personnes soient conçus pour que ces personnes sachent qu’elles interagissent avec une IA.
Quand : au plus tard au moment de la première interaction.
Comment : de manière claire et reconnaissable, en respectant les exigences d’accessibilité.
Depuis quand : le 2 août 2026. Cette obligation n’a pas été reportée par le Digital Omnibus.
Avec quelles précisions : la Commission européenne a adopté le 20 juillet 2026 des lignes directrices sur ces obligations de transparence. Elles ne sont pas contraignantes, mais elles serviront de référence aux autorités de contrôle.
Le document est gratuit. Vous n’avez pas à le rédiger. Le modèle de politique d’usage de l’IA reprend les neuf clauses d’une politique d’usage, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Essayer le modèle — remplir et voir le document →
ou recevoir le modèle complet, gratuitement
Gratuit. Une adresse email suffit pour le recevoir.
Vous ou l’éditeur : qui est responsable ?
Juridiquement, l’obligation de l’article 50, paragraphe 1, vise le fournisseur, c’est-à-dire celui qui conçoit le système. Mais en pratique, deux situations se présentent.
Vous installez le chatbot clé en main d’un prestataire. La conception relève de l’éditeur, mais c’est votre site et vos clients. Si la mention prévue par l’outil n’apparaît pas clairement pour vos visiteurs, ajoutez-la. C’est aussi l’approche recommandée par les analyses des lignes directrices.
Vous avez construit votre propre chatbot à partir d’un modèle d’IA, par exemple via une API, et vous le proposez sous votre nom. Vous pouvez alors être considéré comme le fournisseur de ce système au sens de l’article 3 du règlement, et l’obligation vous vise directement.
Dans les deux cas, la conclusion pratique est la même : vérifiez ce que voit réellement votre visiteur, et gardez-en la trace.
« C’est évident que c’est un robot » : presque jamais
Le texte prévoit une exception lorsque la nature artificielle de l’échange est évidente pour une personne raisonnablement informée et attentive. Cette exception s’interprète de manière restrictive, puisqu’elle prive les personnes d’une information.
Un assistant qui porte un prénom, une photo et répond avec aisance ne relève pas de l’exception. Le bon réflexe : si un visiteur peut raisonnablement croire qu’il parle à une personne, dites-lui qu’il ne parle pas à une personne.
La mention : où, quand, comment
Dans la fenêtre de discussion elle-même, pas dans les conditions générales ni en bas de page.
Avant ou avec le premier message du chatbot.
Lisible et accessible, y compris pour les personnes qui utilisent un lecteur d’écran.
Pour un assistant vocal, dite oralement dès le début de l’appel.
Exemple de formulation :
« Bonjour, je suis l’assistant virtuel de [votre entreprise], un programme d’intelligence artificielle. Mes réponses peuvent contenir des erreurs. Pour parler à un conseiller, écrivez “conseiller”. Merci de ne pas communiquer de données sensibles, comme des informations de santé. »
Ce que dit votre chatbot peut vous engager
Un chatbot fait partie de votre site. Une information erronée sur un prix, une garantie, un délai ou une condition de remboursement peut vous être opposée par le client, et, face à un consommateur, constituer une pratique commerciale trompeuse.
L’exemple le plus cité vient du Canada. En 2024, un tribunal de Colombie-Britannique a condamné Air Canada à indemniser un client : le chatbot de la compagnie lui avait indiqué à tort qu’il pouvait demander un tarif réduit après son voyage. L’argument selon lequel le chatbot serait responsable de ses propres réponses a été écarté. Ce n’est pas une décision française, mais le raisonnement est simple et transposable : l’entreprise répond des informations données sur son site, qu’elles viennent d’une page ou d’un chatbot.
Trois précautions réduisent ce risque :
Limitez le chatbot aux sujets maîtrisés, à partir d’une base de réponses que vous avez validée.
Renvoyez vers un humain tout ce qui touche aux prix négociés, aux contrats, aux réclamations et aux remboursements.
Testez-le régulièrement avec les questions que posent réellement vos clients, et corrigez.
Le RGPD s’applique à chaque conversation
Un message envoyé à un chatbot contient très souvent des données personnelles : un nom, une adresse email, un numéro de commande, parfois bien plus. La CNIL a publié des recommandations spécifiques aux chatbots. Les points à vérifier :
L’information des utilisateurs, dans votre politique de confidentialité et par une mise en garde avant l’usage, notamment contre la communication de données sensibles.
Un contrat avec l’éditeur qui encadre ce qu’il fait des conversations (article 28 du RGPD), y compris leur éventuelle réutilisation pour entraîner ses modèles, et les transferts hors de l’Union européenne.
Une durée de conservation adaptée à la finalité : suppression rapide pour une aide à l’achat, conservation plus longue si la conversation sert au traitement d’une réclamation.
Les cookies : un cookie déposé seulement quand le visiteur ouvre le chatbot, et strictement nécessaire à son fonctionnement, ne demande pas de consentement ; un cookie déposé avant, oui.
Pas de décision importante fondée sur la seule conversation — un refus, un tarif, une sélection — sans intervention humaine.
Et le traitement doit figurer dans votre registre RGPD. Voyez notre article Registre des systèmes d’IA : modèle et mode d’emploi.
Le risque en cas de manquement
Les manquements aux obligations de l’article 50 peuvent être sanctionnés d’une amende allant jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial ; pour les PME, c’est le montant le plus faible des deux qui sert de plafond.
Pour une PME, le scénario réaliste reste une plainte ou un contrôle portant à la fois sur l’AI Act, le RGPD et le droit de la consommation. Une capture d’écran datée de la mention et un contrat en ordre font alors la différence.
La check-list en sept points
La mention « assistant virtuel, intelligence artificielle » apparaît dès le premier message.
Si le chatbot a un prénom ou un avatar, la mention est d’autant plus explicite.
Un contrat et un accord de traitement des données sont signés avec l’éditeur, et la réutilisation des conversations pour l’entraînement est désactivée si possible.
La politique de confidentialité mentionne le chatbot.
Une durée de conservation des conversations est fixée.
Les prix, contrats, réclamations et remboursements sont renvoyés vers un humain.
Une note datée conserve la capture de la mention, et le chatbot figure au registre des systèmes d’IA.
Le modèle de politique d’usage — gratuit
Les neuf clauses d’une politique d’usage de l’IA, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Gratuit. Une adresse email suffit pour le recevoir.
Le kit de conformité — 199 €
Dans le kit, vous inscrivez votre chatbot dans la liste de vos outils et vous choisissez vous-même sa catégorie de risque, à l’aide d’un rappel des règles de l’article 50. Le kit le reprend dans votre registre des systèmes d’IA. Il met aussi en forme, à partir de modèles, votre politique d’usage de l’IA, votre journal des usages sensibles et une note d’information au personnel.
Pas encore prêt ? Faites l’auto-diagnostic en 3 minutes ou commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.
La newsletter. Un numéro tous les quinze jours : une question de conformité IA traitée avec les textes applicables et leurs dates, chaque affirmation sourcée. Gratuite, sans publicité. Lire le premier numéro — « Le premier risque de l’IA en entreprise n’est pas européen ».
À lire ensuite
Sources
Règlement (UE) 2024/1689 sur l’intelligence artificielle, articles 3, 50 et 99, modifié par le règlement (UE) 2026/1744
Commission européenne — Lignes directrices sur les obligations de transparence (en anglais)
Commission européenne — Questions-réponses sur l’article 50 (en anglais)
CNIL — Chatbots : les conseils de la CNIL pour respecter les droits des personnes
Moffatt v. Air Canada, 2024 BCCRT 149 (décision, en anglais)
Rédigé par Adrien Bano, fondateur d’IA en Règle. Nous ne sommes pas avocats : cet article a été préparé avec l’aide d’outils d’IA et vérifié sur les textes officiels cités.
Cet article présente l’état du droit à la date indiquée. Il ne constitue pas un conseil juridique et ne se substitue pas à l’analyse d’un conseil pour une situation particulière.
