« Chatbot français » est une requête d’acheteur prudent : hôtelier soucieux de conformité, office de tourisme, collectivité, structure avec un délégué à la protection des données.
La difficulté, c’est que le mot « souverain » n’a aucune définition juridique. Il est employé par presque tous les éditeurs, français ou non, pour désigner des réalités très différentes.
Cet article n’oppose pas les bons aux méchants. Il découpe le mot en quatre niveaux vérifiables, explique ce que le RGPD exige sur les transferts, et donne les dix questions à poser avec les réponses acceptables. Il ne remplace pas l’avis d’un juriste sur votre cas.
Pour la définition de ce qu’est un agent conversationnel, terme employé dans la plupart des cahiers des charges, voir notre article dédié.
À retenir
- Quatre niveaux distincts : entreprise, hébergement, modèle, absence de transfert hors UE.
- Un éditeur français peut appeler un modèle non européen : légal, mais à documenter.
- Vous restez responsable de traitement ; l’éditeur n’est que sous-traitant.
- La doctrine CNIL sur les chatbots date de février 2021, avant les grands modèles.
- AI Act : article 50 au 2 août 2026, modèles à usage général depuis le 2 août 2025.
- Dix questions écrites suffisent à trier les éditeurs sérieux.
Les 4 niveaux que tout le monde confond
Quand un éditeur écrit « solution souveraine », il peut revendiquer l’un de ces quatre niveaux, ou plusieurs. Ils ne se déduisent pas les uns des autres.
| Niveau | Ce qu’il signifie | Ce qu’il ne garantit pas |
|---|---|---|
| 1. Entreprise française | Société de droit français, capital et direction en France | Rien sur la localisation des données ni sur le modèle utilisé |
| 2. Hébergement en France | Les données de conversation sont stockées sur des serveurs situés en France | Rien sur le traitement effectué par le modèle, ni sur la nationalité de l’hébergeur |
| 3. Modèle européen | La génération de langage repose sur un modèle développé et opéré en Europe | Rien sur le stockage, qui peut se trouver ailleurs |
| 4. Absence de transfert hors UE | Aucune donnée personnelle ne sort de l’Union, y compris chez les sous-traitants | Le niveau le plus exigeant, et le plus rarement tenu sur toute la chaîne |
La nuance à connaître sur le niveau 2. « Hébergé en France » et « hébergé par une entreprise française » sont deux affirmations distinctes. Un hébergeur américain peut disposer de centres de données en France : cela règle la localisation physique, pas l’éventuel accès par une société mère soumise à une législation extraterritoriale.
Selon votre profil de risque, cette distinction compte ou non. Dans les deux cas, elle doit être documentée par écrit.
Un éditeur français qui appelle un modèle américain
C’est le cas le plus fréquent sur le marché, et le moins bien expliqué. La chaîne technique d’un chatbot IA comporte au minimum trois étages, qui peuvent se trouver dans trois juridictions.
| Étage | Ce qu’il contient | Qui le maîtrise |
|---|---|---|
| L’application | Le widget, l’interface de gestion, la logique métier | L’éditeur, qui le développe |
| Le stockage | Les conversations, la base de connaissances, les comptes | L’éditeur et son hébergeur : c’est là que « hébergé en France » s’applique |
| L’inférence | L’appel au modèle qui rédige la réponse | Un fournisseur tiers, souvent hors de l’Union |
Ce que cela implique. Un éditeur peut être français, stocker en France, et transmettre le texte des questions — parfois des extraits de votre base — à un service d’inférence situé hors de l’Union. Ce n’est ni un scandale ni une illégalité : c’est un transfert, qui doit être encadré et porté à la connaissance des personnes.
La bonne question à poser n’est donc pas « êtes-vous français ? » mais « à quel étage, et chez quel sous-traitant, le contenu de la conversation est-il traité ? ». Un éditeur sérieux répond en une phrase et par écrit.
Ce que le RGPD exige sur les transferts
Trois principes suffisent à cadrer le sujet, sans entrer dans la technique juridique.
| Principe | Ce que cela change pour vous |
|---|---|
| Vous êtes responsable de traitement | Le visiteur vous confie ses données, pas à votre éditeur. Contrat de sous-traitance conforme à l’article 28, connaissance de la chaîne, droit de vous opposer à un nouveau sous-traitant |
| Un transfert hors UE n’est pas interdit, il est encadré | Trois mécanismes : décision d’adéquation, clauses contractuelles types avec analyse d’impact, ou dérogation limitée. Ce qui est fautif, c’est le transfert non identifié |
| Les États-Unis passent par le Data Privacy Framework | Décision d’adéquation de juillet 2023, au bénéfice des organisations certifiées dans ce cadre |
Deux précautions sur le Data Privacy Framework, et pas une de moins. D’abord vérifier que le sous-traitant concerné est effectivement certifié, et pour la catégorie de données en cause : la certification s’apprécie entité par entité, elle n’est pas automatique.
Ensuite documenter votre décision. La pérennité de ce cadre fait l’objet de discussions et de recours : son statut doit être revérifié à la date où vous décidez, et non tenu pour acquis parce qu’un article publié deux ans plus tôt l’affirmait.
Un repère utile pour comprendre le flou ambiant. La publication de référence de la CNIL consacrée aux chatbots date de février 2021, avant la généralisation des grands modèles de langage. Elle traite des agents à scénarios, pas des systèmes qui génèrent du texte en appelant un modèle tiers.
L’autorité a depuis commencé à documenter les usages récents, avec notamment une note publiée en juillet 2026 sur l’IA agentique. La doctrine se construit en même temps que le marché : vérifiez la date de toute source qu’on vous cite, y compris celle-ci.
Les 10 questions à poser à un éditeur
Envoyez-les par email et demandez une réponse écrite. Un éditeur qui répond en une journée sur les dix points est un bon signal ; un éditeur qui renvoie vers une page marketing en est un autre.
| # | Question | Réponse acceptable |
|---|---|---|
| 1 | Quelle est la société éditrice, son siège, son numéro d’immatriculation ? | Une raison sociale complète et vérifiable |
| 2 | Où sont stockées les conversations, et chez quel hébergeur ? | Un pays, un hébergeur nommé, éventuellement une région précise |
| 3 | Quels sous-traitants interviennent dans la chaîne, et où sont-ils établis ? | Une liste nominative et à jour, y compris pour l’inférence |
| 4 | Le contenu des conversations sort-il de l’Union européenne ? | Un oui ou un non clair, avec le mécanisme d’encadrement si oui |
| 5 | Quel modèle de langage est utilisé, et où est-il opéré ? | Le nom du fournisseur et la région de traitement |
| 6 | Mes conversations servent-elles à entraîner un modèle ? | Un non contractuel, ou un oui avec l’option de refus |
| 7 | Quelle est la durée de conservation par défaut, et est-elle paramétrable ? | Une durée chiffrée, modifiable |
| 8 | Disposez-vous d’un contrat de sous-traitance conforme à l’article 28 ? | Le document, fourni sans demande insistante |
| 9 | Comment répondez-vous à une demande d’accès ou de suppression ? | Une procédure et un délai |
| 10 | Puis-je exporter ma base de connaissances et mon historique ? | Un format lisible, sans condition d’offre supérieure |
La question 6 est la plus discriminante commercialement : elle sépare les offres où vous êtes client de celles où vous êtes aussi une source de données.
La question 3 est la plus discriminante techniquement, parce qu’elle révèle l’étage d’inférence que les pages marketing omettent systématiquement.
Le cas des conversations clients
Une conversation de chat est un traitement de données personnelles dès qu’elle permet d’identifier la personne : email laissé pour la réponse, numéro de réservation, adresse IP, contenu rattachable à un séjour.
| Obligation | Ce que vous devez mettre en place |
|---|---|
| L’information préalable | Une mention courte dans le widget, plus un renvoi vers la politique de confidentialité : finalité, base légale, durée, destinataires, transferts |
| La durée de conservation | Pas de durée légale unique : une durée justifiée par la finalité, définie à l’avance et réellement appliquée |
| La capacité à répondre | Retrouver une conversation à partir d’une adresse email, pour un accès ou un effacement. À vérifier dans l’outil avant de signer |
Une pratique courante sur la conservation consiste à distinguer une conservation courte pour l’exploitation opérationnelle et une conservation agrégée, sans données identifiantes, pour l’analyse statistique.
Ce qui se glisse dans une conversation d’hébergement
C’est le point de vigilance propre au tourisme, et il est souvent sous-estimé. Un visiteur qui prépare un séjour donne spontanément des informations sensibles :
- une allergie alimentaire, pour le petit-déjeuner ;
- une contrainte de mobilité, pour choisir une chambre ou un emplacement ;
- une information de santé, pour justifier une demande d’annulation ;
- la composition d’une famille, l’âge des enfants, une situation de séparation ;
- parfois un élément religieux, à propos d’un régime alimentaire.
Certaines relèvent des catégories particulières de données au sens du RGPD, dont le traitement est en principe interdit sauf exception, notamment le consentement explicite. Deux conséquences opérationnelles, à prendre sans dramatiser.
Ne provoquez pas la collecte. Le chatbot ne doit jamais poser de question portant sur la santé, un régime ou une situation personnelle. S’il a besoin d’une précision de ce type, il escalade vers un humain plutôt que de la recueillir dans le chat.
Limitez la durée de vie de ces échanges. Une conversation contenant une information de santé n’a pas à être conservée douze mois pour des besoins statistiques. Une durée courte, puis une anonymisation, est la mesure la plus simple et la plus défendable.
Ces deux règles se configurent, elles ne s’improvisent pas. Elles font partie de ce que décrit notre page sécurité et hébergement des données, et notre checklist RGPD pour un chatbot IA en 12 points reprend l’ensemble de ces obligations.
Panorama factuel des acteurs
Le marché comporte des acteurs français et étrangers, sans que la nationalité préjuge de la qualité. Voici les noms que l’on rencontre, à titre de repère et non de recommandation.
| Éditeur français ou d’origine française | Ce qu’on en sait publiquement | Hébergement des données |
|---|---|---|
| Groomy (nous) | SAS française, produit conçu en France. Canal unique : le widget web. Tarif public, 0 € de mise en service, sans engagement, essai sans carte | Communiqué sur demande |
| Ctoutvert | Moteur et channel manager, chatbot IA natif | À demander par écrit |
| Septeo (Ulyses, technologie IDETA) | Éditeur logiciel du tourisme | À demander par écrit |
| Livie | Hébergement et hôtellerie | À demander par écrit |
| Elaia | Hébergement et camping | À demander par écrit |
| Tess Consulting | Hébergement et camping | À demander par écrit |
| StayDesk | Hébergement | À demander par écrit |
| Okiweb | Hébergement et camping | À demander par écrit |
| Octobot | Tourisme | À demander par écrit |
| dydu | Chat de site, tous secteurs | À demander par écrit |
| Botnation | Chat de site, tous secteurs | À demander par écrit |
| Crisp | Chat de site, tous secteurs | À demander par écrit |
| Éditeur étranger fréquent en francophonie | Origine indiquée | Hébergement des données |
|---|---|---|
| HiJiffy | Portugal | À demander par écrit |
| Quinta (ex-Quicktext) | Hors France | À demander par écrit |
| Asksuite | Brésil | À demander par écrit |
| Canary | États-Unis | À demander par écrit |
| Viqal | Hors France | À demander par écrit |
| runnr.ai | Hors France | À demander par écrit |
| chatlyn | Autriche | À demander par écrit |
Pratique chez Groomy Chiffrement AES-256 au repos, TLS 1.3 en transit, conformité RGPD, DPA standardisé fourni sans négociation. Export et suppression à la demande ; vos conversations ne servent jamais à entraîner un modèle tiers. Lieu de stockage et lieu d’inférence : communiqués sur demande, par écrit.
Deux précautions de lecture. Cette liste est un instantané : les positionnements bougent, les sociétés sont rachetées, les périmètres évoluent.
Et être français ne dispense de rien, nous compris : un éditeur français peut parfaitement transférer le contenu des conversations hors de l’Union. Seule la réponse écrite à la question 3 tranche. Notre article sécurité et RGPD d’un chatbot IA tourisme reprend ce guide hébergeur en entier.
Souveraineté et qualité : faut-il choisir ?
L’objection est réelle et mérite une réponse honnête. Les modèles les plus performants ne sont pas tous européens, et un éditeur qui s’interdirait tout appel hors Europe se priverait aujourd’hui d’une partie de l’état de l’art.
| Arbitrage | Ce que vous faites | Ce que cela coûte |
|---|---|---|
| Séparer les étages | Stocker en Europe, n’envoyer au modèle que le strict nécessaire, sans identifiants inutiles | Rien ou presque : c’est la solution la plus répandue et elle réduit réellement l’exposition |
| Contractualiser la non-réutilisation | Obtenir par écrit que ni l’éditeur ni ses sous-traitants n’entraînent de modèle sur vos conversations | Une clause à exiger, pas une promesse orale |
| Exiger la chaîne complète en Europe | Pertinent pour une collectivité ou un établissement public | Un périmètre fonctionnel potentiellement plus étroit, à vérifier par un test réel |
Pour la majorité des hébergements privés, le premier niveau assorti du deuxième est un compromis défendable, à condition qu’il soit écrit et communiqué aux visiteurs. Ce qui ne l’est pas, c’est de revendiquer la souveraineté tout en refusant de nommer ses sous-traitants.
Notre article RGPD et IA dans l’hospitality détaille ce que cela signifie concrètement en 2026.
Ce que l’AI Act ajoute
Deux échéances concernent directement un chatbot d’hébergement.
| Échéance | Ce que dit le texte | Effet pratique pour vous |
|---|---|---|
| Modèles à usage général, depuis le 2 août 2025 | Le régime pèse d’abord sur les fournisseurs de modèles | Indirect mais utile : leur documentation alimente les réponses de votre éditeur |
| Transparence (article 50), à compter du 2 août 2026 | Informer la personne qu’elle interagit avec une IA, sauf évidence | Phrase d’accueil explicite, mention dans la politique de confidentialité, information maintenue visible |
Un détail qui compte. Le texte précise que cette information doit être accessible aux personnes handicapées. Elle rejoint donc les obligations d’accessibilité numérique, et ne peut pas être reléguée dans une image ou un texte à faible contraste.
Ces obligations s’appliquent au système que vous déployez, quelle que soit la nationalité de son éditeur. Conformité et souveraineté sont deux sujets distincts : un éditeur français non conforme reste non conforme.
Pour la définition complète d’un agent IA, voir notre guide agent IA : définition, fonctionnement et cas d’usage.
Ce qu’il faut faire cette semaine
Trois actions concrètes, avant tout choix d’éditeur.
- Envoyez les dix questions à chaque candidat, y compris à celui que vous utilisez déjà. Classez les réponses dans un tableau : vous verrez immédiatement qui répond et qui esquive.
- Écrivez votre politique de conservation avant de brancher l’outil : combien de temps vous gardez une conversation, ce que vous anonymisez, qui a accès. Trois lignes suffisent, mais elles doivent exister.
- Vérifiez la mention de transparence IA dans le widget et dans votre politique de confidentialité, en vue de l’échéance du 2 août 2026.
Nous appliquons à Groomy ce que nous recommandons de demander aux autres : chaîne de sous-traitance documentée, durée de conservation paramétrable, lieu de stockage et lieu d’inférence communiqués sur demande.
Si vous voulez les réponses détaillées aux dix questions pour votre dossier interne ou pour votre délégué à la protection des données, écrivez-nous via la page contact. C’est exactement le type de demande à laquelle un éditeur doit savoir répondre par écrit.
Sur les solutions ouvertes et auto-hébergeables, notre panorama du chatbot open source distingue ce que cette voie garantit — la maîtrise du stockage — de ce qu’elle ne garantit pas : le lieu d’exécution des inférences.