L’IA conversationnelle traite par nature des données personnelles : prénom, langue, intentions d’achat, parfois numéro de chambre ou demande d’accessibilité. Entre le RGPD et l’AI Act, la conformité d’un agent d’accueil est devenue une case à cocher avant la mise en ligne. Elle se coche en une demi-journée quand on sait quoi regarder.
Ce qu’un agent d’accueil collecte réellement
Avant de parler conformité, il faut inventorier. La plupart des exploitants surestiment la sensibilité des données, et sous-estiment leur volume.
| Famille de données | Contenu typique | Point d’attention |
|---|---|---|
| Contenu de la conversation | Question, réponse, horodatage | C’est là que se glissent un nom, un numéro de réservation, une précision médicale |
| Métadonnées techniques | IP, langue du navigateur, page d’origine, appareil | Rarement utiles au-delà de quelques mois |
| Contact laissé volontairement | Email ou téléphone pour un rappel, ou lors d’une escalade | Donnée directement identifiante, à cadrer |
| Données déduites | Langue détectée, intention, sentiment, signal d’achat | Données personnelles à part entière, souvent absentes du registre |
Les cinq obligations, en pratique
Cinq obligations s’appliquent, et chacune se traduit par une action courte.
| Obligation | Traduction concrète | Erreur fréquente |
|---|---|---|
| Base légale | Intérêt légitime pour répondre à une demande entrante | Cocher « consentement » partout par prudence |
| Information | Une phrase lisible + lien vers la politique de confidentialité | Un mur juridique de trois paragraphes |
| Minimisation | Ne collecter que ce qui sert à répondre | Demander des données « pour plus tard » |
| Durée de conservation | Une durée écrite dans le registre, et tenue | Conserver sans durée définie |
| Droits des personnes | Export et suppression réalisables en un mois | Dépendre du support de l’éditeur |
1. Une base légale identifiée
Répondre à une question sur vos horaires, votre parking ou vos disponibilités relève de l’intérêt légitime (article 6.1.f). Quand la question porte sur une réservation en cours ou à venir, on est dans la mesure précontractuelle ou l’exécution du contrat (article 6.1.b).
Le consentement redevient obligatoire dans deux cas : cookies ou traceurs non strictement nécessaires, et réutilisation des conversations en prospection. Un consentement recueilli « par prudence », et mal recueilli, fragilise le traitement entier.
2. Une information claire, y compris sur l’IA
L’article 13 du RGPD impose de dire qui traite, pourquoi, combien de temps et comment exercer ses droits. Depuis le 2 août 2026, l’article 50 de l’AI Act ajoute une exigence distincte : la personne doit savoir qu’elle parle à un système d’IA.
En pratique, une phrase d’ouverture explicite dans la langue du visiteur, plus un lien vers votre politique de confidentialité depuis le widget. Une ligne lisible suffit.
3. La minimisation appliquée à la conversation
Le principe est connu, son application au conversationnel l’est moins. Trois réflexes suffisent :
- Ne pas demander une donnée que l’agent n’utilisera pas pour répondre.
- Ne jamais faire transiter un moyen de paiement dans le fil.
- Purger ou anonymiser les métadonnées techniques bien avant le contenu utile.
4. Une durée de conservation écrite
C’est la non-conformité la plus fréquente, et la plus facile à corriger. Une base active de douze mois pour le suivi qualité et les litiges de séjour se défend sans difficulté ; au-delà, on anonymise ou on supprime. Ce qui ne se défend pas, c’est l’absence de durée dans le registre.
5. Des droits exerçables en pratique
Accès, rectification, effacement, portabilité, opposition. La question n’est pas « les prévoyez-vous » mais « pouvez-vous les honorer en un mois, sans développement spécifique ». Autrement dit : savez-vous retrouver toutes les conversations d’une personne, puis les exporter ou les supprimer ?
Responsable de traitement ou sous-traitant ?
Vous décidez de déployer l’agent et de ce qu’il conserve : la répartition des rôles est claire.
| Rôle | Qui | Ce que ça implique |
|---|---|---|
| Responsable de traitement | Vous, l’exploitant | Vous fixez les finalités, les durées, l’information des personnes |
| Sous-traitant (article 28) | L’éditeur du chatbot | DPA signé, mesures de sécurité, assistance sur les droits, notification des violations |
| Sous-traitants ultérieurs | Fournisseur de modèle, hébergeur tiers | À documenter nommément dans votre chaîne de sous-traitance |
Le point le plus négligé. La chaîne des sous-traitants ultérieurs. L’éditeur s’appuie presque toujours sur un fournisseur de modèle de langage, parfois sur un hébergeur tiers, et vous devez savoir lesquels.
Si un fournisseur se présente comme responsable conjoint sur vos conversations, ce n’est pas disqualifiant, mais cela signifie qu’il se réserve un usage propre de vos données. Demandez lequel, par écrit.
Stockage et inférence : deux questions
Beaucoup de comparatifs se contentent de demander « où sont hébergées les données ». C’est insuffisant : deux traitements distincts coexistent.
| Question | Ce qu’elle couvre | Ce qu’elle ne dit pas |
|---|---|---|
| Où est le stockage ? | Conversations, base de connaissances, comptes utilisateurs | Rien sur le lieu d’exécution du modèle |
| Où est l’inférence ? | Le serveur qui produit la réponse | Rien sur le lieu de conservation des échanges |
Pourquoi ça compte. Un éditeur peut parfaitement stocker les données dans l’UE et appeler une API de modèle exécutée ailleurs. Ce n’est pas illégal, mais cela déclenche l’analyse de transfert, les clauses contractuelles types et une ligne de plus dans votre registre.
Posez les deux questions séparément. Une réponse qui mélange les deux est, en soi, un signal.
Sur le sujet plus large de la souveraineté, notre article chatbot français : souveraineté, hébergement et RGPD détaille les quatre niveaux à vérifier chez un éditeur.
L’AI Act pour un hébergeur
Le règlement européen classe les systèmes d’IA par niveau de risque, et l’accueil touristique se situe tout en bas.
| Point | Ce qui s’applique à vous |
|---|---|
| Qualification | Un agent d’accueil n’est pas un système à haut risque : ni emploi, ni crédit, ni prestation essentielle |
| Obligation retenue | Transparence de l’article 50 : dire que l’on parle à une IA, depuis le 2 août 2026 |
| Qui la porte | Le déployeur — vous — autant que le fournisseur |
| Quand informer | Au plus tard à la première interaction, donc pas dans les CGU |
Si votre agent devait un jour traiter des demandes touchant une prestation essentielle ou un profilage significatif, la qualification changerait. Pour un hôtel, un camping ou une conciergerie, ce n’est pas le cas.
Les pièges classiques à éviter
Six erreurs reviennent systématiquement dans les audits.
| Piège | Pourquoi c’est un problème | Le réflexe |
|---|---|---|
| Paiement dans le fil | Un numéro de carte sort du périmètre PCI DSS et atterrit dans un journal | Lien de paiement externe, toujours |
| Donnée de santé collectée sans nécessité | Allergie ou besoin PMR = catégorie particulière | La prévoir au registre, ne pas la garder douze mois |
| Conserver « au cas où » | Indéfendable, quel que soit le chiffrement | Une durée écrite, puis suppression |
| Oublier la chaîne de sous-traitance | Le fournisseur de modèle est un sous-traitant ultérieur | Le nommer dans votre documentation |
| Information en français seulement | Un site qui reçoit 60 % de visiteurs étrangers ne remplit pas l’obligation | Disclaimer multilingue automatique |
| Confondre anonymisation et pseudonymisation | Remplacer un nom par un identifiant ne sort pas du RGPD | Anonymisation irréversible, ou rien |
Sur le dernier point pratique, la détection automatique de langue rend le disclaimer multilingue trivial : il s’affiche dans la langue du visiteur dès le premier message.
La checklist à envoyer à un éditeur
Sept questions, sept réponses écrites. Si l’une manque, vous savez où creuser.
| # | La question | Ce qu’elle vérifie |
|---|---|---|
| 1 | Où sont stockées les conversations, où tourne l’inférence ? | Transferts hors UE et registre |
| 2 | Quels sous-traitants ultérieurs, fournisseur de modèle inclus ? | Chaîne de sous-traitance documentée |
| 3 | Le DPA article 28 est-il fourni sans négociation ? | Délai réel de contractualisation |
| 4 | Quelles durées de conservation par défaut, paramétrables ? | Votre capacité à tenir votre registre |
| 5 | Comment exporter et supprimer les données d’une personne ? | Droits exerçables sans le support |
| 6 | Mes conversations entraînent-elles un modèle, le vôtre ou un tiers ? | Usage propre des données par l’éditeur |
| 7 | Sous quel délai et par quel canal notifiez-vous une violation ? | Votre propre délai de 72 heures |
Ce qu’il faut retenir
Le RGPD n’est pas un frein : c’est un cadre qui, une fois posé, devient un argument commercial.
Pourquoi c’est commercial. Les demandes de preuve de conformité arrivent tôt dans les discussions B2B — groupes, réseaux volontaires, tour-opérateurs. Un exploitant qui répond en une page prend une longueur d’avance sur celui qui promet d’en « parler avec son prestataire ».
Le travail réel tient en trois documents : une ligne propre dans votre registre, un DPA signé, une durée de conservation écrite et respectée. Le reste relève du choix d’éditeur.
Pour la mise en œuvre côté produit, voyez comment fonctionne la base de connaissances et notre guide installer un chatbot IA en 30 jours, qui place la conformité au début du projet, pas à la fin.
Questions fréquentes
Faut-il le consentement du visiteur pour lui faire utiliser un chatbot IA ?
Pas au titre du RGPD dans le cas courant : répondre à une demande entrante relève de l'intérêt légitime, voire de la mesure précontractuelle quand la question porte sur une réservation. Le consentement redevient nécessaire si vous déposez des cookies non essentiels ou si vous réutilisez la conversation à des fins marketing. Ce qui est obligatoire dans tous les cas, c'est l'information : le visiteur doit savoir qu'il parle à une IA et où vont ses données.
Un chatbot IA impose-t-il une analyse d'impact (AIPD) ?
Rarement pour un usage classique d'hébergement touristique : la finalité est limitée, les données peu sensibles, la surveillance systématique absente. L'AIPD devient nécessaire si vous croisez les conversations avec du profilage marketing à grande échelle, ou si vous collectez des données de santé ou d'accessibilité. En cas de doute, la grille des neuf critères de la CNIL tranche vite : deux critères remplis, on la fait.
Combien de temps peut-on conserver les conversations ?
Il n'existe pas de durée légale unique : elle doit être justifiée par la finalité. En pratique, 12 mois en base active pour le suivi qualité et le traitement des litiges de séjour est une durée défendable, avec anonymisation ou suppression au-delà. Conserver « au cas où », sans durée écrite dans votre registre, est la non-conformité la plus fréquente.
L'AI Act change-t-il quelque chose pour un chatbot d'hôtel ?
Oui, sur un point précis et facile à traiter : depuis le 2 août 2026, l'article 50 du règlement européen sur l'IA impose d'informer clairement une personne qu'elle interagit avec un système d'IA, sauf si c'est évident. Un chatbot d'accueil n'est pas un système à haut risque, donc le reste du règlement ne s'applique pas à vous. Concrètement : une phrase d'ouverture explicite, dans la langue du visiteur.
Que se passe-t-il si l'agent donne une information fausse sur un client ?
Le principe d'exactitude (article 5.1.d du RGPD) porte sur les données personnelles que vous détenez, pas sur la qualité générale des réponses. Mais une réponse erronée reste un risque commercial et contractuel réel. La parade technique est l'ancrage sur votre base de connaissances plutôt que sur la mémoire du modèle, plus l'escalade humaine dès que l'agent sort de son périmètre.
Mon éditeur de chatbot est-il responsable de traitement ou sous-traitant ?
Sous-traitant, dans la quasi-totalité des cas : c'est vous qui décidez des finalités et des moyens, il exécute pour votre compte. Cela impose un contrat de sous-traitance conforme à l'article 28, la liste des sous-traitants ultérieurs (dont le fournisseur de modèle) et une obligation d'assistance sur les demandes d'exercice de droits. Si un éditeur se dit responsable conjoint sur vos conversations, demandez pourquoi.
Peut-on utiliser un chatbot dont le modèle est américain ?
Oui, mais il faut savoir où atterrissent les données et sur quel fondement. Depuis l'invalidation du Privacy Shield, un transfert hors UE suppose un cadre valide (décision d'adéquation, clauses contractuelles types) et une analyse d'impact du transfert. Le plus simple reste de vérifier deux choses distinctes : où sont hébergées les conversations, et où sont exécutées les inférences du modèle. Les deux réponses diffèrent souvent.