L’IA conversationnelle traite par nature des données personnelles : prénom, langue, intentions d’achat, parfois numéro de chambre ou demande d’accessibilité. Entre le RGPD et l’AI Act, la conformité d’un agent d’accueil est devenue une case à cocher avant la mise en ligne. Elle se coche en une demi-journée quand on sait quoi regarder.
À retenir
- Vous êtes responsable de traitement, l’éditeur est sous-traitant : la conformité vous revient
- L’intérêt légitime suffit pour répondre ; le consentement vise le marketing et les cookies
- Depuis le 2 août 2026, l’AI Act impose d’informer le visiteur qu’il parle à une IA
- Une durée de conservation écrite et tenue vaut mieux qu’un dispositif sophistiqué
- Deux questions distinctes : où sont stockées les conversations, où tourne le modèle
Ce qu’un agent d’accueil collecte réellement
Avant de parler conformité, il faut inventorier. La plupart des exploitants surestiment la sensibilité des données, et sous-estiment leur volume.
| Famille de données | Contenu typique | Point d’attention |
|---|---|---|
| Contenu de la conversation | Question, réponse, horodatage | C’est là que se glissent un nom, un numéro de réservation, une précision médicale |
| Métadonnées techniques | IP, langue du navigateur, page d’origine, appareil | Rarement utiles au-delà de quelques mois |
| Contact laissé volontairement | Email ou téléphone pour un rappel, ou lors d’une escalade | Donnée directement identifiante, à cadrer |
| Données déduites | Langue détectée, intention, sentiment, signal d’achat | Données personnelles à part entière, souvent absentes du registre |
Le vrai point d’attention. Rien de tout cela ne relève par défaut de l’article 9 (santé, opinions, religion). Mais une demande PMR, une allergie signalée ou une question sur un service religieux y basculent. En hospitality, la sensibilité arrive par le champ libre, pas par le formulaire.
Les cinq obligations, en pratique
Cinq obligations s’appliquent, et chacune se traduit par une action courte.
| Obligation | Traduction concrète | Erreur fréquente |
|---|---|---|
| Base légale | Intérêt légitime pour répondre à une demande entrante | Cocher « consentement » partout par prudence |
| Information | Une phrase lisible + lien vers la politique de confidentialité | Un mur juridique de trois paragraphes |
| Minimisation | Ne collecter que ce qui sert à répondre | Demander des données « pour plus tard » |
| Durée de conservation | Une durée écrite dans le registre, et tenue | Conserver sans durée définie |
| Droits des personnes | Export et suppression réalisables en un mois | Dépendre du support de l’éditeur |
1. Une base légale identifiée
Répondre à une question sur vos horaires, votre parking ou vos disponibilités relève de l’intérêt légitime (article 6.1.f). Quand la question porte sur une réservation en cours ou à venir, on est dans la mesure précontractuelle ou l’exécution du contrat (article 6.1.b).
Le consentement redevient obligatoire dans deux cas : cookies ou traceurs non strictement nécessaires, et réutilisation des conversations en prospection. Un consentement recueilli « par prudence », et mal recueilli, fragilise le traitement entier.
2. Une information claire, y compris sur l’IA
L’article 13 du RGPD impose de dire qui traite, pourquoi, combien de temps et comment exercer ses droits. Depuis le 2 août 2026, l’article 50 de l’AI Act ajoute une exigence distincte : la personne doit savoir qu’elle parle à un système d’IA.
En pratique, une phrase d’ouverture explicite dans la langue du visiteur, plus un lien vers votre politique de confidentialité depuis le widget. Une ligne lisible suffit.
3. La minimisation appliquée à la conversation
Le principe est connu, son application au conversationnel l’est moins. Trois réflexes suffisent :
- Ne pas demander une donnée que l’agent n’utilisera pas pour répondre.
- Ne jamais faire transiter un moyen de paiement dans le fil.
- Purger ou anonymiser les métadonnées techniques bien avant le contenu utile.
4. Une durée de conservation écrite
C’est la non-conformité la plus fréquente, et la plus facile à corriger. Une base active de douze mois pour le suivi qualité et les litiges de séjour se défend sans difficulté ; au-delà, on anonymise ou on supprime. Ce qui ne se défend pas, c’est l’absence de durée dans le registre.
5. Des droits exerçables en pratique
Accès, rectification, effacement, portabilité, opposition. La question n’est pas « les prévoyez-vous » mais « pouvez-vous les honorer en un mois, sans développement spécifique ». Autrement dit : savez-vous retrouver toutes les conversations d’une personne, puis les exporter ou les supprimer ?
Responsable de traitement ou sous-traitant ?
Vous décidez de déployer l’agent et de ce qu’il conserve : la répartition des rôles est claire.
| Rôle | Qui | Ce que ça implique |
|---|---|---|
| Responsable de traitement | Vous, l’exploitant | Vous fixez les finalités, les durées, l’information des personnes |
| Sous-traitant (article 28) | L’éditeur du chatbot | DPA signé, mesures de sécurité, assistance sur les droits, notification des violations |
| Sous-traitants ultérieurs | Fournisseur de modèle, hébergeur tiers | À documenter nommément dans votre chaîne de sous-traitance |
Le point le plus négligé. La chaîne des sous-traitants ultérieurs. L’éditeur s’appuie presque toujours sur un fournisseur de modèle de langage, parfois sur un hébergeur tiers, et vous devez savoir lesquels.
Si un fournisseur se présente comme responsable conjoint sur vos conversations, ce n’est pas disqualifiant, mais cela signifie qu’il se réserve un usage propre de vos données. Demandez lequel, par écrit.
Stockage et inférence : deux questions
Beaucoup de comparatifs se contentent de demander « où sont hébergées les données ». C’est insuffisant : deux traitements distincts coexistent.
| Question | Ce qu’elle couvre | Ce qu’elle ne dit pas |
|---|---|---|
| Où est le stockage ? | Conversations, base de connaissances, comptes utilisateurs | Rien sur le lieu d’exécution du modèle |
| Où est l’inférence ? | Le serveur qui produit la réponse | Rien sur le lieu de conservation des échanges |
Pourquoi ça compte. Un éditeur peut parfaitement stocker les données dans l’UE et appeler une API de modèle exécutée ailleurs. Ce n’est pas illégal, mais cela déclenche l’analyse de transfert, les clauses contractuelles types et une ligne de plus dans votre registre.
Posez les deux questions séparément. Une réponse qui mélange les deux est, en soi, un signal.
Pratique chez Groomy : chiffrement AES-256 au repos, TLS 1.3 en transit, DPA standardisé fourni sans négociation. Vos conversations ne sont jamais réutilisées pour entraîner un modèle tiers ; export et suppression à la demande. Le lieu d’hébergement et la chaîne de sous-traitance sont communiqués sur demande — détail sur la page sécurité et RGPD.
Sur le sujet plus large de la souveraineté, notre article chatbot français : souveraineté, hébergement et RGPD détaille les quatre niveaux à vérifier chez un éditeur.
L’AI Act pour un hébergeur
Le règlement européen classe les systèmes d’IA par niveau de risque, et l’accueil touristique se situe tout en bas.
| Point | Ce qui s’applique à vous |
|---|---|
| Qualification | Un agent d’accueil n’est pas un système à haut risque : ni emploi, ni crédit, ni prestation essentielle |
| Obligation retenue | Transparence de l’article 50 : dire que l’on parle à une IA, depuis le 2 août 2026 |
| Qui la porte | Le déployeur — vous — autant que le fournisseur |
| Quand informer | Au plus tard à la première interaction, donc pas dans les CGU |
Si votre agent devait un jour traiter des demandes touchant une prestation essentielle ou un profilage significatif, la qualification changerait. Pour un hôtel, un camping ou une conciergerie, ce n’est pas le cas.
Les pièges classiques à éviter
Six erreurs reviennent systématiquement dans les audits.
| Piège | Pourquoi c’est un problème | Le réflexe |
|---|---|---|
| Paiement dans le fil | Un numéro de carte sort du périmètre PCI DSS et atterrit dans un journal | Lien de paiement externe, toujours |
| Donnée de santé collectée sans nécessité | Allergie ou besoin PMR = catégorie particulière | La prévoir au registre, ne pas la garder douze mois |
| Conserver « au cas où » | Indéfendable, quel que soit le chiffrement | Une durée écrite, puis suppression |
| Oublier la chaîne de sous-traitance | Le fournisseur de modèle est un sous-traitant ultérieur | Le nommer dans votre documentation |
| Information en français seulement | Un site qui reçoit 60 % de visiteurs étrangers ne remplit pas l’obligation | Disclaimer multilingue automatique |
| Confondre anonymisation et pseudonymisation | Remplacer un nom par un identifiant ne sort pas du RGPD | Anonymisation irréversible, ou rien |
Sur le dernier point pratique, la détection automatique de langue rend le disclaimer multilingue trivial : il s’affiche dans la langue du visiteur dès le premier message.
La checklist à envoyer à un éditeur
Sept questions, sept réponses écrites. Si l’une manque, vous savez où creuser.
| # | La question | Ce qu’elle vérifie |
|---|---|---|
| 1 | Où sont stockées les conversations, où tourne l’inférence ? | Transferts hors UE et registre |
| 2 | Quels sous-traitants ultérieurs, fournisseur de modèle inclus ? | Chaîne de sous-traitance documentée |
| 3 | Le DPA article 28 est-il fourni sans négociation ? | Délai réel de contractualisation |
| 4 | Quelles durées de conservation par défaut, paramétrables ? | Votre capacité à tenir votre registre |
| 5 | Comment exporter et supprimer les données d’une personne ? | Droits exerçables sans le support |
| 6 | Mes conversations entraînent-elles un modèle, le vôtre ou un tiers ? | Usage propre des données par l’éditeur |
| 7 | Sous quel délai et par quel canal notifiez-vous une violation ? | Votre propre délai de 72 heures |
Ce qu’il faut retenir
Le RGPD n’est pas un frein : c’est un cadre qui, une fois posé, devient un argument commercial.
Pourquoi c’est commercial. Les demandes de preuve de conformité arrivent tôt dans les discussions B2B — groupes, réseaux volontaires, tour-opérateurs. Un exploitant qui répond en une page prend une longueur d’avance sur celui qui promet d’en « parler avec son prestataire ».
Le travail réel tient en trois documents : une ligne propre dans votre registre, un DPA signé, une durée de conservation écrite et respectée. Le reste relève du choix d’éditeur.
Pour la mise en œuvre côté produit, voyez comment fonctionne la base de connaissances et notre guide installer un chatbot IA en 30 jours, qui place la conformité au début du projet, pas à la fin.