À Ennevelin, Pévèle Carembault a inauguré Terrabùndo en 2023 pour offrir une « maison » aux entrepreneurs du territoire. Le programme de son Focus Business du 19/03/2026 annonçait quatre cas d'usage de l'IA dans les PME, dont les « chatbots intelligents ». Ces outils relèvent désormais de l'article 50 de ce règlement.
Qui doit prévenir l'internaute qu'il parle à une IA ?
Le fournisseur du chatbot. L'article 50 demande que ces outils soient « conçus et développés de manière que les personnes physiques concernées soient informées qu'elles interagissent avec un système d'IA ». Selon l'article 3, le fournisseur développe ou fait développer un système d'IA. Il le met sur le marché ou en service sous son propre nom ou sa propre marque, gratuitement ou non.
Pour un chatbot clés en main, l'obligation pèse donc sur l'éditeur de l'outil. Les lignes directrices de la Commission, publiées le 20 juillet 2026, le confirment. Celui qui propose un chatbot sous son nom en est le fournisseur responsable, même quand ses clients professionnels l'intègrent tel quel à leurs processus.
Encore faut-il une IA : les lignes directrices écartent les mécanismes de réponse automatique sans IA, comme les réponses rapides fondées sur des règles. Un chatbot à boutons, qui déroule des réponses écrites d'avance, n'est donc en principe pas visé. L'exception prévue quand la nature artificielle de l'échange ressort clairement s'interprète, elle, de façon restrictive. La Commission l'écarte justement pour les chatbots d'assistance dont les réponses peuvent passer pour humaines.
Un chatbot installé avant le 2 août 2026 doit s'annoncer depuis cette date. Le délai jusqu'au 2 décembre 2026, prévu par l'article 111, ne vise que le marquage des contenus générés. Un fournisseur en défaut encourt une amende de 15 millions d'euros ou de 3 % de son chiffre d'affaires annuel mondial au plus. Pour une PME, le plafond retenu est le plus faible des deux, selon l'article 99.
Comment l'internaute doit-il être prévenu ?
L'article 50 exige une information fournie « de manière claire et reconnaissable au plus tard au moment de la première interaction ou de la première exposition ». Elle doit aussi respecter les exigences d'accessibilité applicables. Pour un chatbot, les lignes directrices placent ce moment au lancement de la conversation.
| Technique | Ce qu'en disent les lignes directrices |
|---|---|
| Premier message du chatbot qui indique qu'il repose sur l'IA. | Exemple cité d'information écrite. |
| Bandeau ou étiquette en mots simples, près du champ de saisie. | Recommandé. Un badge visible pendant toute la conversation peut s'y ajouter, selon le contexte et les risques. |
| Icône, symbole « IA » ou cadre de couleur. | En complément d'un texte. |
| Mention dans les conditions d'utilisation ou une documentation. | Insuffisante seule : elle complète l'annonce sans la remplacer. |
| Le seul mot « assistant », ou une représentation humaine. | Insuffisant seul : signal ambigu, qui peut tromper. |
| Mention générale sur l'usage de l'IA par les services du site. | Insuffisante seule : trop générale. |
| Description technique, par exemple le type de modèle utilisé. | Insuffisante seule, si elle ne dit rien de la fonction de l'outil ni de son origine artificielle. |
D'après les lignes directrices, une annonce unique et bien visible avant le premier échange devrait suffire dans la plupart des cas. Des rappels réguliers seront probablement nécessaires dans des contextes plus sensibles, comme le conseil financier, l'assurance, l'aide juridique, la santé ou le traitement des réclamations. L'outil doit aussi se déclarer comme une IA chaque fois qu'on l'interroge sur sa nature. Si des enfants peuvent l'utiliser, l'annonce doit être adaptée à leur âge.
Que reste-t-il à l'entreprise qui installe le chatbot ?
Dans sa foire aux questions, la Commission ne range pas l'annonce parmi les obligations du déployeur, c'est-à-dire l'entreprise qui utilise l'outil sous sa propre autorité. Tant que vous n'êtes pas le fournisseur, l'article 50 ne vous demande donc pas d'écrire l'annonce. Son paragraphe 6 précise toutefois que ces règles sont « sans préjudice des autres obligations de transparence prévues par le droit de l'Union ou le droit national pour les déployeurs de systèmes d'IA ».
Deux cas changent la donne : vous faites développer un chatbot, ou vous modifiez un système existant, par exemple avec de nouvelles données d'entraînement. Si vous le mettez ensuite en service sous votre nom, vous en devenez le fournisseur au sens de l'article 3, et l'annonce vous revient.
Exemple
Prenons un artisan qui ajoute à son site un chatbot loué sur abonnement, dont l'éditeur a prévu l'annonce. S'il donne au chatbot le prénom et la photo d'un salarié, il brouille le message de cette annonce. Or c'est sur son site que le visiteur lit les réponses.
Autre voie : ne pas laisser l'IA répondre seule. Selon les lignes directrices, l'interaction n'est pas directe quand un humain se sert de l'IA pour l'aider à répondre, puis envoie lui-même la réponse. La simple possibilité de relire ne permet pas de contourner l'annonce. Les réponses doivent être vraiment relues et envoyées par des humains, qui restent les interlocuteurs principaux. C'est le principe des outils que je code : l'IA prépare la réponse, vous la relisez, vous l'envoyez.
Que demande le RGPD pour les conversations conservées ?
Le règlement sur l'IA ne remplace pas le RGPD. La CNIL le rappelle : le déployeur qui traite des données personnelles en sera « le plus souvent responsable au titre du RGPD ». Or un chatbot en traite souvent, selon la CNIL, par exemple pour garder une trace de la conversation, même sans compte ni donnée directement identifiante. L'annonce de l'IA ne remplace pas l'information sur les données, précisent les lignes directrices.
Les conseils de la CNIL sur les chatbots tiennent en quatre points.
- Le cookie. S'il n'est déposé qu'au moment où l'internaute ouvre la fenêtre de discussion, et ne sert qu'au chatbot, il n'exige pas de consentement. Déposé avant, il en exige un.
- La durée. Les données se gardent le temps que la finalité exige : effacement en fin de conversation pour une aide à l'achat, durée plus longue admise pour une réclamation.
- Les données sensibles, comme la santé ou les opinions politiques. Si leur collecte n'est pas prévue, une mise en garde, affichée avant toute utilisation, invite à ne pas en communiquer. Une purge, immédiate ou au moins régulière, les efface.
- Les décisions. Une conversation sans intervention humaine ne peut pas, à elle seule, conduire à une décision importante pour la personne, comme le refus d'un crédit en ligne.
L'information des visiteurs doit aussi couvrir le chatbot, par exemple dans la politique de confidentialité. La CNIL liste les mentions attendues, dont l'identité du responsable, les finalités, la base légale, les destinataires et la durée de conservation. Les sous-traitants comptent parmi les destinataires. Un transfert hors de l'Union européenne se signale aussi, le cas échéant.
Reste l'éditeur du chatbot. S'il héberge les conversations, la CNIL juge nécessaire un contrat de sous-traitance, qui précise les responsabilités et les accès autorisés aux données. Parmi les mesures de sécurité, elle cite le refus de la réutilisation des données d'usage par le fournisseur, voire de l'enregistrement de l'historique. Le plus sûr reste de ne rien collecter d'inutile : c'est la règle que je tiens dans chaque mission. Quand une mission me fait traiter vos données, un contrat de sous-traitance accompagne le devis.
Quelles vérifications faire sur votre site, et qui peut répondre ?
À vérifier
- Situez l'outil : un chatbot qui rédige ses réponses avec l'IA est visé, des menus écrits d'avance en principe non.
- Ouvrez une conversation comme un visiteur : le premier message doit dire, en mots simples, que l'on échange avec une IA.
- Vérifiez que l'annonce est un texte proche du champ de saisie, pas seulement une icône ou une ligne des mentions légales.
- Testez l'annonce avec un lecteur d'écran : l'article 50 renvoie aux exigences d'accessibilité applicables.
- Demandez au chatbot s'il est un humain : il doit répondre qu'il est une IA. Évitez l'avatar à visage humain.
- Demandez par écrit à l'éditeur comment son outil respecte l'article 50, où il héberge les conversations et s'il les réutilise, par exemple pour entraîner ses modèles.
- Signez le contrat de sous-traitance, refusez la réutilisation des conversations et fixez leur durée de conservation selon leur finalité.
- Complétez la politique de confidentialité et affichez, avant le premier échange, une mise en garde contre les données sensibles.
- Si le chatbot a été développé pour vous et fonctionne sous votre nom, l'annonce vous revient : prévoyez-la dès le devis.
Pour une question sur le règlement, le service d'assistance de la Commission répond, y compris dans votre langue. Il propose aussi une foire aux questions et un vérificateur de conformité. Pour les données personnelles, l'interlocuteur reste la CNIL, chargée de veiller au respect du RGPD. Ces éléments sont une information générale, à jour au 24/09/2026 : vérifiez votre situation auprès de l'organisme compétent.