Chatbot, emails, contenus : quelles obligations quand votre entreprise utilise l’IA ?

Publié le 2 novembre 2026 · par Patrick Faramaz

Un assistant sur votre site, une IA qui trie la boîte de réception, des textes rédigés plus vite : ces usages sont autorisés, mais encadrés. Pour la plupart des projets web d’une PME, l’essentiel tient en quelques vérifications. Les voici, cas par cas, en séparant ce que les textes imposent de ce qui relève des bonnes pratiques.

Vérifié le 6 novembre 2026 sur les textes officiels cités dans l’article. Il s’agit d’une information générale, pas d’un avis juridique sur votre situation. Pour un projet sensible, faites valider vos choix par votre DPO ou votre conseil.

Deux textes à connaître

Le règlement européen sur l’IA, souvent appelé AI Act (règlement (UE) 2024/1689, version consolidée). Un chatbot d’assistance, un outil de tri d’emails ou un générateur de textes relèvent en général de ses règles de transparence, pas des règles « haut risque » qui visent par exemple le tri de candidatures ou l’évaluation de la solvabilité.

Le RGPD (règlement (UE) 2016/679), dès que l’outil traite des données personnelles : un nom, une adresse email, le contenu d’un message ou l’historique d’une conversation. C’est souvent lui qui demande le plus de travail.

Ce qui a changé en 2026. Le règlement (UE) 2026/1744, dit « omnibus numérique sur l’IA », publié le 24 juillet 2026, repousse les obligations « haut risque » au 2 décembre 2027 ou au 2 août 2028 selon les cas. Il ne repousse pas l’obligation d’informer les utilisateurs d’un chatbot, applicable depuis le 2 août 2026, comme le rappelle la Commission européenne.

Qui est responsable de quoi ?

Le règlement sur l’IA distingue deux rôles principaux (article 3). Le fournisseur développe ou fait développer un système d’IA et le met sur le marché ou en service sous son propre nom ou sa propre marque. Le déployeur utilise un système d’IA sous sa propre autorité, dans un cadre professionnel.

Une entreprise qui active l’assistant d’un logiciel du marché sur son site est en général déployeur. Une entreprise qui fait développer un chatbot sur mesure et le met en service sous sa marque peut aussi être fournisseur de ce système. Tout dépend de qui développe et sous quel nom l’outil est proposé. Posez la question dès le début du projet et écrivez la réponse dans le contrat.

Le RGPD a sa propre logique. Le responsable de traitement décide des finalités et des moyens. Le sous-traitant traite les données pour son compte, dans le cadre d’un contrat qui fixe ses obligations (article 28). Un fournisseur d’IA appelé par API peut être votre sous-traitant pour vos requêtes, et traiter aussi certaines données pour ses propres finalités selon ses conditions. La CNIL recommande de s’interroger sur son rôle et celui du fournisseur, puis de conclure selon le cas un contrat de sous-traitance ou un accord de responsabilité conjointe. La réponse varie selon les outils : lisez les conditions et l’accord de traitement des données de chacun.

Cas 1 : un chatbot d’assistance sur votre site

Dire que c’est une IA. L’article 50 du règlement sur l’IA demande que les personnes sachent qu’elles échangent avec un système d’IA, sauf si c’est évident pour une personne normalement attentive compte tenu du contexte. L’obligation de conception pèse sur le fournisseur, mais l’information doit arriver jusqu’à l’utilisateur « de manière claire et reconnaissable au plus tard au moment de la première interaction », en respectant les exigences d’accessibilité. Vérifiez que l’affichage final sur votre site le fait vraiment. Une ligne perdue dans les conditions générales répond mal à cette exigence.

Les cookies. Selon la CNIL, le cookie d’un chatbot peut être dispensé de consentement s’il n’est déposé qu’au moment où le visiteur ouvre lui-même la fenêtre de conversation et s’il sert exclusivement au fonctionnement du chatbot. S’il est déposé avant cette ouverture, ou s’il sert aussi à une autre finalité, le consentement est nécessaire. Les traceurs publicitaires et les autres traceurs non strictement nécessaires exigent en principe un consentement préalable. Certaines mesures d’audience bénéficient aussi d’une exemption sous conditions.

Les données de conversation. Elles se conservent le temps nécessaire à la finalité : souvent la fin de l’échange pour une aide à l’achat, plus longtemps pour une réclamation. Comme les visiteurs écrivent librement, ils peuvent livrer des données de santé ou d’autres données sensibles. La CNIL recommande alors un avertissement préalable et une purge immédiate ou régulière.

Les décisions. La CNIL précise qu’une conversation avec un chatbot sans intervention humaine ne peut pas conduire à elle seule à des décisions importantes, comme un refus de crédit, un tarif plus élevé ou l’impossibilité de candidater.

Exemple de mention, à adapter à votre outil et à votre site :

« Vous échangez avec un assistant automatisé fondé sur l’intelligence artificielle. Ses réponses peuvent contenir des erreurs. N’indiquez pas de données de santé, bancaires ou d’autres informations sensibles. Pour parler à une personne, écrivez-nous à [adresse]. Vos données : [lien vers la politique de confidentialité]. »

Cette mention illustre l’information sur l’IA, à adapter au contexte et à son affichage. Elle ne remplace pas l’information prévue par le RGPD (articles 13 et 14) : finalités, base légale, destinataires, durée de conservation, droits et, le cas échéant, transferts hors de l’Union européenne. Rendez cette information accessible depuis la fenêtre du chatbot, par exemple par un lien vers la politique de confidentialité.

Cas 2 : l’IA dans votre boîte email

Trier, résumer, proposer un brouillon. Le point d’attention est surtout le RGPD : les messages contiennent des données de clients et de tiers, parfois sensibles. Choisissez un outil dont le contrat encadre ces données, limitez ce qui lui est transmis et désactivez la réutilisation par le fournisseur quand l’option existe.

Envoyer automatiquement. Le RGPD n’interdit pas l’automatisation en soi. Son article 22 vise les décisions fondées exclusivement sur un traitement automatisé qui produisent des effets juridiques pour la personne ou l’affectent de manière significative de façon similaire. Classer un message dans « devis » ou envoyer un accusé de réception n’entre en général pas dans ce cadre. Refuser automatiquement un remboursement ou une candidature peut y entrer. Une telle décision n’est alors possible que si elle est nécessaire à un contrat, autorisée par la loi ou fondée sur un consentement explicite. Dans les cas du contrat et du consentement, la personne doit au minimum pouvoir obtenir une intervention humaine, donner son point de vue et contester.

Une bonne pratique, pas une règle générale. Relire les réponses envoyées au nom de l’entreprise reste prudent, et la CNIL conseille de ne pas reproduire telles quelles les sorties d’une IA générative. Si une IA répond seule à vos correspondants, il est aussi prudent de l’indiquer dans le message, car l’obligation de transparence vise les systèmes qui interagissent directement avec des personnes.

Cas 3 : formulaires, CRM et données clients

• La base légale. Le consentement n’est pas la seule base possible. Répondre à une demande de devis peut reposer sur des mesures précontractuelles, d’autres traitements sur l’intérêt légitime selon le contexte (article 6). Documentez celle que vous retenez.
• La réutilisation. Utiliser les fiches du CRM ou les messages d’un formulaire pour alimenter la base de connaissance d’un chatbot ou ajuster un modèle est un nouvel usage. Il faut d’abord évaluer sa compatibilité avec la finalité d’origine (article 6, paragraphe 4) et en informer les personnes. S’il est incompatible, il faut une autre justification valable, comme un consentement spécifique ou une disposition légale, et les conditions de l’article 9 si des données sensibles sont concernées. Selon la CNIL, l’entreprise reste responsable de ces traitements, et celle qui ajuste un modèle peut devenir fournisseur au sens du règlement sur l’IA pour cet ajustement.
• Retirer un nom ne suffit pas. Des données dont on a retiré l’identité mais qui restent rattachables à une personne sont des données pseudonymisées. Elles restent des données personnelles (considérant 26 du RGPD).
• L’hébergement en Europe aide, sans tout régler. Il faut aussi connaître les sous-traitants ultérieurs et encadrer les éventuels transferts hors de l’Union (chapitre V du RGPD).
• La sécurité et les droits. Le RGPD (article 32) demande des mesures adaptées aux risques : par exemple des accès limités et contrôlés, la protection des données transmises à l’outil et une procédure prévue en cas d’incident ou de demande de suppression. Les personnes gardent leurs droits d’accès et d’effacement (articles 15 et 17) sur les données traitées via l’IA, y compris les conversations conservées.
• L’analyse d’impact. Elle est obligatoire quand un traitement est susceptible d’engendrer un risque élevé (article 35), par exemple avec des données sensibles traitées à grande échelle.

Cas 4 : textes, images et vidéos générés

Les fournisseurs d’outils génératifs doivent marquer techniquement les contenus produits, de façon lisible par une machine (jusqu’au 2 décembre 2026 pour les outils déjà sur le marché avant le 2 août 2026). Pour l’entreprise qui utilise ces outils, deux cas demandent une mention visible :

• les hypertrucages (deepfakes). Le règlement les définit (article 3, point 60) comme des images, sons ou vidéos générés ou manipulés par IA, qui ressemblent à des personnes, objets, lieux, entités ou événements existants et qui pourraient être perçus à tort comme authentiques. Une illustration manifestement imaginaire n’entre donc en principe pas dans cette définition. Pour une œuvre manifestement artistique, satirique ou fictive, la mention reste due mais peut être faite d’une manière qui ne gêne pas l’œuvre.
• les textes publiés pour informer le public sur des questions d’intérêt public, sauf si le texte a fait l’objet d’une relecture humaine ou d’un contrôle éditorial et qu’une personne en assume la responsabilité éditoriale.

Un article de blog commercial n’informe pas forcément le public sur une question d’intérêt public. S’il le fait, une relecture réelle et la responsabilité éditoriale assumée par l’entreprise permettent souvent d’appliquer l’exception. La Commission européenne a publié des lignes directrices sur ces obligations de transparence. Vérifiez dans tous les cas l’exactitude des contenus, comme le recommande la CNIL.

Former les équipes : une obligation de moyens

L’article 4 du règlement sur l’IA s’applique depuis le 2 février 2025. Dans sa rédaction modifiée en juillet 2026, il demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les personnes qui utilisent ces systèmes pour leur compte. Le texte précise qu’il ne les oblige pas à garantir un niveau donné pour chaque personne. Aucune certification n’est exigée.

Une charte listant les usages autorisés et interdits, comme le recommande la CNIL, et une courte sensibilisation dont vous gardez la trace sont un point de départ à adapter au rôle des équipes, aux usages et aux risques.

Vous avez des clients ou des visiteurs en Suisse ? La loi fédérale sur la protection des données (LPD) s’applique directement aux traitements qui utilisent l’IA, rappelle le Préposé fédéral (PFPDT). Une personne qui échange avec un modèle de langage a le droit de savoir si elle parle à une machine et si ses données sont réutilisées. Lorsqu’une décision est prise exclusivement de manière automatisée et a des effets juridiques ou significatifs pour elle, elle peut demander qu’elle soit revue par une personne physique, sauf exceptions prévues par la loi (article 21 LPD).

La checklist avant de brancher une IA

1. Décrire l’usage précis et les données qui passeront par l’outil.
2. Identifier les rôles au titre du règlement sur l’IA et du RGPD, et les écrire dans le contrat.
3. Obtenir l’accord de traitement des données du fournisseur, ses sous-traitants et les lieux de traitement.
4. Régler la réutilisation des données par le fournisseur et la durée de conservation des conversations.
5. Afficher une mention IA claire dès la première interaction, lisible aussi avec les outils d’accessibilité.
6. Mettre à jour la politique de confidentialité.
7. Vérifier les finalités de chaque traceur et recueillir le consentement lorsque nécessaire.
8. Avertir sur les données sensibles et prévoir une purge.
9. Ne laisser aucune décision importante à l’IA seule, ou respecter le cadre de l’article 22.
10. Fixer une règle de relecture des contenus et des réponses envoyées.
11. Rédiger une charte d’usage interne et sensibiliser l’équipe.
12. Réaliser une analyse d’impact si le traitement présente un risque élevé.

Un projet de chatbot ou d’automatisation ?

Chez Goodmotion, nous concevons des chatbots, agents et workflows IA. Nous intégrons ces points dès le cadrage technique : choix et paramétrage des outils, mentions affichées, données transmises réduites au nécessaire. La validation juridique reste du ressort de votre DPO ou de votre conseil. Décrivez-nous votre besoin.

Sources

• Règlement (UE) 2024/1689 sur l’IA, version consolidée au 27 juillet 2026 : articles 3 (dont le point 60), 4, 50 et 113 (EUR-Lex)
• Règlement (UE) 2026/1744, omnibus numérique sur l’IA (EUR-Lex)
• Règlement (UE) 2016/679, RGPD : articles 4, 6, 9, 13, 14, 15, 17, 22, 28, 32, 35, 44 et suivants, considérant 26 (EUR-Lex)
• Commission européenne, Législation sur l’IA et calendrier d’application
• CNIL, Chatbots : les conseils de la CNIL pour respecter les droits des personnes
• CNIL, Questions-réponses sur l’utilisation d’un système d’IA générative
• CNIL, Cookies : solutions pour les outils de mesure d’audience
• PFPDT, IA et protection des données
• Loi fédérale sur la protection des données (LPD), article 21 (Fedlex)