Chatbot IA, RGPD et AI Act : ce qui change au 2 août 2026
L’essentiel
Un chatbot ou un agent IA qui traite des données personnelles reste pleinement soumis au RGPD, quel que soit le modèle utilisé. L’AI Act européen ajoute des obligations d’affichage et de transparence renforcées à partir du 2 août 2026, avec des sanctions qui peuvent atteindre 15 à 20 millions d’euros ou 3 à 4% du chiffre d’affaires mondial selon la gravité du manquement.
Deux réglementations, deux angles différents
Le RGPD encadre le traitement des données personnelles : base légale de collecte, durée de conservation, droit d’accès et de suppression, sécurité du stockage. Un agent IA qui répond à un client à partir de son historique d’achat, ou qui traite un formulaire contenant des données personnelles, entre dans ce cadre exactement comme n’importe quel autre traitement informatique.
L’AI Act encadre l’usage du système d’IA lui-même : niveau de risque, transparence envers l’utilisateur final, documentation technique, supervision humaine. Un chatbot qui interagit avec des personnes physiques doit, par exemple, indiquer clairement qu’il s’agit d’une IA et non d’un humain, sauf évidence manifeste du contexte.
Les deux réglementations se cumulent : respecter l’une ne dispense pas de l’autre.
L’échéance du 2 août 2026
Le calendrier de mise en application de l’AI Act est progressif depuis son entrée en vigueur en 2024. Le 2 août 2026 marque une étape importante : le renforcement des obligations de transparence et d’affichage pour de nombreux systèmes d’IA utilisés en entreprise, dont les chatbots et agents conversationnels destinés au public.
Concrètement, cela signifie pour la plupart des PME utilisant un agent IA orienté client :
- Informer clairement l’utilisateur qu’il interagit avec une IA
- Documenter le fonctionnement général du système (finalité, données utilisées, limites connues)
- Prévoir un mécanisme de recours vers un interlocuteur humain pour les cas sensibles
- Conserver une traçabilité des décisions automatisées ayant un impact significatif sur une personne
Les sanctions encourues
Le régime de sanctions de l’AI Act est structuré par paliers selon la gravité du manquement, avec des montants qui peuvent atteindre 15 à 20 millions d’euros ou 3 à 4% du chiffre d’affaires mondial annuel de l’entreprise pour les manquements les plus graves. À cela s’ajoutent les sanctions RGPD classiques (jusqu’à 4% du chiffre d’affaires mondial ou 20 millions d’euros), qui peuvent se cumuler selon la nature du manquement constaté.
Ces montants concernent en premier lieu les manquements les plus sérieux ; l’essentiel des PME de bonne foi qui documentent correctement leur système et respectent les principes de transparence n’est pas la cible visée par ces sanctions maximales. Mais l’absence totale de démarche de conformité constitue un risque réel, d’autant que les contrôles se renforcent avec l’entrée en application des textes.
Comment nous intégrons la conformité dans nos projets
Cadrage de la base légale et de la finalité avant tout développement : quelles données sont traitées, pour quel usage, avec quelle durée de conservation.
Hébergement adapté au niveau de sensibilité : données en France ou en local sur vos serveurs quand la nature des données l’exige, plutôt qu’un hébergement cloud générique par défaut.
Transparence intégrée dès la conception : mention claire de la nature IA de l’interaction, documentation du fonctionnement du système accessible et compréhensible, pas seulement une mention légale illisible en bas de page.
Supervision humaine sur les décisions à impact : un agent IA qui influence une décision significative (refus de commande, scoring client, priorisation d’un dossier) prévoit systématiquement un point de contrôle ou de recours humain.
Cette approche rejoint la logique de sécurité et de conformité que nous appliquons plus largement à nos projets, détaillée sur la page gouvernance technique.
FAQ
Un chatbot IA doit-il respecter le RGPD et l’AI Act européen ? Oui, les deux réglementations s’appliquent et se cumulent dès lors que le chatbot traite des données personnelles ou interagit avec des personnes physiques. Le RGPD encadre les données traitées, l’AI Act encadre la transparence et l’usage du système d’IA lui-même.
Que change concrètement le 2 août 2026 pour une PME ? Le renforcement des obligations de transparence et d’affichage pour les systèmes d’IA orientés public : informer clairement l’utilisateur qu’il échange avec une IA, documenter le fonctionnement du système, prévoir un recours humain pour les cas sensibles.
Quelles sanctions en cas de non-conformité ? Jusqu’à 15 à 20 millions d’euros ou 3 à 4% du chiffre d’affaires mondial pour les manquements les plus graves à l’AI Act, auxquels peuvent s’ajouter les sanctions RGPD classiques. Les PME de bonne foi qui documentent leur démarche ne sont pas la cible prioritaire de ces montants maximaux, mais l’absence totale de conformité constitue un risque réel et croissant.
Faisons le point sur la conformité de votre projet IA. Un audit de 30 minutes permet d’identifier les ajustements nécessaires avant qu’ils ne deviennent urgents.