Accueil › Guides › Chatbot IA et RGPD

Chatbot IA et RGPD : le guide de conformité pour les entreprises françaises

Publié le 15 septembre 2026 · Règlement (UE) 2016/679, recommandations de la CNIL

Pourquoi votre chatbot traite des données personnelles

Dès qu'un visiteur discute avec un chatbot, il laisse des traces : son message, parfois son nom, son téléphone ou son e-mail s'il demande à être rappelé, son adresse IP, la page sur laquelle il discute. Le règlement général sur la protection des données (RGPD) considère tout cela comme des données personnelles, même quand le visiteur n'est jamais identifié nommément.

En tant qu'entreprise qui installe le chatbot, vous êtes responsable du traitement : l'éditeur du chatbot (Haria, Intercom, Crisp...) n'est « que » votre sous-traitant. Concrètement, c'est votre enseigne que les visiteurs voient sur le widget, et c'est vous qui devez pouvoir répondre si quelqu'un demande ce que sont devenues ses données.

Les 7 vérifications à faire avant d'installer un chatbot IA

1. Où les conversations sont-elles hébergées ?

Le RGPD encadre les transferts hors Union européenne. Un hébergement en France ou dans l'UE évite d'avoir à monter un dispositif de transfert (clauses contractuelles types, analyse d'impact supplémentaire). Demandez le pays exact des serveurs, pas seulement le siège de l'éditeur : un éditeur américain peut très bien héberger en Europe, et inversement.

2. L'éditeur propose-t-il un contrat de sous-traitance (article 28) ?

L'article 28 du RGPD impose un contrat écrit qui fixe les obligations du sous-traitant : durée de conservation, sécurité, assistance en cas d'exercice des droits, suppression en fin de contrat. Chez Haria, cette annexe de traitement des données est incluse dans les CGV. Si un éditeur ne vous propose rien de tel, c'est un signal d'alerte : la conformité devient votre problème entier.

3. Que devient l'adresse IP des visiteurs ?

L'IP est une donnée personnelle. Certains outils la stockent pour de l'analytics ou de la lutte anti-fraude. La pratique la plus respectueuse consiste à s'en servir brièvement (déduire le pays du visiteur, par exemple pour la langue de réponse) puis à la jeter sans jamais l'enregistrer. C'est le choix de Haria : le pays est déduit, l'IP n'est jamais stockée.

4. Le consentement est-il géré proprement ?

Selon ce que fait votre chatbot (simple réponses aux questions, ou collecte active de coordonnées à des fins commerciales), un recueil de consentement peut être nécessaire. Vérifiez que l'éditeur propose une case de consentement activable devant le chat — chez Haria, elle s'active en un clic depuis les réglages — et que votre bandeau cookies existant couvre bien le script du widget.

5. Combien de temps les conversations sont-elles conservées ?

Le RGPD exige des durées proportionnées. Une conversation a de la valeur commerciale quelques semaines : pas des années. Chez Haria, les conversations sont conservées 12 mois au maximum, puis supprimées. Méfiez-vous des éditeurs qui ne savent pas répondre à cette question.

6. Les données sont-elles revendues ou utilisées pour entraîner des modèles ?

C'est LA question à poser à l'ère de l'IA générative : les conversations de vos visiteurs servent-elles à entraîner les modèles de l'éditeur ou de tiers ? Chez Haria, les données ne sont jamais revendues et ne servent pas à entraîner des modèles externes. Chez certains outils grand public, l'option d'entraînement est activée par défaut : lisez les CGV.

7. Comment sont traitées les demandes des personnes (accès, effacement) ?

Un visiteur peut demander à voir ou supprimer ce que le chatbot a capté sur lui. Vous devez pouvoir répondre dans un délai d'un mois. Vérifiez que l'éditeur vous permet d'identifier et d'exporter ou supprimer une conversation précise — c'est le rôle du tableau de bord des conversations chez Haria.

Comment Haria applique ces principes, concrètement

Haria est édité par une société française et les données sont hébergées en France, donc dans l'Union européenne. Elles ne sont jamais revendues. L'adresse IP des visiteurs n'est jamais stockée (le pays est déduit, puis l'IP est jetée). La case de consentement du widget s'active en un clic. Les conversations sont conservées 12 mois au maximum. Et les CGV incluent l'annexe de traitement des données prévue par l'article 28 du RGPD — le document que votre DPO ou votre avocat vous demandera.

Résultat : vous pouvez installer l'assistant et récupérer des contacts 24h/24 sans construire un dossier de conformité à côté. Le détail complet figure dans notre politique de confidentialité.

Questions fréquentes sur les chatbots IA et le RGPD

Un chatbot IA peut-il être conforme au RGPD ?

Oui. Le RGPD n'interdit ni les chatbots ni l'IA : il encadre le traitement des données. Un chatbot hébergé dans l'UE, avec un contrat de sous-traitance, des durées de conservation courtes et une gestion du consentement est parfaitement conforme. La conformité dépend de l'éditeur choisi et de quelques réglages, pas d'une interdiction de principe.

Faut-il un bandeau cookies pour un chatbot ?

Si le chatbot se contente de répondre aux visiteurs sans déposer de traceurs, il n'exige pas de consentement « cookies ». Mais il traite des données personnelles (messages, coordonnées), qui relèvent du RGPD au sens large : information des personnes et base légale restent nécessaires. Une case de consentement dans le widget, comme celle de Haria, simplifie cette information.

Où Haria héberge-t-il les conversations ?

En France, donc dans l'Union européenne. Aucun transfert hors UE n'est nécessaire au fonctionnement du service, et les données ne sont jamais revendues ni utilisées pour entraîner des modèles de tiers.

Combien de temps Haria conserve-t-il les conversations ?

12 mois au maximum, puis elles sont supprimées. Ce délai couvre largement le temps de reprendre contact avec un prospect et de suivre ses résultats, sans stocker des données dont vous n'avez plus l'usage.

Sources : CNIL — le règlement européen de protection des données · CNIL — chatbots · Politique de confidentialité Haria · Mentions légales. Voir aussi : Combien coûte un chatbot IA ? · Chatbot IA pour e-commerce · Haria vs Intercom vs Crisp.

Cet article est fourni à titre d'information générale et ne constitue pas un conseil juridique.