Avant de mettre en ligne un assistant IA, signalez aux visiteurs qu’ils échangent avec une IA, comme l’exige l’AI Act à partir du 2 août 2026, et dites-leur quelles données sont collectées, pourquoi et pour combien de temps. Encadrez par contrat le fournisseur du modèle et les éventuels transferts hors de l’Union, écrivez ce que l’assistant n’a pas le droit de faire, et tenez un journal des conversations relu régulièrement.
Un assistant IA ressemble à un formulaire qui répond. En réalité, il recueille du texte libre, que les visiteurs remplissent parfois de leur numéro de téléphone, de leur adresse ou de détails sur leur santé, et il le transmet à un fournisseur de modèle, souvent établi hors d’Europe.
Deux textes encadrent cela : le RGPD, pour les données personnelles, et le règlement européen sur l’IA, l’AI Act, entré en vigueur le 1er août 2024 et appliqué par étapes. Ce guide reprend, dans l’ordre, les décisions à prendre avant l’ouverture.
Que dit l’AI Act, et à partir de quand ?
Selon le calendrier publié par la Commission européenne, les premières obligations (interdictions, maîtrise de l’IA par les équipes, modèles d’IA à usage général) s’appliquent depuis 2025, et la plupart des autres règles à partir du 2 août 2026.
Pour un assistant de site, l’obligation centrale est celle de l’article 50 : les personnes doivent être informées qu’elles échangent avec un système d’IA, au plus tard lors de la première interaction, sauf si c’est évident. Les règles des systèmes à haut risque, dont le calendrier a été modifié par l’omnibus numérique, n’arrivent qu’en 2027 et 2028 et visent des usages bien plus sensibles qu’un assistant de renseignement.
Comment informer les visiteurs ?
En deux endroits. Dans la fenêtre de l’assistant, une phrase visible dès l’ouverture : vous échangez avec un assistant automatique, n’y saisissez pas d’informations sensibles, une personne peut prendre le relais. Dans la politique de confidentialité, une section dédiée : données collectées, finalité, base légale, durée de conservation, destinataires.
Les fiches pratiques de la CNIL sur l’IA déroulent ces points (finalité, base légale, information, minimisation, sécurité). Écrivez pour un visiteur pressé : phrases courtes, lien vers le détail.
Quelles données collecter, et pour combien de temps ?
Le moins possible, et pour une raison écrite. Un assistant qui renseigne sur vos services n’a pas besoin d’identifier le visiteur. S’il prend un rendez-vous ou transmet une demande, limitez-vous à l’utile : un nom, un moyen de contact, l’objet.
Fixez une durée de conservation des conversations adaptée à l’usage : le temps de traiter la demande, puis de relire et d’améliorer l’assistant. Au-delà, supprimez ou anonymisez. Et vérifiez que le fournisseur du modèle ne garde pas les échanges plus longtemps que vous ne l’annoncez.
Qui est sous-traitant, et où vont les données ?
Le fournisseur du modèle, l’hébergeur et l’outil de discussion traitent les données pour votre compte : ce sont des sous-traitants au sens du RGPD. La CNIL rappelle qu’un contrat doit vous lier à chacun, avec les mentions de l’article 28, l’objet, la durée et la finalité du traitement, et que le recours à leurs propres sous-traitants doit être autorisé par écrit.
Beaucoup de fournisseurs sont américains. Depuis la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023, un transfert vers une entreprise certifiée au titre du cadre de protection des données UE-États-Unis ne demande pas d’outil de transfert supplémentaire. La CNIL demande de vérifier sur la liste officielle que l’entité et les catégories de données sont couvertes ; sinon, il faut d’autres garanties, comme des clauses contractuelles types.
Regardez enfin l’usage des conversations pour l’entraînement : Anthropic et OpenAI indiquent que les données envoyées par leurs API n’y servent pas par défaut.
Que l’assistant n’a-t-il pas le droit de faire ?
Écrivez ses limites avant d’écrire ses consignes. Elles protègent les visiteurs comme l’entreprise :
- s’engager à votre place : délai, remise, condition contractuelle, remboursement ;
- donner un avis médical, juridique ou financier personnalisé ;
- demander des données inutiles ou des pièces d’identité ;
- se faire passer pour une personne, même avec un simple prénom et une photo ;
- répondre hors de ses sources : sans réponse dans vos documents, il le dit et transmet.
Comment tenir un journal et relire les échanges ?
Gardez une trace des conversations, pendant la durée annoncée : date, question, réponse, sources utilisées. Ce journal sert à corriger les erreurs, à répondre à un visiteur qui conteste ce qu’on lui a dit, et à montrer comment l’assistant est encadré si on vous le demande.
Désignez une personne qui relit un échantillon chaque semaine au début, puis chaque mois. Pour une boutique, les pièges fréquents sont détaillés dans service client par IA : les erreurs à éviter ; pour un cabinet de santé, voyez un assistant pour l’accueil et les rendez-vous. Notre pôle intégration IA prépare ce cadre avec vous, de la politique de confidentialité aux tests avant ouverture.
- L’assistant se présente comme une IA dès le premier message, ce qu’impose l’AI Act à partir du 2 août 2026.
- La politique de confidentialité dit quelles données sont collectées, pourquoi et pour combien de temps.
- Chaque sous-traitant est lié par un contrat ; chaque transfert hors de l’Union repose sur une base valable.
- Les limites de l’assistant sont écrites, puis testées avant l’ouverture.
- Un journal des conversations est tenu et relu régulièrement.
Questions fréquentes
Le bandeau de cookies suffit-il à informer sur l’assistant ?
Non. Le bandeau traite des traceurs. L’information sur l’assistant se donne dans sa fenêtre, au moment où l’on s’en sert, et dans la politique de confidentialité.
Peut-on utiliser les conversations pour améliorer l’assistant ?
Oui, si vous l’annoncez aux visiteurs et que vous limitez l’accès et la durée de conservation. Retirez les données personnelles des exemples que vous gardez pour vos tests.
Qui répond d’une mauvaise information donnée par l’assistant ?
Aux yeux du visiteur, c’est l’entreprise qui lui a répondu. D’où trois règles : l’assistant s’appuie sur vos documents, renvoie vers une personne en cas de doute et ne prend aucun engagement à votre place.
Claude ou ChatGPT pour un assistant de site ?
Les deux conviennent techniquement ; le choix dépend de vos tests, de l’offre professionnelle et du contrat. Nous détaillons les critères dans Claude ou ChatGPT pour son entreprise. Notre équipe travaille depuis Rhône-Alpes (nos pages par ville).
Nous rédigeons avec vous l’information des visiteurs, les limites de l’assistant et les contrats à vérifier, puis nous le testons avant la mise en ligne. Prenons rendez-vous.
- Commission européenne, Obligations de transparence de l’article 50 de l’AI Act (FAQ)
- AI Act Service Desk (Commission européenne), Calendrier de mise en œuvre de l’AI Act
- CNIL, Les fiches pratiques IA
- CNIL, Responsable de traitement et sous-traitant : bonnes pratiques
- CNIL, Adéquation des États-Unis : les premières questions-réponses
- Anthropic, Mes données servent-elles à entraîner les modèles ? (offres commerciales)
- OpenAI, Vos données sur la plateforme API
Pages consultées le 13 octobre 2026. Les marques citées appartiennent à leurs propriétaires.
