Réponse courte
Oui, à condition de le concevoir pour : informer le visiteur qu'il parle à une IA, ne retenir des données personnelles qu'avec une base légale et pour une durée fixée, et encadrer le prestataire par un contrat de sous-traitance. L'hébergement des conversations en Europe et le droit d'effacement complètent le dispositif.
Points clés
- Un assistant IA traite des données personnelles dès qu'un visiteur donne son nom ou décrit sa situation : le RGPD s'applique
- Choisissez une base légale par finalité : répondre, transmettre, personnaliser, analyser
- La PME est responsable du traitement ; le fournisseur est sous-traitant et doit signer un contrat conforme à l'article 28
- Vérifiez les transferts hors de l'Union, l'usage des conversations pour l'entraînement et les durées de conservation
- Préparez avant le lancement les réponses aux demandes d'accès et d'effacement, à traiter en un mois
Sommaire (16)
- Que demande le RGPD à une PME qui utilise un assistant IA ?
- Quelles données personnelles passent par un assistant IA ?
- Sur quelle base légale s'appuyer pour chaque usage ?
- Faut-il prévenir le visiteur qu'il parle à une IA ?
- Qui est responsable des données : la PME ou le fournisseur ?
- Les conversations servent-elles à entraîner un modèle ?
- Peut-on garder une mémoire des contacts avec leur accord ?
- Un hébergement en Europe suffit-il pour respecter le RGPD ?
- Combien de temps faut-il conserver les conversations ?
- Comment répondre aux demandes d'accès et d'effacement ?
- Que faire en cas de violation de données ?
- Que noter dans le registre des traitements ?
- Faut-il une analyse d'impact avant le lancement ?
- Quels points vérifier avant de mettre l'assistant en ligne ?
- Former l'équipe qui lit les conversations
- Comment passer de cette liste à une configuration concrète ?
Que demande le RGPD à une PME qui utilise un assistant IA ?
Le RGPD demande à la PME de justifier l'usage des données personnelles, de limiter leur collecte et leur conservation, d'informer les personnes et de respecter leurs droits. Un assistant IA traite ces données dès qu'un visiteur donne son nom, son e-mail ou raconte une situation identifiable. Les règles sont celles de tout traitement :
- Une base légale : identifier la base adaptée à chaque finalité, plutôt que considérer la simple réception d'un message comme une autorisation générale
- La minimisation : demander seulement ce qui sert à traiter la demande
- Une durée de conservation : prévoir l'expiration des conversations et des informations retenues sur une personne
- Les droits des personnes : organiser l'accès, la rectification et l'effacement, ainsi que les demandes de récupération des données
Ces points renvoient notamment aux articles 5, 6, 13, 15, 16 et 17 du RGPD, règlement (UE) 2016/679. Pour préparer le projet, décrivez séparément l'accueil d'une question, son traitement par l'équipe et une éventuelle personnalisation des échanges futurs. Ces usages peuvent nécessiter des choix différents.
Cet article donne une méthode de travail pour une PME. Il ne remplace pas l'avis d'un juriste ou de votre délégué à la protection des données lorsque votre situation présente des particularités (données de santé, mineurs, volume important, secteur réglementé).
Quelles données personnelles passent par un assistant IA ?
Avant de parler d'obligations, faites l'inventaire de ce qui circule réellement. Un assistant sur un site public voit passer plusieurs catégories de données, souvent plus nombreuses qu'on ne le pense :
| Catégorie | Exemples | D'où elles viennent |
|---|---|---|
| Identification | Nom, e-mail, téléphone | Le visiteur les donne pour être recontacté |
| Contenu des messages | Description d'un problème, d'une commande, d'un logement | Le visiteur les écrit librement |
| Données techniques | Adresse IP, navigateur, langue, page d'origine | Le navigateur les transmet automatiquement |
| Mémoire | Langue préférée, intérêt pour un service, préférences | L'assistant les retient, si cette fonction est activée |
| Documents de l'organisation | Guides, conditions, FAQ | Votre équipe les charge dans la base de connaissances |
La deuxième ligne est la plus délicate. Un visiteur peut écrire spontanément une information sensible : un problème de santé pour justifier une annulation, une situation familiale, un litige. Vous ne contrôlez pas ce qu'il tape, mais vous décidez de ce que vous en faites, de qui y a accès et de la durée de conservation.
La dernière ligne compte aussi. Un document chargé dans la base de connaissances peut contenir des noms de collaborateurs, des numéros de téléphone directs ou des extraits de dossiers. Ce qui est dans la base peut finir dans une réponse : triez avant de charger.
Sur quelle base légale s'appuyer pour chaque usage ?
L'article 6 du RGPD liste six bases légales. Trois concernent la plupart des assistants IA d'une PME. Le choix se fait par finalité, pas une fois pour tout l'outil :
| Finalité | Base légale souvent retenue | Point d'attention |
|---|---|---|
| Répondre à la question posée par le visiteur | Mesures précontractuelles ou exécution d'un contrat, ou intérêt légitime | Ne pas collecter plus que nécessaire pour répondre |
| Transmettre la demande à l'équipe et recontacter | Mesures précontractuelles ou intérêt légitime | Dire au visiteur que l'équipe lira la conversation |
| Retenir des informations pour personnaliser les échanges futurs | Consentement, ou intérêt légitime dans une relation client existante | Expliquer ce qui est retenu et permettre de refuser |
| Analyser les conversations pour améliorer les réponses | Intérêt légitime | Limiter les accès et privilégier des données agrégées |
| Envoyer de la prospection après la conversation | Consentement, selon les règles applicables aux communications électroniques | Ne jamais déduire un accord d'une simple question |
L'intérêt légitime demande une mise en balance documentée entre votre intérêt et les attentes raisonnables du visiteur. Le consentement, lui, doit être libre, spécifique, éclairé et retirable aussi facilement qu'il a été donné. Un bouton « J'accepte » qui conditionne l'accès à toute réponse ne remplit pas ces conditions.
Faut-il prévenir le visiteur qu'il parle à une IA ?
Oui, depuis le 2 août 2026, l'article 50 de l'AI Act impose d'informer la personne qu'elle interagit avec une IA, au plus tard lors de la première interaction, sauf si cela est évident. Cette obligation figure dans le règlement (UE) 2024/1689.
Dans la pratique, donnez à l'assistant un nom sans ambiguïté et affichez une mention lisible dans la fenêtre de conversation. Par exemple : « Vous échangez avec un assistant IA. L'équipe peut reprendre votre demande. » Vérifiez sa visibilité sur mobile et dans les langues proposées.
Cette mention explique la nature de l'interlocuteur. L'information sur les données doit aussi rester accessible : ce qui est recueilli, pourquoi, qui intervient et comment exercer ses droits. Évitez de cacher ces explications derrière une succession de fenêtres difficiles à retrouver.
Ce que doit contenir l'information des visiteurs
L'article 13 du RGPD fixe le contenu de l'information à donner lorsque les données sont collectées auprès de la personne. Pour un assistant, cela revient en général à compléter votre politique de confidentialité avec une rubrique dédiée qui précise :
- L'identité du responsable et, s'il y en a un, les coordonnées du délégué à la protection des données
- Les finalités : répondre, transmettre à l'équipe, personnaliser, améliorer le service
- La base légale de chacune de ces finalités
- Les destinataires : l'équipe, le fournisseur de la plateforme, le fournisseur du modèle de langage
- Les transferts éventuels hors de l'Union et leur encadrement
- Les durées de conservation, ou les critères qui les déterminent
- Les droits des personnes et la possibilité d'introduire une réclamation auprès de l'autorité de contrôle
Placez un lien vers cette rubrique dans la fenêtre de conversation, à côté de la mention indiquant que l'interlocuteur est une IA. Un visiteur doit pouvoir la lire avant d'écrire son premier message.
Qui est responsable des données : la PME ou le fournisseur ?
L'organisation qui décide pourquoi et comment utiliser l'assistant est responsable du traitement ; le fournisseur de la plateforme agit comme sous-traitant pour les opérations confiées. L'article 28 du RGPD encadre le contrat de sous-traitance. L'hébergement et le fournisseur du modèle de langage doivent être examinés dans cette chaîne.
Demandez une description compréhensible du parcours d'un message : réception, stockage, génération de la réponse, consultation par l'équipe et suppression. Le contrat doit permettre de comprendre les responsabilités concrètes, au-delà d'une simple mention commerciale de conformité.
Dans un exemple fictif de cabinet comptable à Liège, la personne qui répond aux questions courantes peut piloter les contenus, tandis qu'un responsable désigné traite les demandes relatives aux données. Les usages d'un assistant pour cabinet comptable doivent distinguer les consignes générales et l'examen confidentiel d'un dossier.
Ce que le contrat de sous-traitance doit prévoir
L'article 28 énumère ce que le contrat doit contenir. Pour un assistant IA, vérifiez en particulier que le fournisseur s'engage à :
- Traiter les données uniquement sur vos instructions, et non pour ses propres finalités, comme entraîner un modèle
- Garantir la confidentialité des personnes de son équipe qui ont accès aux données
- Mettre en œuvre des mesures de sécurité adaptées, décrites de manière vérifiable
- Ne recourir à d'autres sous-traitants qu'avec votre autorisation, et vous informer de tout changement
- Vous aider à répondre aux demandes des personnes et à gérer une violation de données
- Supprimer ou restituer les données à la fin du contrat
- Vous permettre de vérifier le respect de ces engagements
La liste des sous-traitants ultérieurs doit être disponible. Pour un assistant IA, elle comprend au minimum l'hébergeur et le ou les fournisseurs de modèles de langage.
Les conversations servent-elles à entraîner un modèle ?
C'est une question à poser explicitement, à deux niveaux. D'abord au fournisseur de la plateforme : utilise-t-il vos conversations pour entraîner ou améliorer ses propres modèles ? Ensuite au fournisseur du modèle de langage : les messages qu'il reçoit pour générer une réponse sont-ils conservés, et pour quel usage ?
Les grands fournisseurs de modèles proposent en général des conditions spécifiques pour les usages professionnels par accès programmatique, distinctes de celles de leurs applications grand public. Demandez lesquelles s'appliquent et faites-les figurer dans la documentation de votre traitement. Une réponse orale ou une mention marketing ne suffit pas.
Si vos conversations devaient servir à entraîner un modèle, il faudrait une base légale propre à cette finalité et une information claire des visiteurs. La plupart des PME n'ont aucun intérêt à accepter ce scénario.
Peut-on garder une mémoire des contacts avec leur accord ?
Une mémoire destinée à personnaliser les échanges futurs doit être clairement expliquée et, dans le fonctionnement décrit ici, activée avec l'accord de la personne. La mémoire des contacts mérite un traitement distinct de l'historique nécessaire au suivi d'une demande.
Prévoyez la source, la date et l'expiration de chaque information retenue, ainsi qu'une manière de la corriger ou de l'effacer. Demandez un accord compréhensible pour ce qui sera mémorisé. Refuser cette personnalisation ne doit pas être présenté comme un obstacle artificiel à une réponse générale.
Prenons un exemple fictif de boutique à Namur : retenir la langue préférée d'un client peut faciliter son prochain échange. Cela ne justifie pas de conserver tous les détails personnels racontés pendant une réclamation. Faites valider les catégories utiles avant d'activer la mémoire, puis vérifiez qu'elles correspondent encore au service rendu.
Un hébergement en Europe suffit-il pour respecter le RGPD ?
Un hébergement en Europe ne suffit pas à lui seul : il faut également examiner les traitements, les accès et les prestataires qui reçoivent des données. Distinguez l'endroit où les conversations sont stockées de celui où les messages sont traités pour produire une réponse.
Demandez quels fournisseurs de modèles peuvent intervenir et quelles conditions s'appliquent à chacun. Ne déduisez pas d'une adresse de stockage que tous les échanges restent dans le même pays, ni que toutes les obligations sont remplies. Faites préciser les transferts éventuels et leur encadrement avant de charger des documents contenant des informations personnelles.
Dans un exemple fictif de maison de coliving à Bruxelles, le guide d'arrivée peut être utile à l'assistant public. Les informations nominatives sur les résidents et les codes d'accès demandent un traitement séparé. Le tri documentaire est donc une décision de service autant qu'une précaution de confidentialité.
Comment les transferts hors de l'Union sont encadrés
Le chapitre V du RGPD (articles 44 à 50) encadre les transferts de données vers des pays hors de l'Espace économique européen. Trois mécanismes reviennent le plus souvent :
- Une décision d'adéquation de la Commission européenne, qui reconnaît un niveau de protection suffisant. Pour les États-Unis, la décision du 10 juillet 2023 couvre les entreprises certifiées dans le cadre du Data Privacy Framework UE-États-Unis
- Les clauses contractuelles types adoptées par la Commission, intégrées au contrat avec le prestataire
- Des règles d'entreprise contraignantes, pour les transferts au sein d'un groupe
Pour chaque prestataire hors de l'Union, demandez lequel de ces mécanismes s'applique et notez-le dans votre registre. Si un fournisseur de modèle traite les messages aux États-Unis, vérifiez sa certification sur le site officiel du Data Privacy Framework ou la présence de clauses contractuelles types.
Combien de temps faut-il conserver les conversations ?
La durée doit correspondre à l'utilité réelle des conversations et être réexaminée lorsque cette utilité change. Une valeur proposée par un logiciel reste un réglage à évaluer, pas une durée automatiquement adaptée à toute organisation.
Distinguez les échanges courants, les demandes encore ouvertes et les informations retenues pour personnaliser les contacts. Déterminez qui peut prolonger une conservation justifiée et qui vérifie les suppressions. Évitez de multiplier les copies dans des fichiers personnels : elles compliquent la correction et l'effacement.
Dans un exemple fictif de gestionnaire immobilier à Bruxelles, une question sur les horaires d'accueil et une contestation toujours en cours ne répondent pas au même besoin de suivi. Documentez ces différences sans garder tout l'historique au motif qu'il pourrait un jour servir. Le terme durée de conservation du lexique détaille les critères à retenir.
Comment répondre aux demandes d'accès et d'effacement ?
Un visiteur peut demander à voir les données qui le concernent, à les faire corriger ou à les faire supprimer. L'article 12 du RGPD prévoit une réponse dans un délai d'un mois à compter de la réception, prolongeable de deux mois en cas de complexité ou de nombre élevé de demandes, à condition d'en informer la personne dans le premier mois.
Pour qu'une PME tienne ce délai sans stress, préparez la procédure avant la mise en ligne :
- Désignez qui reçoit les demandes et par quel canal (une adresse e-mail dédiée suffit souvent)
- Vérifiez que l'outil permet de retrouver toutes les conversations et informations d'une personne à partir de son e-mail
- Testez l'export et la suppression sur un contact fictif, y compris dans la mémoire des contacts
- Prévoyez la vérification d'identité proportionnée, pour ne pas transmettre des données à la mauvaise personne
- Gardez une trace de la demande et de la réponse, sans recopier les données elles-mêmes
Un outil qui oblige à chercher manuellement dans plusieurs écrans transforme chaque demande en demi-journée de travail. C'est un critère de choix aussi important que la qualité des réponses.
Que faire en cas de violation de données ?
Une violation de données couvre tout incident de sécurité entraînant la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles. Un accès oublié pour un ancien collaborateur ou un lien de conversation partagé par erreur peuvent en faire partie.
L'article 33 du RGPD impose de notifier l'autorité de contrôle dans les 72 heures après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes. L'article 34 ajoute l'information des personnes concernées lorsque le risque est élevé. Le contrat de sous-traitance doit prévoir que le fournisseur vous prévient sans délai s'il détecte un incident de son côté.
Préparez une fiche réflexe d'une page : qui prévenir en interne, comment couper un accès, comment contacter le fournisseur, comment documenter l'incident. Elle servira peu, mais ce jour-là chaque heure compte.
Que noter dans le registre des traitements ?
L'article 30 du RGPD demande de tenir un registre des activités de traitement. Les entreprises de moins de 250 personnes en sont dispensées dans certains cas, mais la dispense ne joue pas lorsque le traitement n'est pas occasionnel, ce qui est le cas d'un assistant ouvert en permanence sur un site. En pratique, inscrivez-le comme un traitement à part entière, avec :
- Le nom et la finalité : « Assistant IA du site : réponses aux visiteurs et transmission des demandes à l'équipe »
- Les catégories de personnes : visiteurs, prospects, clients
- Les catégories de données : identification, contenu des messages, données techniques, mémoire le cas échéant
- Les destinataires : équipe interne, fournisseur de la plateforme, fournisseurs de modèles
- Les transferts hors de l'Union et leur mécanisme
- Les durées de conservation de chaque catégorie
- Les mesures de sécurité : accès nominatifs, double authentification, chiffrement, journalisation
Ce registre sert de point de départ quand un visiteur pose une question, quand l'autorité de contrôle demande des informations ou quand un nouveau collaborateur reprend le dossier.
Faut-il une analyse d'impact avant le lancement ?
L'analyse d'impact relative à la protection des données, prévue à l'article 35, devient obligatoire lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits des personnes. Un assistant qui répond à des questions pratiques sur des services, avec peu de données collectées, n'entre généralement pas dans cette catégorie.
L'analyse devient probable quand plusieurs critères se cumulent : données sensibles, personnes vulnérables, traitement à grande échelle, évaluation ou profilage des personnes, croisement de sources. Un assistant qui classerait automatiquement les prospects selon leur solvabilité, ou qui recevrait des descriptions de symptômes, mérite cette analyse. En cas de doute, documentez au minimum pourquoi vous estimez qu'elle n'est pas nécessaire : cette note vous servira si la question vous est posée plus tard.
Quels points vérifier avant de mettre l'assistant en ligne ?
Vérifiez que chaque usage a un responsable, une justification et une procédure praticable par l'équipe. Cette grille aide à transformer les intentions en décisions :
| Point à vérifier | Décision à documenter | Vérification pratique |
|---|---|---|
| Questions posées | Informations nécessaires au service | Retirer les champs sans utilité claire |
| Documents accessibles | Contenus autorisés pour le public | Écarter les dossiers nominatifs |
| Mémoire des contacts | Informations retenues avec accord | Tester le refus et la correction |
| Conservation | Durées et conditions de suppression | Vérifier le traitement d'une demande d'effacement |
| Accès de l'équipe | Personnes habilitées à consulter | Relire les accès lors d'un départ |
| Prestataires | Rôles et engagements contractuels | Obtenir les documents avant le lancement |
| Registre | Traitement inscrit au registre de l'article 30 | Ajouter l'assistant comme traitement distinct |
| Information | Mention IA et rubrique de confidentialité | Lire la fenêtre sur mobile, dans chaque langue |
Les données sensibles relèvent de l'article 9 ; un traitement susceptible d'engendrer un risque élevé peut nécessiter l'analyse d'impact prévue à l'article 35. En Belgique, l'autorité de contrôle est l'Autorité de protection des données. Pour l'équipe, commencez par limiter les informations demandées et organiser une reprise humaine adaptée lorsqu'un visiteur partage un contenu qui dépasse le service prévu.
Les situations qui demandent plus de prudence
Certaines activités appellent une analyse plus poussée avant d'ouvrir un assistant au public :
- Les données de santé : un cabinet médical, un kinésithérapeute ou une pharmacie reçoit des messages qui relèvent de l'article 9. Limitez l'assistant aux informations pratiques et orientez toute question médicale vers un professionnel
- Les mineurs : en Belgique, l'âge à partir duquel un mineur peut consentir seul au traitement de ses données pour un service en ligne est fixé à 13 ans. Un assistant destiné à des élèves ou à des jeunes doit en tenir compte
- Les situations financières ou juridiques : une fiduciaire, un avocat ou un gestionnaire de patrimoine reçoit des informations confidentielles. L'assistant ne doit pas inviter le visiteur à détailler son dossier dans la conversation publique
- Les volumes importants : un traitement à grande échelle ou un suivi systématique des personnes peut rendre l'analyse d'impact obligatoire
Dans ces cas, une consigne explicite à l'assistant (« ne demandez jamais de détails médicaux », « proposez un rendez-vous pour toute question sur un dossier ») complète utilement les réglages techniques. Les garde-fous d'un assistant servent autant la conformité que la qualité des réponses.
Former l'équipe qui lit les conversations
La conformité ne tient pas seulement à l'outil. Les personnes qui lisent les conversations et reprennent les demandes doivent connaître quelques règles simples : ne pas copier une conversation dans un e-mail personnel, ne pas exporter de liste de contacts sans raison, signaler toute demande d'accès ou d'effacement, couper les accès d'un collaborateur qui quitte l'entreprise.
Une courte réunion avant la mise en ligne, puis un rappel quand l'équipe change, suffit en général. Profitez-en pour montrer où se trouve la politique de confidentialité et comment répondre à un visiteur qui demande ce que l'on fait de ses données.
Comment passer de cette liste à une configuration concrète ?
Commencez par un audit d'une heure pour préciser les usages, les documents et les responsabilités avant le lancement. Faites ensuite relire les choix de conservation et d'information par la personne compétente dans votre organisation.
KernChat, développé par KERN-IT à Bruxelles et hébergé dans l'Union européenne, conserve les conversations 365 jours par défaut avant purge, avec une durée modifiable par l'organisation. La mémoire expire selon la politique de l'assistant et repose sur l'accord du contact lorsque l'organisation le requiert, sinon sur l'intérêt légitime dans une relation client existante ; ses informations peuvent être exportées ou supprimées. Les messages sont transmis à Google Gemini, Anthropic Claude ou OpenAI uniquement pour générer la réponse ; KERN-IT ne les utilise pas pour entraîner un modèle. La politique de confidentialité détaille ce fonctionnement.