En bref : Depuis le 2 août 2026, tout chatbot IA sur un site professionnel doit se présenter clairement comme non humain (article 50 de l'AI Act). Intégrer un modèle d'IA générative dans votre chatbot via API vous fait basculer, en général, dans le statut de fournisseur du système d'IA construit, avec des obligations de documentation et d'information vis-à-vis de vos utilisateurs. Les points à valider avant lancement tiennent en quatre volets : transparence, données personnelles, contrôle humain et documentation. Pour la plupart des usages courants (support client, FAQ dynamique, orientation), la mise en conformité est simple et se prépare en amont du projet.
Un chatbot sur votre site n'est plus un gadget en 2026. C'est devenu un canal de contact à part entière, souvent le premier point de conversation avec un prospect. Beaucoup de dirigeants de TPE et PME envisagent d'en installer un et se posent une question légitime : que dit exactement la loi ?
Cet article fait le tour des obligations réellement applicables à un chatbot IA sur un site professionnel en 2026, dans un ordre pragmatique : ce qui est en vigueur maintenant, ce qui change quand vous utilisez l'API d'un modèle comme Claude ou GPT et les points à valider avant de lancer.
Pour la vue d'ensemble du cadre réglementaire européen, consultez notre guide AI Act pour TPE et PME.
Pourquoi les chatbots IA font l'objet d'un régime particulier
Un chatbot IA se distingue des autres usages professionnels de l'intelligence artificielle sur trois points qui expliquent son encadrement spécifique.
Il interagit avec des personnes. Contrairement à un outil d'automatisation interne, un chatbot dialogue avec vos clients, prospects et visiteurs. Ces personnes ont un droit à savoir avec quoi elles parlent, sans avoir besoin de fouiller les mentions légales.
Il produit du contenu qui engage votre entreprise. Une réponse fausse, maladroite ou trompeuse d'un chatbot est perçue comme une communication officielle de votre marque, avec les conséquences réputationnelles et parfois juridiques associées.
Il traite fréquemment des données personnelles. Nom, coordonnées, contenu de la question et historique de navigation. Le RGPD s'applique dès la première interaction, avant même toute obligation propre à l'AI Act.
Ces trois caractéristiques expliquent pourquoi les chatbots IA relèvent du niveau « risque limité » de l'AI Act, qui déclenche une obligation spécifique : la transparence. Ils ne sont pas à haut risque (aucune décision automatisée à impact significatif), mais ils sont trop visibles et trop influents pour être totalement libres.
Article 50 : les obligations qui sont entrées en vigueur le 2 août 2026
L'article 50 du règlement européen sur l'IA impose depuis le 2 août 2026 deux obligations concrètes qui concernent la plupart des chatbots professionnels.
Information dès le début de l'interaction. Toute personne qui commence à discuter avec votre chatbot doit être informée qu'elle communique avec une intelligence artificielle et non avec un humain. L'information doit être claire, distinguable et donnée dès le début de l'échange. En pratique, un message d'ouverture explicite du type « Bonjour, je suis l'assistant IA de [Entreprise], comment puis-je vous aider ? » remplit cette obligation. Un avatar humain, un prénom trompeur ou une simple mention dissimulée dans les mentions légales ne suffisent pas.
Marquage des contenus générés. Les contenus produits par le chatbot (texte, mais aussi image ou audio si le cas s'y prête) doivent pouvoir être identifiés comme générés par IA. Pour un chatbot de support classique, cela découle naturellement du premier point : la conversation entière est explicitement une conversation avec une IA. Pour un chatbot qui produirait des contenus destinés à circuler hors de la conversation (un email généré, un document synthétisé), le contenu diffusé doit inclure une mention lisible et, à partir du 2 décembre 2026, un marquage technique lisible par machine pour les fournisseurs de systèmes déjà mis sur le marché.
Deux exceptions à connaître. L'obligation d'information est levée quand l'usage du chatbot est « manifeste » pour une personne raisonnablement attentive (exemple : un jeu explicitement présenté comme un dialogue avec une IA). Elle est également levée pour les usages autorisés par la loi en matière de sécurité et de justice pénale, qui ne concernent pas les TPE et PME ordinaires.
Ce qui change quand vous intégrez un chatbot via API
Beaucoup d'agences et de développeurs construisent aujourd'hui des chatbots sur mesure en appelant l'API d'un modèle de langage (Claude d'Anthropic, GPT d'OpenAI, Gemini de Google, Le Chat de Mistral). Cette approche donne des chatbots plus intelligents et mieux adaptés au métier, mais elle a une conséquence juridique importante que peu de guides mentionnent clairement.
Rôle et obligations quand vous construisez un chatbot IA sur l'API d'un modèle GPAI comme Claude ou GPT.
Quand vous intégrez un modèle d'IA via API dans un chatbot livré à un client, vous êtes fournisseur du système d'IA construit au sens de l'AI Act, même si le modèle sous-jacent est celui d'un tiers. Votre client, en exploitant ce chatbot dans son activité, est déployeur.
Cela implique quatre engagements de votre côté :
- assurer que le chatbot se conforme à l'article 50 (présentation claire comme IA) ;
- documenter la finalité, les données utilisées, les limites connues du système ;
- fournir au client déployeur les informations dont il a besoin pour tenir ses propres obligations (typiquement une notice d'usage) ;
- prévoir un mécanisme d'escalade humaine et de signalement en cas d'incident.
Si vous êtes une TPE ou PME qui fait développer son chatbot par une agence, exigez cette documentation lors du projet. C'est un critère de sérieux au même titre que la sécurité ou la performance. Chez Pivox, nous intégrons ces éléments par défaut à chaque projet de développement d'application métier incluant un composant IA et nous en détaillons la logique dans notre engagement pour une IA responsable.
RGPD et chatbot : les points de vigilance
L'AI Act ne remplace pas le RGPD, il s'y ajoute. Un chatbot IA traite quasi systématiquement des données personnelles (nom, coordonnées, contenu de l'échange), ce qui déclenche les obligations classiques du règlement de 2018.
Information des utilisateurs. Le message d'accueil du chatbot doit rappeler brièvement que les échanges sont enregistrés, à quelle fin, pendant combien de temps et à quels destinataires. Un lien vers votre politique de confidentialité complète permet d'aller plus loin.
Base légale du traitement. Pour un chatbot de support ou de contact commercial, l'intérêt légitime de l'entreprise est en général la base retenue. Elle demande de documenter le triple test (nécessité, équilibre, mesures de mitigation). Le consentement peut être requis pour certaines fonctionnalités avancées.
Localisation des données. Les échanges avec un modèle d'IA passent souvent par des serveurs situés hors de l'Union européenne, ce qui déclenche les règles de transfert international. Privilégier un fournisseur qui offre des garanties européennes (Mistral, Anthropic avec ses régions EU, offres souveraines) simplifie ce point.
Sensibilité des sujets abordés. Si votre chatbot est susceptible de recueillir des données de santé, des orientations politiques ou d'autres catégories sensibles, un encadrement renforcé s'impose, voire une analyse d'impact (AIPD). La CNIL a publié plusieurs recommandations qui précisent ces obligations pour les systèmes IA.
Droits des personnes. Toute personne qui a échangé avec le chatbot dispose du droit d'accéder à son historique, de demander son effacement et de s'opposer au traitement. Un canal simple (adresse email dédiée à la protection des données) doit être disponible.
Pour aller plus loin sur l'usage général des assistants IA, y compris hors chatbot public, consultez notre article sur l'usage de ChatGPT, Claude ou Gemini en entreprise en 2026.
Checklist avant de mettre un chatbot IA en production
Voici les quatre points concrets à valider avant de mettre un chatbot IA en ligne, quelle que soit sa complexité.
Volet 1 - Transparence. Le message d'accueil identifie clairement le chatbot comme une IA. Le nom et l'avatar ne prêtent pas à confusion sur sa nature. Une mention discrète rappelle qu'un humain peut être contacté (email, téléphone, formulaire).
Volet 2 - Données personnelles. Une phrase courte informe sur l'enregistrement des échanges, avec un lien vers la politique de confidentialité. La base légale du traitement est identifiée et documentée. La localisation des données traitées est connue. Une adresse pour les demandes RGPD est disponible.
Volet 3 - Contrôle humain. Un mécanisme permet à l'utilisateur de basculer vers un humain (formulaire, prise de rendez-vous, contact direct) à tout moment. Un journal des conversations est conservé pour permettre analyse et amélioration. Un dispositif de signalement d'incident est prévu (utilisateur choqué, réponse manifestement fausse, tentative d'abus).
Volet 4 - Documentation. Une notice interne d'une à deux pages décrit la finalité du chatbot, les données qu'il traite, les limites connues, la procédure à suivre en cas de dysfonctionnement. Si le chatbot a été développé par un prestataire, cette notice est fournie par lui. Le référent interne (article 4 sur la littératie IA) est identifié.
Ces quatre volets sont indépendants de la taille du chatbot et de sa sophistication. Un chatbot simple sur trois FAQ nécessite les mêmes garanties de base qu'un chatbot avancé branché sur votre CRM, seule l'ampleur de la documentation varie.
Un projet à cadrer dès la conception
Beaucoup de mises en conformité de chatbots se font aujourd'hui après coup, dans l'urgence, ce qui coûte plus cher et donne des résultats bricolés. La bonne approche consiste à intégrer les quatre volets dès le cadrage du projet.
Chez Pivox, nous concevons des applications métier intégrant l'IA, chatbots compris, avec ce cadre juridique pris en compte dès la première phase. Cela évite les mauvaises surprises et donne un livrable propre, que votre entreprise pourra présenter sereinement à un contrôleur ou à un client sensible. Pour discuter d'un projet de chatbot IA ou d'un autre outil intégrant l'intelligence artificielle, échangeons 30 minutes sans engagement.
FAQ
Mon chatbot est basé sur des règles simples, sans IA. Est-ce que les obligations s'appliquent ?
Non pour la partie AI Act. Un chatbot à règles (arbre de décision, réponses préprogrammées) n'est pas un système d'IA au sens du règlement européen, donc l'article 50 ne s'applique pas. En revanche, les obligations RGPD (information, base légale, droits des personnes) restent pleinement applicables si le chatbot traite des données personnelles.
Un chatbot qui utilise ChatGPT ou Claude en marque blanche est-il concerné ?
Oui, dès qu'il y a un composant IA génératif dans la boucle. Peu importe que le modèle soit visible ou masqué : ce qui compte est la nature du système livré à l'utilisateur final. Un chatbot en marque blanche qui appelle Claude ou GPT en arrière-plan tombe sous l'article 50 et les obligations associées.
Qui est responsable en cas de réponse fausse ou problématique du chatbot ?
La responsabilité première est celle du déployeur (l'entreprise qui exploite le chatbot sur son site), au titre de sa communication. Le fournisseur du chatbot (l'agence qui l'a développé) peut voir sa responsabilité engagée si un défaut de conception ou de documentation est démontré. Le fournisseur du modèle de langage (Anthropic, OpenAI, etc.) n'est en général pas directement responsable des usages spécifiques, sauf défaut avéré du modèle lui-même.
Faut-il faire une analyse d'impact (AIPD) pour un chatbot IA ?
Cela dépend du contexte. Un chatbot de support standard sur des sujets non sensibles ne nécessite pas systématiquement d'AIPD. En revanche, si le chatbot traite des données sensibles (santé, opinions), s'il est utilisé par un public particulièrement exposé (mineurs, personnes vulnérables) ou s'il prend des décisions à impact significatif, une AIPD est fortement recommandée, voire obligatoire selon les lignes directrices de la CNIL.
Peut-on donner un nom humain à son chatbot IA ?
Rien ne l'interdit formellement, mais c'est déconseillé si le nom prête à confusion sur la nature du chatbot. « Sophia » ou « Marc » sans autre indication crée une ambiguïté que l'article 50 cherche justement à éviter. Une formulation plus claire du type « Notre assistant IA » ou « Bot d'accueil » lève le doute et respecte l'esprit du règlement.
Sources principales
- Règlement (UE) 2024/1689 sur l'intelligence artificielle, article 50, EUR-Lex.
- Calendrier de mise en œuvre de l'AI Act, Commission européenne.
- Fiches pratiques sur l'intelligence artificielle, CNIL.
- Comprendre et adopter l'IA dans une TPE ou PME, France Num.