Installer un chatbot sur un site prend aujourd’hui cinq minutes : vous choisissez un widget, vous copiez le script, vous le collez avant la balise de fermeture. Ça fonctionne, ça répond, ça fait moderne.
La question que presque personne ne se pose pendant ces cinq minutes : où part ce que les visiteurs vont y écrire.
Une précision d’entrée : je suis webmaster, pas juriste. Ce qui suit est le côté technique du sujet, avec les recommandations officielles. L’analyse juridique d’un contrat précis, c’est le travail d’un avocat.
Ce que les gens écrivent vraiment dans un chat
Les propriétaires de site imaginent en général un échange du type « quels sont vos horaires ». Dans la vraie vie, les gens écrivent dans un chat ce qu’ils écriraient dans une messagerie.
Des exemples réels, vus dans les journaux de conversation de mes clients : nom complet et numéro de téléphone, adresse de livraison, numéro de commande, description d’un problème de santé avant une prise de rendez-vous, photo d’un document. Une personne a envoyé le scan d’une facture, parce que « c’est plus rapide ».
Ce sont des données personnelles. Parfois sensibles. Et elles ne sont plus seulement chez vous.
Où elles atterrissent
Un chatbot gratuit ou bon marché ne tourne pas sur votre serveur. Le script sur votre site ne fait que dessiner la fenêtre ; la conversation, elle, part sur les serveurs du prestataire. Où sont ces serveurs, qui y a accès et ce qu’il advient de l’historique : tout cela est écrit dans les conditions du service, que personne ne lit au moment de l’installation.
Si le chatbot s’appuie sur un grand modèle de langage, une deuxième couche s’ajoute : le texte du visiteur part aussi chez le fournisseur du modèle. La chaîne ne compte alors plus deux participants, mais trois.
La CNIL a publié en avril 2026 des recommandations actualisées sur l’IA et les données personnelles. L’idée principale est simple : le traitement automatisé de données personnelles par une IA ne sort pas des règles existantes. Il n’y a pas de régime particulier, plus souple, pour l’IA.
Ce que cela implique en pratique
Trois choses concernent directement le propriétaire du site.
Contrat de sous-traitance
Un service tiers traite les données de vos visiteurs : la relation s’encadre par un contrat. Chez les prestataires sérieux, il est dans l’espace client ; chez les douteux, il n’existe pas.
Mention dans la politique
Le visiteur a le droit de savoir qu’un tiers traite ses messages, lequel et pourquoi. Ce n’est pas une formalité, c’est votre réponse à « qui d’autre lit ma conversation ».
Lien avec la bannière
Si le widget dépose des cookies ou se charge avant le consentement, il rejoint la même catégorie que l’analytics et les pixels publicitaires. Son chargement doit dépendre de la bannière.
Le cas voisin : les versions gratuites d’IA
Il existe une situation voisine, dans laquelle les petites entreprises tombent plus souvent encore que dans l’histoire du chatbot.
Quelqu’un copie le message d’un client dans un service d’IA public et gratuit pour faire rédiger la réponse. Ou y dépose un tableau avec la base clients, pour « compter vite ».
Dans les versions publiques gratuites, les données peuvent en général être conservées et servir à l’entraînement du modèle, sauf si les conditions disent explicitement le contraire. Autrement dit, les données du client sont sorties de votre contrôle, et vous en restez responsable.
La pratique de travail ressemble à ceci :
- pour les tâches professionnelles, utiliser les versions entreprise, dont le contrat précise que les données ne servent pas à l’entraînement ;
- avant d’envoyer, retirer du texte ce qui permet d’identifier une personne : nom, téléphone, adresse, numéro de contrat ;
- ne pas déposer de bases entières, d’exports ni de scans de documents ;
- pour les cas à risque élevé - ressources humaines, données juridiques ou de santé, travail intensif sur la base clients - passer par une analyse d’impact relative à la protection des données.
Le dernier point sonne lourd, mais l’idée est terre à terre : avant d’automatiser le traitement de données sensibles, on s’assoit et on réfléchit à ce qui se passe si elles fuitent.
Ce que vous vérifiez chez vous
- Y a-t-il sur le site un chat, un widget de support ou une fenêtre avec des réponses automatiques.
- Savez-vous de quel service il s’agit et qui en est le prestataire.
- Avez-vous avec lui un contrat de sous-traitance.
- Est-il mentionné dans la politique de confidentialité.
- Se charge-t-il avant le consentement donné dans la bannière cookies.
- Qui, chez vous, a accès à l’historique des conversations, et cet accès est-il nécessaire.
- Combien de temps l’historique est-il conservé et peut-on programmer sa suppression.
Ce sont les points deux à cinq qui révèlent le problème : le widget a été installé il y a longtemps, plus personne ne sait par qui, il n’y a pas de contrat, et la politique de confidentialité n’en parle pas non plus.
Quand appeler un spécialiste
Vérifier s’il y a un chat sur le site et relire votre politique de confidentialité, vous savez le faire. Ensuite commence la partie technique : savoir quels scripts se chargent réellement sur la page, où ils envoient leurs requêtes, quels cookies ils déposent, s’ils sont reliés à la bannière de consentement et si quelque chose casse quand on établit ce lien.
Sur les sites où j’ai fait cet examen, je trouvais le plus souvent deux ou trois scripts tiers oubliés, dont le propriétaire ignorait totalement l’existence. Le chat n’était que l’un d’eux.
Si vous avez le temps et l’envie, une partie de la vérification se fait très bien seul. Si vous préférez vous occuper de votre activité plutôt que de chercher quel widget un prestataire a inséré il y a trois ans, je peux prendre la partie technique : je regarde ce qui tourne sur le site, où partent les données et ce qu’il faut corriger.
Sources et date des données : recommandations de la CNIL sur l’IA et les données personnelles, avril 2026 ; Règlement UE 2024/1689 (AI Act), article 50, applicable depuis le 02.08.2026. Données vérifiées le 17.08.2026.
Derniers articles
