Les chatbots sont partout : service client, support technique, assistants bancaires, conseillers santé. Sous l'AI Act, ils sont principalement dans la catégorie risque limité, avec une obligation principale : dire clairement qu'ils sont des IA. Mais certains chatbots font plus que converser — et ceux-là ont des obligations bien plus lourdes.
Les chatbots standard : risque limité, obligation de transparence
L'AI Act classe les chatbots standard dans la catégorie risque limité. L'obligation principale (article 50) est d'informer clairement les utilisateurs qu'ils interagissent avec une IA, avant ou au début de l'interaction. Cette obligation est applicable depuis le 2 août 2026.
La grande majorité des chatbots d'entreprise — service client, FAQ automatisées, assistants de navigation — sont classés à risque limité sous l'AI Act. L'obligation principale est définie à l'article 50 :
Les utilisateurs doivent être informés qu'ils interagissent avec un système d'IA, de façon claire et dès le début de l'interaction.
Cela peut prendre différentes formes : - Message d'accueil : «Bonjour, je suis [Nom], l'assistant IA de [Entreprise]» - Badge ou indicateur visuel permanent («IA» ou «Assistant virtuel») - Mention dans les conditions d'utilisation, accessible avant l'interaction
L'exception : quand le contexte rend l'IA évidente
L'article 50 prévoit une exception importante : l'obligation d'information ne s'applique pas «lorsque l'utilisation d'un tel système est évidente au vu du contexte et des circonstances».
Cela couvre des cas comme : - Un chatbot sur un site web clairement identifié comme interface numérique - Un assistant vocal sur un appareil connu (Alexa, Siri, Google Assistant) — le contexte rend évident qu'on parle à une IA - Un NPC (personnage non joueur) dans un jeu vidéo — le contexte du jeu rend l'IA évidente
En revanche, un chatbot qui se présente avec un prénom humain et communique exclusivement par texte, sans aucun indicateur de sa nature IA, ne peut pas invoquer cette exception.
Attention aux chatbots utilisés par téléphone. Si votre chatbot vocal ne s'identifie pas comme IA en début d'appel, il risque de violer l'AI Act. La nature non-visuelle de l'interaction rend l'exception de 'contexte évident' moins applicable.
Chatbots à risque élevé : une autre catégorie
Certains chatbots ne sont pas simplement des assistants de service client. Quand un chatbot prend des décisions dans des domaines sensibles, il peut être classé à risque élevé.
Exemples de chatbots à risque élevé : - Un chatbot bancaire qui évalue l'éligibilité à un crédit et refuse automatiquement - Un chatbot de tri médical qui oriente vers des soins urgents ou non-urgents - Un chatbot RH qui collecte des informations sur les candidats et génère des évaluations - Un chatbot d'aide sociale qui évalue l'éligibilité aux prestations
Les obligations supplémentaires pour ces chatbots : - Documentation technique complète - Tests de robustesse et de performance - Supervision humaine des décisions importantes - Enregistrement dans la base de données européenne - Journaux d'événements (logs)
La règle pratique : si votre chatbot influence des décisions dans un domaine listé à l'Annexe III de l'AI Act, il est probablement à risque élevé.
→ Classification risque IA : tableau complet
Les chatbots et le RGPD : obligations cumulées
Un chatbot collecte et traite typiquement de nombreuses données personnelles : historique des conversations, identité de l'utilisateur, questions posées, contexte d'usage. Le RGPD s'applique pleinement.
Obligations RGPD pour les chatbots : 1. Base légale pour le traitement des données de conversation 2. Information claire aux utilisateurs (politique de confidentialité accessible) 3. Durée de conservation limitée et documentée 4. Droit d'accès aux données de conversation 5. Droit à l'effacement des conversations 6. Sécurité des données (chiffrement, accès restreint) 7. DPIA si le chatbot traite des données sensibles ou prend des décisions automatiques significatives
→ RGPD et IA : obligations cumulées
La check-list de conformité AI Act pour un chatbot
Voici les actions concrètes pour mettre votre chatbot en conformité.
- 1. Identifier clairement le chatbot comme IA (message d'accueil ou badge permanent)
- 2. Évaluer si le chatbot prend des décisions dans un domaine risque élevé (Annexe III)
- 3. Si risque élevé : lancer un processus de conformité complet (documentation, supervision humaine)
- 4. Vérifier la politique de confidentialité (RGPD) — est-elle accessible et complète ?
- 5. Définir une durée de conservation des conversations
- 6. Mettre en place un processus pour répondre aux demandes de droits (accès, effacement)
- 7. Former les équipes opérationnelles sur les obligations de supervision
- 8. Documenter la classification du chatbot et les raisons
FAQ : chatbots et AI Act
Conclusion
La plupart des chatbots d'entreprise ont besoin d'ajustements mineurs pour être conformes à l'AI Act : essentiellement s'assurer que l'utilisateur sait qu'il parle à une IA. Les chatbots qui prennent des décisions dans des domaines sensibles nécessitent une conformité plus profonde. Dans tous les cas, le RGPD s'applique en parallèle.
Questions fréquentes
Cela dépend de la façon dont vous l'avez configuré. Le fournisseur (Zendesk, Intercom) doit respecter ses propres obligations AI Act. Vous, en tant que déployeur, devez vous assurer que l'identification comme IA est claire pour vos utilisateurs et que les données de conversation sont traitées conformément au RGPD.
Potentiellement oui. Si le chatbot influence ou détermine la décision d'assurance (refus, tarification discriminatoire), il entre dans le domaine 'accès aux services essentiels' de l'Annexe III. Si c'est simplement un formulaire conversationnel sans décision automatique, il reste probablement en risque limité.
Pas nécessairement le refaire, mais l'adapter. L'obligation de transparence (identification comme IA, article 50) est applicable depuis le 2 août 2026. Si votre chatbot ne s'identifiait pas clairement comme IA, il faut ajouter cette mention. C'est généralement une modification mineure.
L'AI Act impose aux chatbots (article 50) d'informer clairement les utilisateurs qu'ils interagissent avec une IA, sauf si le contexte le rend évident. Les chatbots prenant des décisions dans des domaines sensibles (santé, crédit, emploi) peuvent être classés à risque élevé avec des obligations beaucoup plus lourdes.