Réponse · RGPD · Agent conversationnel

Quelles sont les obligations RGPD d’un chatbot ?

Six, et elles sont indépendantes de l’AI Act : une base légale pour le traitement des échanges, l’information des personnes, une durée de conservation définie, un encadrement du sous-traitant qui héberge le modèle, la maîtrise des transferts hors UE, et — si l’agent oriente une décision — le régime de l’article 22.

Ce que le RGPD regarde, et que l’AI Act ne regarde pas

L’article 50 de l’AI Act porte sur la transparence du système : la personne sait-elle qu’elle parle à une machine. Le RGPD porte sur les données qui circulent dans la conversation. Les deux se cumulent, et satisfaire l’un ne dit rien de l’autre.
Un chatbot conforme à l’article 50 et dont les transcriptions partent sans base légale chez un fournisseur américain est en défaut sur le RGPD, pas sur l’AI Act.

Les six obligations, nommées

Base légale (art. 6). Le plus souvent l’intérêt légitime pour un agent de support, l’exécution du contrat pour un agent de suivi de commande. Elle se choisit par finalité, pas par outil.
Information (art. 12 à 14). Finalité, base légale, destinataires, durée, droits. Un lien vers la politique de confidentialité au moment de l’ouverture de la conversation suffit, à condition qu’elle mentionne réellement l’agent.
Durée de conservation (art. 5(1)(e)). Une transcription conservée « pour amélioration du service » sans durée est le manquement le plus fréquent sur ce type de système.
Sous-traitance (art. 28). L’éditeur du chatbot et le fournisseur du modèle sont des sous-traitants. Il faut un contrat, la liste des sous-traitants ultérieurs, et le droit d’auditer.
Transferts hors UE (chap. V). Si le modèle d’inférence tourne hors UE, il faut un mécanisme de transfert et une analyse d’impact du transfert.
Décision automatisée (art. 22), uniquement si l’agent oriente une décision produisant un effet juridique ou significatif.

Le point qui coûte le plus cher

Les personnes écrivent dans un chat ce qu’elles n’écriraient pas dans un formulaire : numéro de dossier, état de santé, situation familiale. Un agent de support collecte donc souvent plus de données que son registre ne le déclare, et parfois des données sensibles au sens de l’article 9.
La parade n’est pas une mention : c’est un filtre en entrée et une revue périodique d’un échantillon de transcriptions. Sans cela, le périmètre déclaré du traitement et son périmètre réel divergent dès le premier mois.

Le guide complet : Chatbot IA — article 50 et article 22.

Lire le guide

Voir aussi : Toutes les réponses · Un chatbot relève-t-il de l’article 22 ? · Doit-il dire qu’il est une IA ? · Agent conversationnel IA