Assistant IA sur votre site : à quoi ça sert ?
Répondre la nuit, filtrer les demandes, libérer le téléphone : ce qu'un assistant IA change vraiment pour un commerce ou un artisan.
IA hébergée en France : ce que ça change pour vos données
Où partent les messages de vos clients quand vous utilisez un chatbot ? RGPD, transferts hors UE, entraînement des modèles : ce qui compte.
Quand un visiteur écrit à l'assistant de votre site, il donne parfois bien plus qu'une question : son nom, son adresse, son numéro de téléphone, parfois un détail personnel. Ces messages sont des données personnelles, et vous en êtes responsable. La question « où sont-elles traitées ? » n'est donc pas un détail technique.
Où partent les messages d'un chatbot classique ?
La plupart des chatbots du marché ne font pas tourner l'IA eux-mêmes : ils envoient chaque message à un grand fournisseur de modèles, souvent américain, puis affichent sa réponse. Concrètement, une conversation peut donc passer par :
- l'outil de chatbot (son hébergeur, parfois hors d'Europe) ;
- le fournisseur du modèle d'IA, qui reçoit le texte de la conversation ;
- leurs sous-traitants (stockage, journaux, surveillance).
Ce n'est pas forcément illégal, mais chaque étape doit être encadrée, et vous devez pouvoir l'expliquer à vos clients.
Ce que dit le RGPD
Le Règlement général sur la protection des données s'applique dès que vous traitez des données de personnes en Europe. Pour un chatbot, trois points comptent particulièrement :
- Le contrat de sous-traitance (article 28) : le fournisseur de votre chatbot traite les données pour votre compte ; un contrat doit préciser ce qu'il a le droit d'en faire.
- Les transferts hors de l'Union européenne : ils sont possibles, mais seulement avec des garanties (décision d'adéquation, clauses contractuelles types). Plus il y a d'intermédiaires, plus c'est complexe à vérifier.
- L'information des personnes : votre politique de confidentialité doit dire qui reçoit les messages et pourquoi.
La CNIL publie des recommandations sur l'IA et les données personnelles : elles sont une bonne base pour vérifier un outil.
La question de l'entraînement des modèles
Un autre point est souvent oublié : certains services peuvent utiliser les conversations pour améliorer leurs modèles, selon l'offre et les réglages choisis. Les messages de vos clients pourraient alors servir à entraîner l'IA d'une autre entreprise. Lisez toujours les conditions : la mention doit être claire et, idéalement, l'usage doit être exclu par défaut.
Pourquoi l'hébergement en France simplifie tout
Quand le modèle d'IA tourne sur des serveurs situés en France, chez un hébergeur européen :
- il n'y a pas de transfert hors UE à justifier pour le traitement des conversations ;
- la chaîne de sous-traitants est courte et connue ;
- les données relèvent du droit européen, sans exposition directe à des lois étrangères comme le Cloud Act américain, qui peut s'appliquer aux entreprises soumises au droit des États-Unis même quand leurs serveurs sont en Europe ;
- votre politique de confidentialité est plus simple à écrire, et plus rassurante à lire.
Chez Flopia, le modèle d'IA tourne sur nos propres serveurs, chez OVHcloud en France. Les conversations ne sont pas envoyées à un fournisseur d'IA étranger, ni utilisées pour entraîner le modèle d'une autre entreprise. Détails dans notre politique de confidentialité.
Les questions à poser à n'importe quel fournisseur
Avant d'installer un chatbot, quel qu'il soit, demandez :
- Dans quel pays le modèle d'IA traite-t-il les messages ?
- Qui sont vos sous-traitants, et où sont-ils ?
- Les conversations servent-elles à entraîner un modèle ?
- Combien de temps sont-elles conservées, et puis-je les supprimer ?
- Proposez-vous un contrat de sous-traitance conforme à l'article 28 ?
Un fournisseur sérieux répond à ces cinq questions sans hésiter. Si les réponses sont floues, c'est déjà une réponse.
Sources : texte du RGPD sur le site de la CNIL ; dossier IA de la CNIL. Cet article est informatif et ne constitue pas un conseil juridique.
