Un chatbot IA est-il conforme au RGPD ?

Un chatbot n'est pas conforme ou non conforme en soi ; c'est la façon dont vous le déployez qui l'est. Il vous faut une base légale pour le traitement, une information claire des utilisateurs, des accords de traitement des données (DPA) avec chaque prestataire qui traite les données, un mécanisme valide pour les transferts hors de l'UE, une conservation limitée et un moyen de répondre aux demandes d'accès et de suppression.

Le fournisseur de LLM voit-il les messages de mes clients ?

Oui, tout ce que vous envoyez dans le prompt parvient au fournisseur qui exécute le modèle, y compris l'historique de la conversation et les connaissances récupérées. C'est pourquoi le choix du fournisseur, les clauses du contrat, les paramètres de conservation des données et la région comptent, et pourquoi il faut garder les données personnelles inutiles hors des prompts.

Qu'exige la KVKK pour les chatbots IA ?

La loi turque n° 6698 sur la protection des données personnelles s'applique aux conversations de chatbot avec des personnes en Turquie comme à tout autre traitement. Vous devez informer les personnes concernées, disposer d'un fondement juridique pour le traitement, redoubler de prudence avec les catégories particulières comme les données de santé, et recourir à un mécanisme autorisé, tel que les contrats types du Conseil, lorsque les données sont transférées à l'étranger, par exemple vers un fournisseur de LLM situé hors de Turquie.

Combien de temps conserver les conversations d'un chatbot ?

Uniquement le temps nécessaire à la finalité annoncée aux clients, comme le traitement de la demande, les obligations légales ou le contrôle qualité. Fixez une durée de conservation pour chaque espace de stockage, y compris les journaux de conversation, les journaux du fournisseur de LLM et toute base de données vectorielle, puis supprimez ou anonymisez les données à l'échéance.

Chatbots IA et données clients : une checklist RGPD et KVKK pour les équipes de messagerie

Un agent IA sur WhatsApp ou Instagram fait transiter les messages clients par plusieurs entreprises. Cette checklist montre comment cartographier ces données, choisir vos prestataires, fixer la conservation et gérer le consentement au regard du RGPD et de la KVKK turque.

Équipe MonoChat Mis à jour: 13 octobre 2026 10 min de lecture

Sur cette page

Où vont les données clients quand un agent IA répond
La checklist de confidentialité pour chatbot IA
En bref : RGPD et KVKK côte à côte
Comment MonoChat vous aide à garder le contrôle de l’IA et des données
Sources

Pour rendre un chatbot IA conforme au RGPD et à la KVKK, cartographiez chaque système par lequel transitent les messages clients, appuyez-vous sur une base légale et une notice d’information claire, signez un accord de traitement des données avec chaque prestataire, utilisez un mécanisme de transfert valide lorsque les données quittent l’UE ou la Turquie, gardez les données personnelles hors des prompts autant que possible, fixez des durées de conservation et informez les personnes qu’elles parlent à une IA. La conformité vient de la façon dont vous déployez le chatbot, pas du chatbot lui-même.

La difficulté, c’est qu’une seule réponse WhatsApp peut impliquer quatre ou cinq entreprises : Meta, votre plateforme de messagerie, un fournisseur de LLM, une base de données vectorielle et le CRM que l’agent consulte. Cette checklist passe en revue chacune d’elles. Il s’agit de conseils pratiques pour les équipes de messagerie, pas d’un avis juridique : validez les détails auprès de votre délégué à la protection des données ou de votre conseil juridique.

Où vont les données clients quand un agent IA répond

Commencez par dessiner le trajet d’un seul message. Un parcours type ressemble à ceci :

Étape	Système	Données concernées	Votre question
1	Canal de messagerie (WhatsApp, Instagram, Messenger)	Numéro de téléphone ou nom d’utilisateur, contenu du message, médias	Quelles conditions et quelles règles de stockage s’appliquent ?
2	Plateforme de messagerie	Historique des conversations, profil du contact, tags, notes	Qui y a accès, où est-ce stocké, pendant combien de temps ?
3	Base de connaissances et base de données vectorielle	Vos contenus ; des données personnelles seulement si vous les avez importées	Des données personnelles figurent-elles dans l’index ?
4	Fournisseur de LLM	Prompt : instructions, texte récupéré, historique, dernier message	Les données sont-elles conservées, utilisées pour l’entraînement, traitées où ?
5	Outils connectés (CRM, réservation, boutique)	Données de commande, rendez-vous, informations de compte	Que l’agent peut-il lire et écrire ?
6	Agents humains	Conversation complète après le transfert	Qui voit quoi, et est-ce journalisé ?

Chaque ligne est un endroit où des données personnelles sont traitées et où il vous faut un contrat, une règle de conservation et un contrôle d’accès. Si vous ne pouvez pas remplir une ligne, c’est votre première tâche.

La checklist de confidentialité pour chatbot IA

1. Choisir une base légale et la consigner par écrit

Selon le RGPD (article 6), chaque finalité de traitement a besoin d’une base légale. Répondre à un client qui vous a écrit repose généralement sur le contrat ou l’intérêt légitime. Les messages marketing reposent généralement sur le consentement. Utiliser les conversations pour améliorer votre agent est une finalité distincte : évaluez-la séparément au lieu de supposer que la base initiale la couvre.

La KVKK a sa propre liste de conditions de traitement. Si vous servez à la fois des clients de l’UE et des clients turcs, documentez la base légale au regard de chacune des deux lois.

2. Informer les personnes sur l’IA et sur leurs données

Votre notice d’information doit indiquer que les conversations peuvent être traitées par un système d’IA, quels prestataires traitent les données, où, pendant combien de temps, et comment joindre une personne. Les articles 13 et 14 du RGPD précisent ce qu’il faut inclure, et la KVKK prévoit une obligation d’information équivalente.

Dans l’UE, les obligations de transparence de l’AI Act s’appliquent à partir du 2 août 2026. Elles imposent d’informer les personnes lorsqu’elles interagissent avec un système d’IA, sauf si cela ressort clairement du contexte. Un court premier message répond à la fois à l’exigence légale et aux attentes des clients :

Bonjour, je suis l'assistant virtuel de Northwind Home, une IA. Je peux vous
aider pour vos commandes, retours et livraisons. Écrivez « conseiller » à tout
moment pour parler à notre équipe.
Politique de confidentialité : northwindhome.example/privacy

3. Signer un accord de traitement des données avec chaque sous-traitant

Votre plateforme de messagerie, votre fournisseur de LLM, l’hébergeur de votre base de données vectorielle et tout prestataire d’outils qui traite des données personnelles pour votre compte sont des sous-traitants. L’article 28 du RGPD exige un contrat écrit qui limite le traitement à vos instructions, impose la confidentialité et la sécurité, et couvre les sous-traitants ultérieurs, la suppression et les audits. Tenez à jour une liste des sous-traitants ultérieurs et vérifiez-la quand les prestataires changent.

4. Vérifier les transferts hors de l’UE ou de la Turquie

De nombreux fournisseurs de LLM traitent les données dans d’autres pays. Selon le chapitre V du RGPD, les transferts hors de l’EEE nécessitent une décision d’adéquation ou des garanties appropriées, comme les clauses contractuelles types.

Les règles de la KVKK sur les transferts à l’étranger ont changé en juin 2024. Les transferts reposent désormais sur une décision d’adéquation, sur des garanties appropriées comme les contrats types publiés par le Conseil de protection des données personnelles, ou sur des exceptions limitées. Les contrats types doivent être notifiés à l’Autorité dans les cinq jours ouvrables suivant leur signature. Vérifiez où chaque prestataire traite les données et choisissez des régions ou des prestataires qui correspondent à vos obligations.

Sur WhatsApp, la Cloud API de Meta propose le stockage local : vous pouvez choisir où les données des messages sont stockées au repos pour chaque numéro de téléphone professionnel. Le contenu peut néanmoins être traité dans des centres de données de Meta à l’international pendant son utilisation, jusqu’à 60 minutes sur la Cloud API, avant d’être conservé uniquement dans la région choisie.

5. Choisir le fournisseur de LLM avec discernement

Le fournisseur du modèle voit tout ce que vous placez dans le prompt. Avant d’en connecter un, vérifiez :

Utilisation pour l’entraînement. Le fournisseur utilise-t-il les données de l’API pour entraîner ses modèles, et pouvez-vous vous y opposer ?
Conservation. Combien de temps les prompts et les réponses sont-ils conservés, y compris pour la détection des abus ?
Région. Où les données sont-elles traitées et stockées, et pouvez-vous choisir ?
Contrat. Un accord de traitement des données est-il disponible pour votre offre ?
Auto-hébergement. Un modèle open source sur vos propres serveurs conviendrait-il aux cas d’usage sensibles ?

Utiliser votre propre compte chez le fournisseur (bring your own key) signifie que le contrat, les paramètres de région et les options de conservation sont les vôtres, au lieu d’être hérités du compte d’un prestataire.

6. Réduire ce qui entre dans les prompts et les outils

La minimisation des données (article 5 du RGPD) est le contrôle de confidentialité le plus efficace pour les agents IA.

Ne téléversez pas de fiches clients, de pièces d’identité ni de notes internes dans la base de connaissances.
N’envoyez au modèle que l’historique dont il a besoin, pas le profil complet du contact.
Donnez aux outils l’accès le plus restreint possible : un outil de suivi de commande a besoin d’un numéro de commande, pas de toute la base clients.
Masquez ou évitez les champs comme les numéros d’identité nationale, les numéros de carte et les mots de passe.
Demandez à l’agent de ne jamais réclamer de données sensibles dont il n’a pas besoin.

Règle de l'agent : ne jamais demander de numéro de carte, de mot de passe ou de
numéro d'identité dans le chat. Si un client en communique un, ne pas le
répéter, et proposer à la place le lien de paiement sécurisé ou un appel avec
notre équipe.

Si votre agent se connecte aux systèmes de l’entreprise via des protocoles tels que MCP, la même règle s’applique à chaque système connecté. Consultez MCP pour la messagerie client pour connaître les risques.

7. Traiter avec un soin particulier les données de santé et autres données sensibles

La santé, la religion, les données biométriques et les catégories similaires bénéficient d’une protection renforcée au titre de l’article 9 du RGPD et de la KVKK. Les cliniques, pharmacies et assureurs devraient limiter ce que l’IA traite, éviter les conseils médicaux fournis par l’IA et orienter les questions cliniques vers du personnel qualifié. Envisagez une analyse d’impact relative à la protection des données (article 35 du RGPD) avant de lancer un agent IA qui traite ce type de données à grande échelle.

8. Fixer la conservation pour chaque espace de stockage

La limitation de la conservation (article 5 du RGPD) signifie que vous ne gardez les données personnelles que le temps nécessaire. Fixez et documentez une durée pour :

l’historique des conversations dans votre plateforme de messagerie,
les journaux chez le fournisseur de LLM,
les transcriptions exportées et les analyses,
toute donnée personnelle dans une base de données vectorielle ou une base de connaissances.

Assurez-vous ensuite que la suppression a bien lieu, y compris dans les sauvegardes lorsque c’est possible.

9. Être prêt à répondre aux demandes d’accès et de suppression

Les clients peuvent demander ce que vous détenez sur eux et exiger sa suppression (articles 15 et 17 du RGPD, avec des droits similaires sous la KVKK). Sachez retrouver les conversations d’une personne dans tous les systèmes de votre cartographie des données, et comment les supprimer dans chacun.

10. Éviter les décisions prises uniquement par l’IA

L’article 22 du RGPD restreint les décisions fondées exclusivement sur un traitement automatisé qui affectent significativement les personnes. Laissez l’IA répondre, collecter et orienter, et réservez aux humains les validations, refus, décisions de crédit et exceptions. Un transfert de l’IA vers un humain fiable est à la fois un atout de service et de conformité.

11. Sécuriser les accès et conserver des journaux

Limitez qui peut lire les conversations, utilisez un contrôle d’accès par rôle, exigez l’authentification multifacteur et conservez des journaux d’audit indiquant qui a fait quoi. L’article 32 du RGPD exige une sécurité adaptée au risque, et l’article 33 fixe un délai de 72 heures pour notifier l’autorité de contrôle d’une violation de données personnelles, lorsque cette violation présente un risque pour les personnes.

12. Respecter les règles propres au canal

La politique de messagerie WhatsApp Business de Meta (WhatsApp Business Messaging Policy) a ses propres exigences en matière d’opt-in, d’utilisation des données et d’IA. Notre guide sur la politique WhatsApp pour les chatbots IA en 2026 présente ce que Meta autorise, et l’opt-in WhatsApp traite du consentement pour les messages proactifs.

En bref : RGPD et KVKK côte à côte

Sujet	RGPD	KVKK (loi n° 6698)
Informer les utilisateurs	Articles 13 et 14	Obligation d’information
Contrats avec les sous-traitants	Article 28	Le responsable du traitement est solidairement responsable de la sécurité chez le sous-traitant (article 12)
Transferts à l’étranger	Chapitre V : adéquation, clauses contractuelles types	Adéquation, contrats types notifiés à l’Autorité, exceptions limitées
Catégories particulières	Article 9	Catégories particulières de données personnelles
Conservation	Limitation de la conservation, article 5	Suppression, destruction ou anonymisation lorsque la finalité prend fin
Droits des personnes concernées	Accès, effacement et autres	Droits similaires, dont l’accès et la suppression

Comment MonoChat vous aide à garder le contrôle de l’IA et des données

MonoChat est conçu pour que les éléments sensibles de votre architecture puissent rester sous votre contrôle. Voici ce que propose le produit, tel que décrit sur notre page sécurité et conformité :

Vos propres clés LLM. Avec les LLM personnalisés, vous connectez votre propre compte OpenAI, Anthropic, Google, Azure, AWS ou autre fournisseur, ce qui vous permet de garder vos propres tarifs et accords sur les données, et de décider quel assistant utilise quel modèle.
Modèles auto-hébergés. Vous pouvez connecter des modèles exécutés sur vos propres serveurs via Ollama, ou votre propre API de modèle, lorsque les prompts doivent rester sur votre infrastructure.
Votre propre base de données vectorielle. L’intégration VectorDB conserve les vecteurs de la base de connaissances dans la base de données vectorielle de votre choix, avec vos propres règles de stockage et de conservation, dans la région ou le cloud que vous choisissez.
Connaissances par périmètre. La base de connaissances IA répartit les contenus en périmètres dotés de leur propre contrôle d’accès, afin que chaque agent ne récupère que ce qu’il doit.
Actions IA contrôlées. Les outils de fonctions IA s’exécutent avec validation, permissions, points de terminaison autorisés et journaux, de sorte qu’un assistant ne peut faire que ce que vous autorisez.
Contrôle d’accès et journaux. Accès par rôle, isolation des espaces de travail, journaux d’audit et identifiants de fournisseurs chiffrés et propres à chaque espace de travail.
API officielles des canaux. WhatsApp se connecte via la plateforme officielle WhatsApp Business Platform (Cloud API), et MonoChat est un Meta Business Partner officiel.
Certifications et politique. MonoChat est certifié ISO 27001 et ISO 9001, et sa politique de confidentialité est établie conformément à la KVKK (loi n° 6698). Les demandes d’accès, de rectification ou de suppression de données personnelles reçoivent une réponse sous 30 jours.
Option sur site. L’offre Enterprise propose un déploiement on-prem pour les exigences plus strictes.

Vous pouvez tester le produit avec l’offre Basic gratuite (un agent, un canal) sur app.monochat.ai, et lire la politique de confidentialité complète avant votre évaluation.

Sources

Mettez-le en pratique avec MonoChat

Tous les guides