Chatbot sur notre site : que dit l'AI Act depuis le 2 août 2026 ?

« Nous avons ajouté l'an dernier un chatbot sur notre site : il répond aux questions de nos clients sur les horaires, les tarifs et le suivi des commandes, avec un modèle d'OpenAI derrière. J'ai lu que l'AI Act s'applique depuis le 2 août 2026 avec de grosses amendes, puis qu'il avait été repoussé. Qu'est-ce qu'on doit changer, concrètement ? »

La situation, telle qu'on la raconte à une IA

Qu'est-ce qui s'applique à un chatbot depuis le 2 août 2026 ?

Le règlement (UE) 2024/1689, appelé AI Act, s'applique pour l'essentiel depuis le 2 août 2026 (article 113)¹. Pour un chatbot, la règle centrale est l'article 50, paragraphe 1 : un système d'IA destiné à dialoguer avec des personnes doit être conçu pour qu'elles « soient informées qu'elles interagissent avec un système d'IA », sauf si cela ressort clairement des circonstances¹.

L'information doit être donnée « de manière claire et reconnaissable au plus tard au moment de la première interaction », et respecter les exigences d'accessibilité (article 50, paragraphe 5)¹. Pas de délai de grâce pour les chatbots déjà en ligne : selon la Commission européenne, ils doivent être conformes depuis cette date³.

L'omnibus numérique a-t-il repoussé cette obligation ?

Non. Le règlement (UE) 2026/1744, dit « omnibus numérique sur l'IA », publié au Journal officiel le 24 juillet 2026 et en vigueur depuis le 27 juillet, a surtout reporté les règles des systèmes à haut risque : au 2 décembre 2027 pour ceux de l'annexe III (recrutement, crédit, éducation…), au 2 août 2028 pour ceux de l'annexe I².

Pour la transparence, seul le marquage technique des contenus générés (texte, image, son, vidéo), lisible par une machine, obtient un délai : jusqu'au 2 décembre 2026 pour les systèmes mis sur le marché avant le 2 août 2026 (article 50, paragraphe 2)². L'information des personnes qui dialoguent avec le système reste due depuis le 2 août 2026³.

Ce marquage peut concerner votre chatbot, puisqu'il génère du texte. La Commission admet que son fournisseur s'appuie sur la solution de marquage de l'éditeur du modèle, mais il reste responsable de démontrer la conformité³ : demandez à cet éditeur ce qu'il met en place.

Qui est responsable : vous ou l'éditeur du chatbot ?

L'obligation d'informer pèse sur le « fournisseur » : celui qui développe un système d'IA, ou le fait développer, et le met en service « sous son propre nom ou sa propre marque, à titre onéreux ou gratuit » (article 3)¹. D'après les exemples de la Commission³ :

• Chatbot prêt à l'emploi, proposé par un éditeur sous sa marque : l'éditeur est le fournisseur, vous êtes « déployeur ». Vérifiez quand même que l'information s'affiche.
• Chatbot développé pour vous, en interne ou par un prestataire, et en service sous votre nom : vous êtes le fournisseur, même s'il repose sur un modèle d'OpenAI, d'Anthropic ou de Mistral.
• Système existant que vous avez modifié et mis en service sous votre nom : vous devenez fournisseur du nouveau système.

Comment informer correctement vos visiteurs ?

Le règlement n'impose pas de formule. Les lignes directrices de la Commission, publiées le 20 juillet 2026 et mises à jour le 5 novembre 2026, donnent des repères³ :

• un premier message, ou une mention près du champ de saisie, qui dit clairement qu'il s'agit d'une IA, éventuellement avec un badge visible pendant toute la conversation ;
• pour un assistant vocal ou téléphonique, une phrase dite au début de l'appel ;
• une réponse honnête quand le visiteur demande s'il parle à un humain ;
• des formulations adaptées si le public peut compter des enfants, des personnes âgées ou handicapées.

Sont insuffisants à eux seuls : une mention dans les conditions générales, un simple « assistant », une phrase générale du type « ce site utilise l'IA » ou une description technique (« basé sur un LLM »). Une photo ou un avatar humain brouillent la nature de l'échange³.

L'exception prévue quand la nature de l'échange est évidente ne vous aidera guère : la Commission l'interprète de façon restrictive et cite les chatbots d'un site ou d'un service d'assistance parmi les cas où elle ne s'applique pas³.

Exemple de premier message : « Bonjour, je suis l'assistant automatique de [votre entreprise], un programme d'intelligence artificielle et non un conseiller. Pour parler à une personne, cliquez ici. »

Et les e-mails rédigés par l'IA ?

Si l'IA prépare un brouillon qu'un salarié relit puis envoie, l'échange n'est pas direct, selon la Commission. Mais la simple possibilité d'une relecture ne suffit pas à écarter l'obligation, et un agent IA qui envoie lui-même des e-mails doit se présenter comme tel, par exemple avec une mention « IA » en tête du message³.

Ce que le RGPD demande en plus

Dès que le chatbot reçoit des noms, des numéros de commande ou des questions personnelles, le RGPD s'applique. Les conseils de la CNIL⁴ :

• Traceurs : déposé dès l'arrivée sur la page, un traceur demande le consentement ; déposé seulement quand le visiteur ouvre le chatbot, et pour son seul fonctionnement, il n'en demande pas.
• Données sensibles : prévenez qu'il ne faut pas en saisir, et purgez celles qui arrivent malgré tout.
• Conservation : liée au but ; une aide à l'achat peut être effacée en fin d'échange, une réclamation conservée plus longtemps.
• Décisions : une conversation sans intervention humaine ne peut pas, à elle seule, conduire à une décision importante pour la personne.

Le fournisseur du modèle reçoit les conversations : vérifiez son contrat, le lieu de traitement et l'usage qu'il peut en faire.

Quels risques en cas de manquement ?

Un manquement à l'article 50 peut coûter jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu ; pour les PME, c'est le plus faible des deux (article 99)¹. Les autorités de surveillance du marché de chaque État contrôlent, d'office ou sur plainte³. En France, leur désignation passe par un projet de loi d'adaptation au droit de l'Union, examiné par le Sénat en février 2026⁵ ; nous n'en avons pas trouvé de version définitive publiée à la date de cet article.

Une réponse fausse peut aussi vous engager : au Canada, en 2024, un tribunal a condamné Air Canada à indemniser un client mal renseigné par le chatbot de son site, la jugeant responsable de toutes les informations qui y figurent, selon le résumé du cabinet McCarthy Tétrault⁶. Limitez le chatbot à ce qu'il sait.

Les limites de cet article

Les lignes directrices de la Commission ne sont pas contraignantes ; seule la Cour de justice de l'Union européenne interprète le règlement avec autorité. Santé, crédit, assurance, recrutement, mineurs : dans ces domaines, d'autres règles peuvent s'ajouter, voire le « haut risque ». Faites valider votre cas par un avocat.

Et chez Prestalgo ?

Les agents IA conçus par Prestalgo, chatbots compris, se présentent comme des IA dès le premier échange, et nous vérifions où chaque outil retenu traite les données. La conception se chiffre au projet, à partir de 1 500 € HT, le coût du modèle étant facturé au réel ou payé sur votre compte. Pour un chatbot déjà en place, un audit RGPD, à partir de 500 € HT, vérifie traceurs, information des visiteurs et sous-traitants. Voir aussi la page Tarifs.

Questions fréquentes

Alexandre Gougeon, fondateur de Prestalgo, développeur full stack depuis 2015. Prestalgo fait tourner et maintient les applications de SAUVLife, Youngs Job et Groume.