Chatbots, IA conversationnelle et service client automatisé : quelles obligations RGPD en 2026 ?

Introduction

L'intégration croissante de l'intelligence artificielle dans les centres de relation client : chatbots, callbots, assistants vocaux, systèmes de qualification automatique des appels, retranscription et analyse de sentiment en temps réel : transforme profondément les métiers du service client et de la prospection téléphonique. En 2026, ces outils ne sont plus expérimentaux : ils sont largement déployés en première ligne, notamment pour le pré-décroché, la qualification des demandes entrantes, ou l'assistance en temps réel des téléconseillers.

Cette transformation s'accompagne d'un encadrement juridique désormais double : le RGPD, qui s'applique pleinement dès lors que ces systèmes traitent des données personnelles (ce qui est presque toujours le cas dans un contexte de relation client), et l'AI Act (Règlement UE 2024/1689), dont plusieurs échéances d'application majeures tombent précisément en 2025-2026. Pour un acteur comme Iteractii, comprendre l'articulation entre ces deux textes est devenu indispensable, que l'IA soit développée en interne, fournie par un éditeur tiers, ou intégrée via un donneur d'ordre.

1. L'AI Act : ce qui s'applique concrètement à la relation client en 2026

1.1 Une entrée en application progressive

L'AI Act, entré en vigueur en août 2024, prévoit une application échelonnée de ses obligations. Plusieurs jalons importants concernent directement les usages de la relation client :

• Depuis février 2025 : interdiction des pratiques d'IA jugées inacceptables (manipulation subliminale, notation sociale, etc.) : peu concernées directement mais à garder à l'esprit pour les systèmes d'analyse de sentiment poussés
• Depuis août 2025 : obligations de gouvernance pour les modèles d'IA à usage général (GPAI), pertinent pour les entreprises utilisant des LLM tiers (type GPT, Claude, Mistral) pour leurs chatbots
• À partir d'août 2026 :  La transparence (art. 50) est applicable. Les obligations haut risque ne s’appliquent pas en août 2026, elles sont reportées au 2 décembre 2027.

1.2 La question centrale : le chatbot de service client est-il un système à "haut risque" ?

Dans la majorité des cas, un chatbot ou callbot de service client classique (FAQ automatisée, qualification de demande, prise de rendez-vous) n'entre pas dans les catégories à haut risque de l'annexe III de l'AI Act, qui vise principalement des usages comme le recrutement, le crédit, la santé ou la justice.

En revanche, la vigilance s'impose dès lors que le système d'IA :

• Participe à une décision ayant un effet juridique ou significatif sur la personne (par exemple, refus automatisé d'une réclamation ou d'un remboursement sans intervention humaine)
• Est utilisé dans un secteur régulé où il pourrait être requalifié (assurance, santé, finance)

1.3 L'obligation de transparence : le socle commun à tous les chatbots

Indépendamment de la classification à haut risque, l'article 50 de l'AI Act impose une obligation de transparence générale : toute personne interagissant avec un système d'IA doit être informée qu'elle échange avec une IA, sauf si cela est évident du contexte.

Concrètement pour un centre d'appels ou un service client digital ://

• Un chatbot textuel doit clairement s'identifier comme tel dès le début de la conversation
• Un callbot vocal (voix de synthèse, potentiellement très réaliste en 2026) doit annoncer explicitement qu'il s'agit d'un système automatisé, et non d'un téléconseiller humain
• Cette obligation de transparence est distincte de l'information RGPD, mais les deux doivent être coordonnées dans le scénario d'appel ou de conversation

2. Le RGPD appliqué aux systèmes conversationnels automatisés

2.1 L'article 22 : la question de la décision entièrement automatisée

L'article 22 du RGPD encadre les décisions produisant des effets juridiques ou significatifs prises exclusivement sur le fondement d'un traitement automatisé. Cette question se pose directement pour :

• Un chatbot qui traiterait et clôturerait seul une réclamation, avec refus automatique de remboursement
• Un système de scoring automatique de la qualité d'un appel entrant influençant l'accès à un service prioritaire

Dans ces cas, le responsable de traitement doit :

• Prévoir une intervention humaine effective possible à la demande de la personne concernée
• Permettre l'expression du point de vue de la personne et la contestation de la décision
• Documenter la logique du système, même de façon simplifiée, dans l'information fournie

2.2 L'analyse d'appels par IA : transcription et détection d'émotion

De nombreux centres d'appels utilisent désormais des outils d'IA pour la retranscription automatique des appels et l'analyse de sentiment ou d'émotion du client (satisfaction, agacement, risque de résiliation). Ces traitements appellent une vigilance particulière :

• La retranscription automatique constitue un traitement de données personnelles à part entière, qui doit être mentionné dans l'information donnée en début d'appel
• L'analyse d'émotion, si elle s'apparente à une forme de profilage, doit être proportionnée à la finalité (amélioration du service, détection de risque d'insatisfaction) et ne pas déboucher sur des décisions disproportionnées sans intervention humaine
• Ces outils, lorsqu'ils s'appuient sur des modèles tiers hébergés hors UE, posent également la question du transfert de données (voir point 3)

2.3 L'IA générative dans les réponses du service client

L'utilisation de l'IA générative pour rédiger ou suggérer des réponses aux téléconseillers, voire pour générer directement les réponses d'un chatbot, implique :

• Une vérification que les données personnelles du client ne sont pas utilisées pour l'entraînement ou l'amélioration du modèle sans base légale et sans information claire (point de vigilance fréquent avec certains outils grand public non contractualisés en mode entreprise)
• Un contrôle qualité humain régulier, en particulier pour éviter les réponses erronées ("hallucinations") pouvant avoir des conséquences sur un client
• Une clause contractuelle claire avec l'éditeur de la solution d'IA précisant le traitement (ou l'absence de traitement) des données à des fins d'entraînement

3. Analyse d'impact (AIPD) : quand devient-elle obligatoire ?

3.1 Les critères déclenchant une AIPD

Une analyse d'impact relative à la protection des données (AIPD) est obligatoire dès lors qu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Pour un déploiement de chatbot ou callbot IA en relation client, plusieurs critères de la grille CNIL peuvent se cumuler et déclencher cette obligation :

• Traitement à grande échelle (volume important d'interactions)
• Profilage ou scoring des personnes (analyse de sentiment, scoring de risque de churn)
• Usage d'une technologie innovante (IA générative, callbot vocal)
• Décision automatisée pouvant avoir un effet sur la personne

Dès lors que deux critères ou plus de la grille CNIL sont réunis, l'AIPD devient en principe obligatoire avant le déploiement.

3.2 Contenu attendu d'une AIPD pour un chatbot de service client

• Description précise du traitement (finalités, données traitées, flux, durées de conservation)
• Évaluation de la nécessité et de la proportionnalité (le chatbot est-il réellement nécessaire pour cette finalité, à ce niveau d'automatisation ?)
• Identification des risques pour les personnes (erreur du système, biais, décision inappropriée, fuite de données via un prestataire tiers)
• Mesures pour réduire ces risques (supervision humaine, seuils de confiance avant transfert à un humain, audit régulier des réponses générées)

4. Sous-traitance IA : la vigilance renforcée sur les prestataires tiers

4.1 Une chaîne de sous-traitance souvent complexe

Le déploiement d'un chatbot ou callbot IA implique fréquemment plusieurs niveaux de sous-traitance : l'éditeur de la solution conversationnelle, l'hébergeur, et parfois un fournisseur de modèle de langage tiers (souvent américain). Chaque maillon doit être identifié et contractualisé conformément à l'article 28 du RGPD.

4.2 Les points de vigilance contractuels spécifiques à l'IA

• Localisation des serveurs de traitement et d'entraînement (Union européenne de préférence, ou garanties de transfert appropriées)
• Engagement contractuel de non-utilisation des données clients à des fins d'entraînement de modèles tiers, sauf accord exprès
• Clause d'audit et de réversibilité (récupération des données en cas de changement de prestataire)
• Documentation de la conformité AI Act du fournisseur (marquage de conformité pour les systèmes à haut risque le cas échéant)

4.3 Transferts hors UE : un sujet toujours sensible en 2026

De nombreuses solutions d'IA conversationnelle reposent sur des modèles hébergés aux États-Unis. Malgré l'adoption du cadre Data Privacy Framework (décision d'adéquation UE-USA de juillet 2023), la vigilance reste de mise :

• Vérifier que le fournisseur est bien certifié Data Privacy Framework, et pas seulement basé aux États-Unis
• Anticiper une possible remise en cause du cadre d'adéquation (comme cela a été le cas par le passé avec le Safe Harbor et le Privacy Shield), et prévoir des clauses contractuelles types en clause de sauvegarde

5. Ce qui change concrètement en 2026 : synthèse

6. Check-list de conformité pour un déploiement de chatbot/callbot en 2026

1. ☐ Message d'identification clair du système comme IA, dès le début de l'interaction (texte ou voix)
2. ☐ Analyse de classification au regard de l'AI Act (haut risque ou non) documentée
3. ☐ Vérification de l'absence de décision entièrement automatisée à effet significatif sans intervention humaine possible
4. ☐ Réalisation d'une AIPD si les critères de la grille CNIL sont réunis
5. ☐ Information RGPD à jour incluant la retranscription et l'éventuelle analyse d'émotion
6. ☐ Contrat de sous-traitance à jour avec le ou les fournisseurs IA (localisation, entraînement, audit, réversibilité)
7. ☐ Vérification de la certification Data Privacy Framework en cas de recours à un fournisseur américain
8. ☐ Procédure de contrôle qualité humain régulier sur les réponses générées par IA

7. FAQ : IA et service client en 2026

Un client peut-il refuser d'échanger avec un chatbot et exiger un interlocuteur humain ? Il n'existe pas d'obligation légale générale de proposer systématiquement une bascule immédiate vers un humain, sauf si le chatbot participe à une décision automatisée à effet significatif (article 22 RGPD), auquel cas l'intervention humaine doit être possible à la demande de la personne.

Faut-il un consentement spécifique pour l'analyse de sentiment lors d'un appel ? Pas nécessairement un consentement, si la finalité peut s'appuyer sur l'intérêt légitime ou l'exécution du contrat, mais une information claire est indispensable, et une AIPD est souvent requise compte tenu du caractère potentiellement intrusif de ce traitement.

Un chatbot peut-il s'appuyer sur ChatGPT ou un autre LLM grand public directement ? Cela est fortement déconseillé sans contractualisation en mode entreprise garantissant la non-utilisation des données à des fins d'entraînement, sous peine de perte de contrôle sur les données personnelles des clients transmises dans les échanges.

Conclusion

L'intégration de l'IA dans le service client et la prospection téléphonique représente une opportunité opérationnelle majeure, mais impose désormais une double vigilance RGPD et AI Act, ce dernier texte montant en puissance tout au long de 2025-2026. Pour Iteractii, anticiper cette double conformité : transparence vis-à-vis des personnes, encadrement contractuel rigoureux des fournisseurs IA, et documentation des analyses de risque : constitue un avantage concurrentiel certain à l'heure où de nombreux donneurs d'ordre commencent à intégrer des clauses spécifiques sur l'usage de l'IA dans leurs cahiers des charges de sous-traitance.