Aperçu gratuit

Chatbot et RGPD : la phrase à ajouter à votre politique de confidentialité, et où vont les conversations

Fleuriste qui tend un bouquet à une cliente dans sa boutique

Un visiteur écrit à votre assistant : « Bonjour, je suis Paul Durand, 06 12 34 56 78, est-ce que vous intervenez à Lanester ? » En une phrase, il vous a confié un nom, un numéro et une localisation. Un chatbot traite des données personnelles, et le RGPD s’applique, même pour trois questions sur vos horaires. Voici ce que ça implique concrètement, sans jargon.

Ce que dit la CNIL

La CNIL a publié le 19 février 2021 des conseils dédiés aux chatbots. Quatre points en ressortent pour une petite entreprise.

Prévenir avant de collecter

L’utilisateur doit savoir qu’il parle à un robot, ce que deviennent ses messages, et pourquoi. La CNIL recommande aussi de l’inviter « à s’abstenir de communiquer des données sensibles » (santé, opinions, etc.) avant toute utilisation. Si quelqu’un en communique quand même, les organismes « ne sont pas tenus de recueillir le consentement préalable », mais doivent limiter le risque : ne pas les exploiter, les supprimer rapidement.

Le cookie, seulement si l’utilisateur ouvre le chat

Beaucoup de chatbots déposent un cookie pour garder le fil de la conversation. La CNIL précise que si « le cookie n’est déposé qu’à l’activation du chatbot par l’utilisateur », il est « strictement nécessaire » au service demandé et ne requiert pas de consentement. Un chatbot qui dépose un cookie dès l’arrivée sur le site, lui, en a besoin. C’est un détail technique qui change votre bandeau de cookies.

Ne pas garder les conversations pour toujours

« Les données doivent être conservées pour la durée nécessaire pour atteindre la finalité du traitement », définie par vous. Pour un assistant qui répond aux questions et transmet les demandes, quelques mois suffisent largement : le temps de traiter les demandes, et d’améliorer vos documents à partir des questions sans réponse.

Pas de décision importante sans humain

« Une conversation avec un chatbot sans intervention humaine ne peut conduire à elle seule à des décisions importantes pour la personne concernée. » Un assistant qui renseigne et transmet ne pose pas ce problème ; un assistant qui accepterait ou refuserait un dossier, si.

La phrase à ajouter à votre politique de confidentialité

Votre politique de confidentialité doit décrire ce traitement comme les autres : quoi, pourquoi, combien de temps, qui, et où. Un modèle, à adapter :

« Assistant de conversation. Notre site propose un assistant automatisé qui répond à vos questions à partir de nos documents (tarifs, conditions, horaires) et transmet à notre équipe les demandes qu’il ne peut pas traiter. Les messages que vous lui écrivez, et les coordonnées que vous laissez pour être recontacté, sont conservés [6 mois] sur un serveur hébergé en France par [OVH], à notre nom, puis supprimés. Les réponses sont générées par un service d’intelligence artificielle [nom du fournisseur], avec lequel nous avons un compte à notre nom, et qui n’utilise pas vos messages pour entraîner ses modèles. Merci de ne pas communiquer d’informations sensibles (santé, situation personnelle) à l’assistant. Vous pouvez exercer vos droits d’accès, de rectification et d’effacement à [adresse e-mail]. »

Les crochets sont à remplir avec vos vraies informations. Si votre chatbot est fourni par un éditeur qui stocke les conversations chez lui, c’est lui qu’il faut nommer, avec le pays où sont ses serveurs, et un lien vers sa propre politique.

Où vont les conversations : la vraie question

C’est ce qui sépare deux chatbots qui se ressemblent à l’écran. Avec un service en ligne, les conversations de vos visiteurs partent chez l’éditeur, souvent hors d’Europe, avec sa propre durée de conservation et ses sous-traitants. Vous devez le décrire, et vous ne le maîtrisez pas. Avec un assistant installé sur un serveur à votre nom, elles restent chez vous : vous savez où elles sont, combien de temps, et vous les supprimez quand vous voulez.

Même logique pour l’IA elle-même : l’assistant doit utiliser une clé à votre nom, chez un fournisseur qui n’utilise pas vos données pour l’entraînement, et un fournisseur européen est possible. Ce n’est pas une garantie magique, mais c’est une phrase que vous pouvez écrire honnêtement dans votre politique.

Un exemple : Auto-école Le Clos, entreprise fictive

Prenons une auto-école imaginée pour l’exemple, à Rennes. Ses questions récurrentes : prix du forfait, délai pour une date d’examen, documents à fournir, horaires. Beaucoup de visiteurs sont mineurs ou tout juste majeurs, et certains racontent spontanément leur situation (handicap, échec précédent).

  1. L’avertissement : avant la première question, une ligne : « Je suis un assistant automatique, je réponds à partir des informations de l’auto-école. Merci de ne pas m’indiquer d’informations sur votre santé ou votre situation personnelle. »
  2. Les limites : l’assistant ne demande jamais l’âge ni les coordonnées, sauf si le visiteur clique sur « parler à une personne » ; il transmet toute question sur un aménagement d’examen à l’accueil, sans la traiter.
  3. La conservation : les conversations sont supprimées après 3 mois ; les demandes transmises vivent dans la boîte mail de l’auto-école, comme n’importe quel e-mail.
  4. La politique : le paragraphe ci-dessus, adapté, et pas de nouveau cookie : l’assistant ne garde le fil que pendant la session.

Sur Landing Zone, la plateforme de réservation que je développe pour les escape games et les loisirs de plein air, les paiements passent par Stripe Connect et les données des clients des opérateurs transitent par l’application. Savoir où ces données sont stockées, qui y accède et combien de temps, fait partie du travail dès le premier jour, pas d’une case cochée à la fin. Un assistant sur un site pose la même question, en plus petit.

Ce que comprend mon assistant

Mon service d’assistant IA pour votre site fournit la phrase à ajouter à votre politique de confidentialité, installe l’assistant sur un serveur VPS à votre nom (environ 8 € HT par mois chez OVH), avec votre propre clé d’IA, et garde vos conversations chez vous, en France. Il ne répond qu’à partir de vos documents, et transmet le reste à une personne. À partir de 429,78 €, en 6 jours de réalisation, par écrit sur ComeUp : voici comment ça se passe.

Voir le service d’assistant IA

Sources