QuestionContrôlée automatiquement — pas encore relue par un humain
Chatbot sur un site : obligation d'informer les visiteurs ?
Chatbot sur un site : le règlement européen sur l'IA impose une obligation légale d'informer les visiteurs, même pour une TPE.
Par Hugo Berton · · 6 min de lecture
En bref
Oui : le règlement européen sur l'intelligence artificielle, le règlement (UE) 2024/1689, pose une obligation légale précise pour tout chatbot sur un site. Son article 50 impose d'informer le visiteur qu'il échange avec une machine et non avec un humain, afin qu'il puisse décider en connaissance de cause. Cette règle vaut aussi pour un indépendant ou une TPE qui installe un outil tout fait, et elle se double des règles de protection des données dès que le chatbot collecte des informations personnelles.
- 4niveaux de risque définis par le règlement sur l'IA
- 9pratiques d'IA interdites par le texte
- Article 50article qui impose la transparence du chatbot
Chatbot et obligation légale : ce que prévoit le règlement européen
La question posée est souvent formulée ainsi : chatbot obligation légale, un site qui installe un assistant automatisé doit-il vraiment prévenir ses visiteurs ? La réponse se trouve dans le règlement européen sur l'intelligence artificielle, le règlement (UE) 2024/1689, présenté par la Commission européenne comme le premier cadre juridique complet au monde en matière d'IA. Ce texte classe les systèmes d'IA selon 4 niveaux de risque, et les chatbots relèvent du niveau que la Commission appelle le risque de transparence.
D'après la page de la Commission européenne consacrée à la législation sur l'IA, ce niveau de risque introduit des obligations de divulgation spécifiques : lorsqu'un visiteur échange avec un système comme un chatbot, il doit être informé qu'il interagit avec une machine, afin de pouvoir prendre une décision en connaissance de cause. C'est cette règle, et non une procédure d'autorisation préalable, qui constitue l'obligation légale centrale pour un site qui installe ce type d'outil.
Le détail de cette obligation figure à l'article 50 du règlement, intitulé « Obligations de transparence pour les fournisseurs et les déployeurs de certains systèmes d'IA », selon la structure du texte publiée par le site spécialisé artificialintelligenceact.eu. Le même article couvre aussi les contenus générés par l'intelligence artificielle, puisque les fournisseurs d'IA générative doivent veiller à ce que ces contenus restent identifiables.
Qui est concerné : indépendants, TPE et petites équipes
Le titre même de l'article 50 distingue deux rôles : les fournisseurs, qui conçoivent le système d'IA, et les déployeurs, qui l'utilisent. Un indépendant ou une TPE qui installe un chatbot édité par un tiers sur son site agit comme déployeur. Cette répartition de rôles s'applique quelle que soit la taille de la structure qui installe l'outil, d'après la structure même de l'article 50, qui vise aussi bien les grands groupes que celui qui intègre un outil tout fait sur sa page d'accueil.
Dans les faits, cela signifie qu'une TPE ne peut pas se reposer uniquement sur l'éditeur du chatbot pour considérer le sujet réglé. Même si l'outil affiche déjà, d'après sa documentation, un message du type « je suis un assistant automatisé », c'est bien le responsable du site qui reste le déployeur au sens du règlement, et donc responsable de cette information vis-à-vis de ses propres visiteurs.
La prudence consiste donc à vérifier, sur la page de l'éditeur du chatbot utilisé, si une mention d'identification en tant que machine est prévue par défaut, plutôt que de supposer qu'elle l'est. Les sources consultées pour cette page ne permettent pas d'affirmer que tel ou tel outil du marché respecte ce point par défaut ; cela dépend de chaque éditeur et doit se vérifier au cas par cas, directement sur sa page.
Les nuances : tous les chatbots ne logent pas au même niveau de risque
Le risque de transparence, qui couvre la majorité des chatbots de service client ou de FAQ, reste le niveau le plus léger : il impose une information claire, pas une procédure de conformité lourde. Le règlement distingue ce niveau d'un niveau plus contraignant, le risque élevé, qui s'applique à des usages précis listés par la Commission européenne, et non à l'ensemble des outils conversationnels.
Parmi les 9 pratiques que le règlement interdit purement et simplement figure la manipulation ou la tromperie préjudiciable fondée sur l'IA. Cette interdiction, entrée en vigueur en février 2025, ne vise pas un chatbot de support classique, mais elle rappelle qu'un assistant conçu pour tromper délibérément un visiteur sur sa nature, ou pour exploiter ses vulnérabilités, sort du simple cadre de la transparence et bascule dans l'interdiction.
Le règlement ajoute une règle propre aux contenus générés : certains textes ou images produits par l'IA, notamment les hypertrucages et les textes destinés à informer le public sur des sujets d'intérêt général, doivent être étiquetés de manière claire et visible. Un chatbot dont les réponses sont ensuite republiées comme du contenu éditorial du site peut donc être concerné par cette règle d'étiquetage, en plus de la simple information donnée en direct au visiteur.
Cas particuliers : recrutement, crédit et contenu publié
La Commission européenne classe parmi les usages à haut risque les outils d'IA utilisés pour l'emploi, la gestion des travailleurs et l'accès au travail indépendant, en citant explicitement les logiciels de tri de CV pour le recrutement. Un indépendant qui utiliserait un chatbot pour présélectionner des candidatures, et pas seulement pour répondre à des questions générales, change donc de catégorie réglementaire : il sort du simple risque de transparence.
Autre exemple cité par la Commission : la notation de crédit qui peut empêcher une personne d'obtenir un prêt fait partie des cas d'utilisation à haut risque relatifs à l'accès à des services privés et publics essentiels. Un chatbot qui interviendrait dans ce type de décision, même de façon indirecte, relèverait des obligations renforcées prévues pour les systèmes à haut risque, et non plus de la seule obligation d'information.
Pour les systèmes classés à haut risque, le règlement prévoit, à compter du 2 décembre 2027, des obligations détaillées : gestion des risques, qualité des données, journalisation de l'activité, documentation technique et surveillance humaine. Ces obligations n'ont rien à voir avec la simple mention « vous parlez à une machine » attendue pour un chatbot de support classique ; elles concernent des usages bien plus spécifiques que la majorité des chatbots installés sur un site de TPE.
Pour quel site cette obligation est urgente, et pour quel site elle peut attendre
Pour un indépendant ou une petite équipe qui utilise un chatbot uniquement pour répondre aux questions fréquentes, orienter vers un formulaire de contact ou qualifier une demande avant de la transmettre à un humain, l'enjeu reste simple : afficher une mention visible indiquant qu'il s'agit d'un assistant automatisé. C'est un ajustement rapide, et c'est le profil pour lequel il est raisonnable de s'en occuper sans attendre.
Pour un site qui utiliserait un chatbot dans un processus de recrutement, d'octroi de crédit ou d'accès à un service essentiel, la question devient plus sérieuse : ces usages sont cités par la Commission européenne parmi les cas à haut risque, avec des obligations qui se préparent avant le 2 décembre 2027. Ce profil justifie un vrai temps de vérification, éventuellement avec un conseil juridique, plutôt qu'une simple mention en bas de fenêtre de chat.
Entre ces deux profils, le critère qui tranche n'est pas la taille de l'entreprise mais la fonction du chatbot : un outil qui informe ou oriente relève de la transparence, un outil qui décide ou présélectionne pour l'emploi, le crédit ou un service essentiel relève du risque élevé. C'est cette fonction qui détermine le niveau d'obligation réellement applicable, bien plus que le nombre de salariés.
Et les données personnelles récoltées par le chatbot ?
Un chatbot qui demande un nom, une adresse e-mail ou qui conserve l'historique d'une conversation traite des données personnelles. Ce volet ne relève pas du règlement sur l'IA mais des règles générales de protection des données, dont la Commission nationale de l'informatique et des libertés assure le suivi en France. Les deux cadres se cumulent : l'un impose d'annoncer qu'on parle à une machine, l'autre encadre ce que cette machine fait des informations récoltées.
En pratique, un site qui installe un chatbot gagne à vérifier deux choses séparément : ce que dit le règlement sur l'IA à propos de l'identification du chatbot comme machine, et ce que ses propres mentions de confidentialité disent de l'usage fait des données échangées pendant la conversation. Les sources consultées pour cette page ne détaillent pas les règles de la CNIL point par point ; pour ce second volet, mieux vaut se référer directement à sa documentation plutôt qu'à un résumé.
Ce choix n'est pas qu'une question de prudence juridique : un visiteur qui sait qu'il échange avec un assistant automatisé, et qui sait aussi ce qu'il advient des informations qu'il tape dans la fenêtre de chat, accorde en général plus facilement sa confiance au site. Pour un indépendant, traiter les deux sujets ensemble, au moment où le chatbot est installé, évite d'avoir à tout reprendre plus tard.
Questions fréquentes
À quel moment précis le chatbot doit-il prévenir le visiteur ?
Les sources consultées ne donnent pas de formule ni de moment imposé par le texte. Le règlement demande seulement que l'information soit donnée afin que la personne puisse prendre une décision en connaissance de cause, ce qui, en pratique, suppose une mention visible dès le début de l'échange plutôt qu'une précision cachée dans les mentions légales du site.
Un simple widget de FAQ automatisée est-il couvert par cette obligation ?
Oui, dès qu'il s'agit d'un système d'IA qui simule un échange avec un visiteur, il relève du niveau que la Commission européenne appelle le risque de transparence, quelle que soit la simplicité de l'outil. C'est la fonction du widget, répondre comme le ferait un humain, qui déclenche l'obligation, pas sa sophistication technique.
Que risque un site qui ne respecte pas cette obligation ?
Le règlement consacre ses articles 99 à 101 aux pénalités, selon la table des matières publiée par artificialintelligenceact.eu, mais les sources consultées pour cette page ne précisent pas de montant ni de barème applicable à ce cas précis. Mieux vaut consulter le texte complet ou un professionnel du droit plutôt que de se fier à un chiffre non vérifié.
Cette obligation vaut-elle aussi pour un assistant vocal, pas seulement pour un chatbot écrit ?
Les pages consultées parlent de systèmes d'IA au sens large, comme les chatbots, sans distinguer l'écrit de la voix. Il paraît donc prudent de considérer que le principe, informer la personne qu'elle échange avec une machine, vaut pour toute interface conçue pour imiter une conversation humaine, orale ou écrite.
Sources consultées
- Législation sur l’IA | Bâtir l’avenir numérique de l’Europedigital-strategy.ec.europa.eu · consulté le 2 novembre 2026
- Article 50: Transparency Obligations for Providers and Deployers of Certain AI Systems | EU Artificial Intelligence Actartificialintelligenceact.eu · consulté le 2 novembre 2026