RGPD et chatbots : la checklist de conformité 2026 pour les entreprises allemandes
Si votre entreprise opère en Allemagne et exploite un chatbot, vous traitez des données personnelles sous le RGPD européen (DSGVO) et la loi fédérale allemande sur la protection des données (BDSG). L'Allemagne applique l'interprétation la plus stricte du RGPD dans l'UE — les autorités de contrôle (BfDI, HmbBfDI, LfDI) émettent plus de sanctions par habitant que tout autre État membre.
Ce que le RGPD exige réellement pour les chatbots
L'article 6 RGPD exige une base légale pour chaque traitement. Pour les chatbots, la base typique est l'intérêt légitime (Art. 6(1)(f)) pour le service client — mais avec un test de mise en balance documenté. Pour les usages marketing (templates WhatsApp outbound), le consentement explicite (Art. 6(1)(a)) est requis.
Données personnelles dans les conversations
Presque chaque interaction traite des données personnelles — IP, empreintes navigateur, texte libre avec noms/contacts/données santé ou financières. Chaque déploiement nécessite minimisation documentée, politique de rétention avec suppression automatique, processus pour les droits des personnes (Auskunft, Berichtigung, Löschung, portabilité, opposition), et mention transparente du chatbot dans la Datenschutzerklärung.
Résidence des données — UE vs Allemagne
Le RGPD n'exige pas que les données restent en Allemagne — elles doivent rester en UE/EEE. En pratique, les Aufsichtsbehörden allemandes préfèrent fortement l'hébergement UE (Francfort). Certains fournisseurs proposent un hébergement en Allemagne pour les exigences BSI strictes. Évitez US — après Schrems II, transferts US exigent des garanties supplémentaires.
Auftragsverarbeitungsvertrag (AVV / DPA)
L'art. 28 RGPD exige un AVV écrit. Il doit spécifier : catégories de données, finalités, durée, liste des sous-traitants, TOMs, notification de violations (72h Art. 33), droits des personnes, droits d'audit, suppression à la fin du contrat. Demandez-le à votre fournisseur avant la mise en ligne, avec la liste de ses sous-traitants.
Logs d'audit et rétention
Pour les industries régulées (banque/BaFin, assurance, santé, secteur public), le log d'audit de chaque conversation devient attendu. Rétention par catégorie : transcriptions 30–90 jours, logs 6 mois–7 ans, leads qualifiés durée de la relation, analytique anonymisée illimitée.
Modèles IA transfrontaliers et Schrems II
Les chatbots IA utilisent des LLMs de fournisseurs (OpenAI, Anthropic, Google, Mistral). Beaucoup routent par défaut via les US. Après Schrems II, les DPO allemands appliquent une scrutiny élevée. Mitigations : endpoints UE-hébergés (OpenAI EU, Azure Frankfurt/Paris, Mistral UE), minimisation API, opt-out training, chaîne contractuelle dans le DPA.
Checklist pratique 9 points
- AVV signé avec liste sous-traitants, SLA notification, droits audit, TOMs.
- Hébergement UE documenté au contrat (Francfort ou équivalent).
- Base légale documentée par activité de traitement.
- Datenschutzerklärung mise à jour pour divulguer le chatbot.
- Droits des personnes opérationnalisés — testés end-to-end.
- Politique de rétention par catégorie, suppression auto.
- Usage transfrontalier modèles IA documenté, endpoints UE pour sensible.
- Log d'audit activé, exportable, inviolable.
- Plan de réponse incident avec notification 72h (Art. 33).
Couches sectorielles
- Banque (BaFin) : règles outsourcing (MaRisk AT 9), risque modèle, supervision humaine, accord comité gouvernance.
- Santé (Art. 9 RGPD) : contrôles élevés pour Gesundheitsdaten — pas de stockage persistant texte libre clinique, audit obligatoire.
- Secteur public (BSI-Grundschutz) : hébergement Bundesgebiet souvent requis.
- Télécom (TKDSG) : règles supplémentaires sur métadonnées communication.
Ce qu'intoCHAT vous laisse contrôler
Aucun logiciel ne rend un chatbot conforme au RGPD à lui seul, et intoCHAT ne détient aucune certification en matière de protection des données. Il ne propose pas non plus de journal d'audit, de choix de la région d'hébergement ni d'endpoints de modèle hébergés en UE.
Ce que la plateforme vous laisse contrôler : les contenus sur lesquels l'agent est entraîné, les coordonnées collectées (e-mail et/ou téléphone, seulement si le visiteur choisit de les partager) et la suppression, une par une, des conversations et des leads. Les réponses sont générées avec un modèle d'OpenAI, à mentionner dans votre registre et votre Datenschutzerklärung. Pour le détail, voir notre guide RGPD des chatbots, ou la page chatbot IA pour l'Allemagne.
Cet article est informatif et non un conseil juridique.
Questions fréquentes
Le RGPD s'applique-t-il aux chatbots de sites web ?
Dans presque tous les cas, oui. Les conversations contiennent des données personnelles, comme les adresses IP et du texte libre pouvant inclure des noms, des coordonnées ou des informations de santé ou financières, et le RGPD s'applique dès que des données peuvent être reliées à une personne, même indirectement. En Allemagne, la loi fédérale BDSG s'applique en plus. Il s'agit d'informations générales, pas d'un conseil juridique.
Quelle base légale pour un chatbot selon le RGPD ?
Pour les demandes de service client, la base habituelle est l'intérêt légitime (art. 6, par. 1, point f), appuyé par une mise en balance documentée. Les usages liés au marketing, comme les templates WhatsApp sortants, exigent un consentement explicite (art. 6, par. 1, point a). Documentez la base légale de chaque traitement avant le lancement, plutôt que de vous fier à un modèle générique du fournisseur.
Faut-il un contrat de sous-traitance avec le fournisseur du chatbot ?
Oui. L'article 28 du RGPD impose un contrat écrit avec le sous-traitant, appelé en Allemagne Auftragsverarbeitungsvertrag (AVV). Il doit couvrir les catégories de données, les finalités, la durée, la liste des sous-traitants ultérieurs, les mesures techniques et organisationnelles, la notification des violations, les droits des personnes, les droits d'audit et la suppression ou restitution des données en fin de contrat. Demandez-le, avec la liste des sous-traitants, avant la mise en ligne.
Un chatbot peut-il utiliser des modèles d'IA hébergés aux États-Unis selon le RGPD ?
C'est possible, mais les transferts vers les États-Unis exigent un mécanisme de transfert valable, et depuis l'arrêt Schrems II les délégués à la protection des données allemands les examinent de près. Les mesures courantes sont des endpoints de modèle hébergés dans l'UE quand ils existent, aucun stockage durable ni entraînement par le fournisseur du modèle, et une chaîne contractuelle documentée dans l'AVV. Pour les secteurs sensibles comme la banque, l'assurance ou la santé, une inférence uniquement dans l'UE est le choix le plus sûr.
intoCHAT rend-il un chatbot conforme au RGPD ?
Aucun logiciel ne rend un chatbot conforme à lui seul, et intoCHAT ne détient aucune certification en matière de protection des données. Il ne propose ni journal d'audit, ni SSO, ni choix de la région d'hébergement, et génère les réponses avec un modèle d'OpenAI géré par intoCHAT, à mentionner dans votre registre des traitements et votre politique de confidentialité. Vous décidez des pages, fichiers et textes sur lesquels l'agent apprend, et les visiteurs ne partagent leur e-mail ou téléphone que s'ils le souhaitent.