Chatbot IA et RGPD : check-list de conformité 2026 (PDPL, LGPD)

Une check-list chatbot IA et RGPD, cela se résumait autrefois à un lien vers une politique de confidentialité et à un bandeau cookies. En 2026, elle doit aussi couvrir l'obligation de transparence imposée aux chatbots par l'AI Act européen, applicable depuis le 2 août 2026, ainsi que les lois de protection des données du Golfe et, plus largement, de la région MENA, de la Turquie, de l'Inde et du Brésil, sans oublier le paysage État par État aux États-Unis. Ce guide vous donne 10 étapes concrètes, un tableau des délais de notification des violations par pays et un point clair sur l'Irak et la région du Kurdistan.

Cette check-list est une information générale, pas un conseil juridique ; consultez un avocat qualifié dans chaque juridiction où vous opérez.

Points clés

L'AI Act européen impose aux chatbots d'indiquer qu'ils sont une IA, sauf si c'est évident. L'article 50(1) s'applique depuis le 2 août 2026, et le Digital Omnibus de juillet 2026 ne l'a pas repoussé.
La plupart des régulateurs appliquent un compteur de 72 heures en cas de violation, mais pas tous. Le RGPD, les règles de la PDPL saoudienne, le Conseil de la KVKK turque, l'Égypte, Bahreïn, Oman et la Jordanie retiennent 72 heures, et l'ADGM « sans retard injustifié et, lorsque c'est possible, au plus tard sous 72 heures » ; le Koweït laisse 24 heures aux prestataires licenciés, le DIFC demande seulement « dès que possible en pratique », et l'ANPD brésilienne exige 3 jours ouvrés. Aux États-Unis, il n'existe pas de délai unique : la notification des violations relève de la loi propre à chaque État, et celle de la Californie impose 30 jours calendaires à compter de la découverte pour informer les résidents concernés.
L'article 28(3) du RGPD impose un contrat contraignant (un DPA) avec chaque sous-traitant, ce qui englobe en général votre plateforme de boîte de réception et votre fournisseur de modèle d'IA.
L'Irak n'a pas de loi générale de protection des données en vigueur pour le secteur privé, et la région du Kurdistan non plus : une pratique au niveau du RGPD est donc une base raisonnable.
Un outil de réponse automatique par IA doit lire les messages pour y répondre : le contrôle d'accès, les durées de conservation et le chiffrement des identifiants comptent donc autant que le chiffrement en transit.

Qui a besoin d'une check-list chatbot IA et RGPD en 2026

Un chatbot conforme au RGPD traite les données personnelles sur une base légale, explique aux personnes ce qu'il advient de leurs données, les garde en sécurité et leur permet d'exercer leurs droits. Une entreprise qui vend sur WhatsApp, Instagram ou Telegram répond en général aussi à des lois locales :

UE : le RGPD (applicable depuis le 25 mai 2018) et l'article 50 de l'AI Act. Vous servez des personnes dans l'UE depuis l'extérieur ? Demandez à votre conseil juridique si le RGPD s'applique.
États-Unis : pas de loi fédérale unique sur la vie privée. Les obligations relèvent surtout des États, emmenés par le CCPA/CPRA californien, auxquelles s'ajoutent le consentement TCPA pour les appels et SMS marketing automatisés et les règles de transparence des bots propres à certains États, comme celle du Maine.
Arabie saoudite : la PDPL saoudienne, dont la période de tolérance a pris fin le 14 septembre 2024. La SDAIA en est l'autorité de contrôle, y compris pour les traitements réalisés à l'étranger portant sur des personnes situées en Arabie saoudite.
Émirats arabes unis (fédéral) : le décret-loi n° 45 de 2021, en vigueur depuis janvier 2022, dont les règlements d'application ne sont toujours pas publiés.
DIFC : la loi n° 5 de 2020 ; déclarez chaque année vos traitements au Commissioner, et les règles de l'article 10 sur les systèmes autonomes couvrent les chatbots.
ADGM : les Data Protection Regulations 2021 ; enregistrez-vous auprès de l'Office of Data Protection avant tout traitement, puis renouvelez chaque année.
Qatar : la loi n° 13 de 2016, supervisée par la NCSA ; consentement explicite, et autorisation supplémentaire pour les données de nature particulière.
Bahreïn : la loi n° 30 de 2018 ; les transferts à l'étranger supposent la liste approuvée de la PDPA, son autorisation ou un autre fondement.
Koweït : le règlement de la CITRA, restreint en 2024 aux opérateurs télécoms et fournisseurs d'accès licenciés : la plupart des entreprises en sont donc hors champ.
Oman : le décret royal n° 6/2022, applicable depuis le 5 février 2026 ; consentement d'abord, sans base d'intérêt légitime.
Jordanie : la loi n° 24 de 2023, applicable depuis mars 2025 ; consentement préalable, puis un nouveau consentement pour transférer à l'étranger.
Maroc : la loi n° 09-08 ; déclarez d'abord vos traitements à la CNDP, et obtenez son autorisation pour transférer à l'étranger.
Égypte : la loi 151/2020 ; ses règlements d'application (décret n° 816 de 2025) laissent jusqu'à début novembre 2026 environ pour se mettre en conformité.
Turquie : la KVKK (loi n° 6698), modifiée par la loi 7499 à compter du 1er juin 2024.
Inde : la loi DPDP de 2023 ; règles notifiées en novembre 2025, l'essentiel des obligations de fond à partir de mai 2027 environ.
Brésil : la LGPD (loi 13.709/2018), appliquée par l'ANPD.

Conformité des chatbots IA aux États-Unis : CCPA, TCPA et transparence des bots

Information générale, pas un conseil juridique. L'applicabilité de chacune de ces lois dépend de votre chiffre d'affaires, du nombre d'enregistrements traités, de votre secteur et des types de données : vérifiez avec votre conseil juridique.

Les décomptes publiés des lois américaines sur la vie privée varient selon la méthode retenue : environ 20 sont en vigueur et 24 adoptées en septembre 2026.

Le CCPA californien, modifié par le CPRA, s'applique à toute entreprise à but lucratif qui exerce une activité en Californie, collecte les données personnelles de résidents et franchit l'un de trois seuils : un chiffre d'affaires annuel brut mondial supérieur à 26 625 000 $ (le montant en vigueur depuis le 1er janvier 2025) ; l'achat, la vente ou le partage des données personnelles de 100 000 consommateurs ou foyers californiens ou plus ; ou au moins 50 % du chiffre d'affaires tiré de la vente ou du partage de données personnelles. La Californie accorde six droits : savoir, supprimer, corriger, refuser la vente et le partage, limiter l'usage des données personnelles sensibles, et ne pas subir de discrimination. Les autres États partagent un socle commun — une information sur la confidentialité et des droits d'opposition pour la publicité ciblée, la vente et certains profilages — et la plupart y ajoutent un consentement préalable pour les données sensibles, que le texte libre d'une conversation ne permet pas de classer à l'avance.

Le contrat est le levier le plus tranchant : au titre des règlements d'application du CCPA (§ 7051(c)), un prestataire sans contrat de service provider conforme n'est pas un service provider, et lui communiquer des données personnelles peut être considéré comme une vente ou un partage. Une douzaine d'États environ imposent aussi d'honorer un signal universel d'opposition sur la page qui héberge votre widget, et non sur WhatsApp, Instagram ou Telegram ; le Global Privacy Control est reconnu en Californie, au Colorado et au Connecticut, et la liste évolue : vérifiez-la.

Des règles sectorielles se superposent : HIPAA (santé) lorsque votre client est une covered entity et que la conversation véhicule des données de santé — Meta et Telegram ne signent pas de business associate agreement pour la messagerie professionnelle standard, si bien que des informations de santé protégées ne peuvent pas passer par ces canaux —, auxquelles s'ajoutent la GLBA Safeguards Rule pour les établissements financiers non bancaires et COPPA pour les données des moins de 13 ans. Au titre de la section 5 du FTC Act, les promesses de confidentialité et de sécurité que vous publiez doivent être vraies.

Le marketing sortant relève d'un régime distinct. Le TCPA (loi fédérale sur la prospection téléphonique) exige un consentement écrit exprès préalable pour les appels et SMS marketing adressés à des numéros mobiles américains au moyen d'un composeur automatique ou d'une voix préenregistrée, et les dommages-intérêts légaux s'élèvent à 500 $ par appel ou SMS en infraction, jusqu'à 1 500 $ en cas de violation délibérée ou consciente, en principe par message. La révocation peut arriver par tout moyen raisonnable et doit être honorée sous 10 jours ouvrés. La question de savoir si le TCPA atteint les messages WhatsApp acheminés par Internet n'est pas tranchée : traitez l'opt-in écrit comme une précaution raisonnable plutôt que comme une règle établie ; la WhatsApp Business Messaging Policy de Meta impose de toute façon un opt-in.

La transparence des bots relève elle aussi des États. La loi du Maine sur les chatbots (10 M.R.S. § 1500-DD), en vigueur depuis le 24 septembre 2025, est la plus large et vise les bots ordinaires de vente et de support ; l'Utah impose la mention lorsque le consommateur la demande, et spontanément dans les interactions à haut risque, par exemple celles qui collectent des données de santé ou financières. Le B.O.T. Act californien est plus étroit : intention de tromper, plateformes ouvertes au public comptant au moins 10 millions de visiteurs américains uniques par mois, et mention claire faisant office de sphère de sécurité.

Étape 1 : cartographiez les données personnelles de votre chatbot et leurs flux

Cartographier les données consiste à lister chaque donnée personnelle que le bot touche, où elle est stockée et qui la reçoit. Pour chaque canal, notez :

Ce que les clients envoient : noms, numéros de téléphone, e-mails, adresses, détails de commande, photos et messages vocaux.
Ce que vous stockez : historique des conversations, fiches de contact et journaux des prompts envoyés à l'IA.
Ce qui relie les systèmes : tokens d'accès aux canaux, clés API des fournisseurs d'IA et secrets de webhook.
Où vont les données : la plateforme de messagerie, votre fournisseur de boîte de réception, le fournisseur de modèle d'IA et tout CRM ou outil de paiement.

Notez aussi la durée de conservation de chaque prestataire. Meta indique agir comme sous-traitant pour WhatsApp Cloud API et conserver les messages Cloud API 30 jours au maximum (documentation développeurs de Meta). Voyez notre comparatif Cloud API et application Business.

Étape 2 : choisissez une base légale et recueillez le consentement quand il est requis

L'article 6 du RGPD liste les bases légales du traitement. Choisissez-en une par finalité, et non par outil :

Répondre aux questions sur une commande ou au support est une finalité.
Les campagnes marketing et les relances forment une finalité distincte : vérifiez si elles exigent un consentement à part.
Réutiliser les conversations pour améliorer votre IA est encore une autre finalité : ne la glissez pas dans le lot en silence.

Inscrivez la base légale à côté de chaque finalité dans votre cartographie et conservez la preuve de chaque consentement.

Étape 3 : dites aux utilisateurs qu'ils parlent à une IA (article 50 de l'AI Act européen)

Au titre de l'article 50(1) de l'AI Act européen, un système d'IA qui interagit avec des personnes doit leur indiquer qu'elles ont affaire à une IA, clairement et dès la première interaction, sauf si c'est déjà évident. L'obligation s'applique depuis le 2 août 2026, avec des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial, selon la FAQ de la Commission européenne sur l'article 50. Le Digital Omnibus sur l'IA, en vigueur depuis le 27 juillet 2026, ne l'a pas repoussée. Demandez à votre conseil juridique comment l'obligation s'applique à votre configuration, et vérifiez que votre outil de chatbot affiche bien cette mention.

Placez une mention d'une ligne dans la première réponse du bot, dans chaque fil de messages privés, du type « Bonjour, je suis l'assistant IA de [Marque]. »
Renvoyez vers une politique de confidentialité qui donne les informations exigées par l'article 13 du RGPD lorsque vous collectez des données auprès des personnes.
Certains États américains demandent la même chose : le Maine depuis le 24 septembre 2025, et l'Utah lorsque le consommateur le demande ou dans une interaction à haut risque.

Étape 4 : limitez les données que le bot collecte, stocke et envoie aux modèles d'IA

La minimisation des données consiste à ne collecter que ce dont la tâche a besoin. Moins de données, c'est moins à sécuriser, à supprimer et à déclarer.

Ne demandez pas de numéro de pièce d'identité ni de date de naissance pour répondre à une question sur une livraison ou des horaires d'ouverture.
Dites aux clients de ne jamais envoyer de numéro de carte ni de mot de passe dans une conversation, et faites en sorte que le bot les refuse.
N'envoyez au modèle d'IA que le contexte dont il a besoin, pas des fiches clients entières.
Lisez les conditions de votre fournisseur d'IA sur l'utilisation des données de l'API à des fins d'entraînement.
Prévoyez un passage à un humain pour les réclamations, les remboursements ou toute décision ayant un effet réel sur le client.

Étape 5 : chiffrez les identifiants, les tokens et les données personnelles des clients en transit et au repos

L'article 32(1)(a) du RGPD cite la pseudonymisation et le chiffrement parmi les mesures de sécurité. Selon l'article 34(3)(a) du RGPD, vous n'êtes pas tenu d'informer les personnes concernées si le chiffrement a rendu les données concernées par la violation incompréhensibles. Vous pouvez malgré tout devoir notifier le régulateur au titre de l'article 33.

Utilisez HTTPS/TLS pour chaque appel d'API et chaque webhook.
Chiffrez les tokens d'accès aux canaux, les clés API d'IA et les secrets de webhook au niveau applicatif, avec une clé conservée à l'écart de la base de données : un dump de base qui fuite ne livrera pas votre compte WhatsApp ou Instagram.
Chiffrez les champs de contact les plus sensibles, comme les numéros de téléphone et les adresses.

Connaissez la limite : un serveur qui rédige des réponses par IA doit lire le texte des messages. Les étapes 6 et 7 comptent donc autant que le chiffrement.

Étape 6 : appliquez des accès basés sur les rôles et conservez des journaux d'audit

Le contrôle d'accès basé sur les rôles (RBAC) ne donne à chaque personne que les permissions dont son poste a besoin :

Les équipes de première ligne ont les conversations et les contacts, pas la facturation, les réglages d'IA ni les clés API.
Les utilisateurs en lecture seule ne voient que ce qui leur est nécessaire et ne peuvent rien modifier.
Retirez les accès le jour même du départ d'une personne, et faites tourner les clés qu'elle pouvait voir.
Journalisez qui modifie les réglages sensibles.

La règle 6 des règles DPDP indiennes cite la conservation des journaux pendant un an parmi ses mesures de sécurité. Demandez à chaque prestataire de votre chaîne d'outils quels contrôles d'accès il applique à ses propres employés et comment ces accès sont consignés, puis conservez les réponses avec votre cartographie.

Étape 7 : fixez des durées de conservation et traitez les demandes de suppression et d'accès

L'article 17 du RGPD donne un droit à l'effacement : il vous faut donc un moyen de retrouver et de supprimer les données d'une personne dans tous vos systèmes.

Définissez une durée de conservation par type de données : conversations ouvertes, conversations closes, contacts marketing.
Supprimez ou anonymisez les données à l'échéance ; l'automatiser est une bonne pratique.
Construisez un parcours de traitement des demandes : vérifiez l'identité, cherchez dans la boîte de réception, le CRM, les journaux d'IA et les exports, puis agissez et consignez-le.
Suivez le délai de réponse propre à chaque loi dont vous relevez. En Inde, les Data Fiduciaries doivent répondre aux demandes d'exercice des droits sous 90 jours, une fois les règles DPDP de fond applicables (vers mai 2027). En Californie, les demandes vérifiables bénéficient de 45 jours, prolongeables une fois.

Si vous connectez Facebook ou Instagram, vérifiez comment votre fournisseur de boîte de réception traite les demandes de suppression de données de Meta.

Étape 8 : signez un contrat de sous-traitance avec chaque sous-traitant et encadrez les transferts transfrontaliers

Un contrat de sous-traitance (DPA, data processing agreement) est le contrat contraignant qu'impose l'article 28(3) du RGPD entre vous et chaque sous-traitant qui traite des données personnelles pour votre compte. Pour un chatbot IA, cela vise en général la plateforme de boîte de réception, le fournisseur de modèle d'IA et le fournisseur d'API de messagerie. Vérifiez les sous-traitants ultérieurs, l'usage des données pour l'entraînement de l'IA, la suppression à la fin du contrat et le délai dans lequel le prestataire doit vous signaler une violation. Les États-Unis transforment la même idée en condition : voyez la règle du CCPA sur le service provider (§ 7051(c)) ci-dessus.

Les transferts méritent eux aussi de l'attention. Depuis la loi turque 7499, les transferts à l'étranger exigent une décision d'adéquation, des garanties appropriées telles qu'un contrat type du Conseil, ou une exception étroite. Le Conseil n'a publié aucune liste d'adéquation, et les exceptions ne couvrent que des transferts ponctuels et non récurrents : elles ne peuvent donc pas porter un flux de chatbot continu ; tablez sur le contrat type du Conseil, et vérifiez les formalités de notification qu'il impose. Héberger hors d'Arabie saoudite ne vous fait pas sortir du champ de la PDPL saoudienne si vous traitez des données de personnes situées sur place, et un transfert saoudien suppose une finalité autorisée, plus une adéquation ou une garantie assortie d'une analyse de risque documentée. Le Brésil impose le texte des clauses de l'ANPD sans modification. Demandez à votre fournisseur de modèle sur quelle garantie de transfert il s'appuie, et confirmez avec votre conseil juridique qu'elle satisfait à chaque loi dont vous relevez.

Étape 9 : préparez un plan de réponse aux violations pour le délai de chaque juridiction

Un plan de réponse aux violations est un court manuel qui dit qui fait quoi dans les 72 premières heures, parce que la plupart des compteurs démarrent au moment où vous prenez connaissance d'une violation.

Désignez un responsable d'incident et un suppléant.
Listez chaque régulateur et chaque délai dont vous relevez (voir le tableau ci-dessous).
Préparez des modèles de notification aux clients dans toutes les langues que vous prenez en charge, y compris l'arabe et le kurde.
Documentez comment révoquer et faire tourner rapidement les tokens de canaux, les clés API d'IA et les secrets de webhook.

Étape 10 : relisez votre check-list chatbot IA et RGPD à intervalles réguliers

Maintenant : vérifiez que vous êtes prêt pour l'échéance de conformité égyptienne, aux alentours de début novembre 2026.
Chaque trimestre : passez en revue les accès de l'équipe, les canaux connectés et les clés API actives.
Tous les six mois : testez une demande de suppression et faites un exercice de gestion de violation.
À chaque changement : mettez à jour votre cartographie et votre liste de prestataires quand vous ajoutez un canal, un modèle d'IA ou un fournisseur, et réalisez une analyse préalable des risques pour tout nouvel usage de l'IA.
Chaque année : revérifiez chaque pays, en particulier les règlements d'application des Émirats arabes unis, la phase indienne de mai 2027 environ et le projet de loi irakien.

Repères par pays : statut et délais de notification des violations (septembre 2026)

Juridiction	Loi principale	Statut (sept. 2026)	Notification de violation au régulateur
UE/EEE	RGPD + art. 50 de l'AI Act	En vigueur	72 heures (art. 33 du RGPD)
États-Unis (fédéral)	Aucune loi générale sur la vie privée ; section 5 du FTC Act, TCPA, règles sectorielles	Aucune loi générale ; règles sectorielles en vigueur	Aucune obligation fédérale générale ; règles sectorielles uniquement (HIPAA : les personnes sous 60 jours à compter de la découverte, le HHS sous 60 jours pour les violations touchant 500 personnes ou plus et, à défaut, sous 60 jours après la fin de l'année civile ; GLBA Safeguards Rule : la FTC sous 30 jours à compter de la découverte d'un incident portant sur des données clients non chiffrées de 500 consommateurs ou plus)
Californie (CCPA/CPRA)	Cal. Civ. Code § 1798.100 et suivants	En vigueur ; règlements de la CPPA applicables le 1er janv. 2026	Non fixé par le CCPA ; la loi distincte § 1798.82 (modifiée par SB 446, applicable le 1er janv. 2026) donne 30 jours calendaires à compter de la découverte pour informer les résidents concernés, plus une notification au procureur général de Californie sous 15 jours après l'information des consommateurs lorsque plus de 500 résidents californiens sont touchés. Les délais varient d'un État à l'autre
Arabie saoudite	PDPL (M/19, modifié par M/148)	Applicable depuis le 14 sept. 2024	72 heures à la SDAIA (art. 24 du règlement d'application)
Émirats arabes unis (fédéral)	Décret-loi n° 45 de 2021	En vigueur ; règlements d'application non publiés	« Immédiatement » ; aucun délai chiffré
DIFC	Loi DIFC n° 5 de 2020	En vigueur ; modifiée en 2022 et 2025	Dès que possible en pratique (art. 41) ; pas de règle des 72 heures
ADGM	Data Protection Regulations 2021	En vigueur et appliqué	Sans retard injustifié, si possible sous 72 heures
Qatar	Loi n° 13 de 2016 (PDPPL)	En vigueur ; lignes directrices de la NCSA publiées	Rien dans la loi ; les lignes directrices de la NCSA attendent 72 heures
Bahreïn	Loi n° 30 de 2018	En vigueur ; PDPA active depuis 2022	72 heures à compter de la découverte, à la PDPA
Koweït	Règlement de la CITRA, modifié en 2024	Ne lie que les prestataires licenciés par la CITRA	24 heures, licenciés uniquement
Oman	Décret royal n° 6/2022	Pleinement applicable le 5 févr. 2026	72 heures au MTCIT
Jordanie	Loi n° 24 de 2023	Période de tolérance close le 17 mars 2025	72 heures ; personnes concernées sous 24 heures
Égypte	Loi 151/2020	Période de conformité jusqu'à début nov. 2026 environ	72 heures au PDPC
Maroc	Loi n° 09-08	En vigueur ; régime de déclaration	Aucune : la loi n° 09-08 ne prévoit pas d'obligation générale de notification
Turquie	KVKK (loi n° 6698)	En vigueur, modifiée en juin 2024	72 heures au Conseil de la KVKK
Inde	Loi DPDP de 2023	Essentiel des obligations à partir de mai 2027 environ	Rapport détaillé sous 72 heures (règle 7)
Brésil	LGPD	En vigueur, sanctions depuis août 2021	3 jours ouvrés à l'ANPD, délai doublé pour les petits agents
Irak	Aucune loi générale pour le secteur privé	Un projet de loi existe	Aucune obligation légale ; à confirmer avec un conseil local
Région du Kurdistan	Aucune loi générale ; loi n° 6 de 2008	—	Aucune obligation légale ; à confirmer avec un conseil local

L'Irak et la région du Kurdistan : selon DataGuidance, la protection de la vie privée en Irak repose sur la Constitution de 2005 plutôt que sur une loi dédiée. Le texte le plus proche dans la région du Kurdistan est la loi n° 6 de 2008 sur l'usage abusif des appareils de télécommunication.

Comment Raabt accompagne votre mise en conformité en Arabie saoudite, dans le Golfe et au-delà

Il s'agit d'une carte des fonctionnalités, pas d'une certification de conformité. Aucun outil ne vous rend conforme à lui seul : votre base légale, vos mentions d'information, vos durées de conservation et vos contrats en décident. Ce qu'une plateforme peut faire, c'est vous fournir les moyens de contrôle que chaque loi attend de vous.

Ce que la loi exige	Ce que Raabt vous donne aujourd'hui	Ce qui reste à votre charge
Mesures de sécurité (art. 32 du RGPD, PDPL saoudienne, Bahreïn, Oman, Jordanie, KVKK)	Tokens d'accès aux canaux, clés des fournisseurs d'IA, secrets de webhook et numéros de téléphone, e-mails et adresses de commande des clients chiffrés avec AES-256-GCM ; mots de passe hachés avec Argon2id ; codes à usage unique stockés uniquement sous forme de hachages HMAC-SHA256	Les durées de conservation, le chiffrement des appareils et la sécurité de tout ce que vous exportez
Contrôle d'accès et moindre privilège	Quatre rôles (owner, admin, agent, viewer) avec des permissions par section, une facturation réservée aux propriétaires, un code à usage unique par e-mail lors des connexions par mot de passe, et la révocation des sessions à la déconnexion	Passer en revue qui dispose d'un accès et retirer celui des partants le jour même
Indiquer aux personnes qu'elles parlent à une IA (art. 50 de l'AI Act européen, Maine, Utah)	Les réglages d'IA forment une section soumise à permissions : seuls les rôles que vous choisissez peuvent modifier la façon dont le bot répond	Rédiger la phrase de transparence, la placer dans le premier message du bot et vérifier qu'elle s'affiche sur chaque canal
Cloisonner les données de chaque entreprise cliente	Les endpoints d'entreprise vérifient que l'appelant est un membre actif de cette entreprise avant de renvoyer quoi que ce soit	Choisir qui vous invitez dans l'espace de travail
Demandes de suppression (art. 17 du RGPD et équivalents)	Le callback de suppression de données de Meta, avec un code de confirmation et un lien de statut sur la page de suppression des données ; la suppression de compte exige votre mot de passe et un code envoyé par e-mail, puis désactive le compte et anonymise son adresse e-mail	Les demandes d'effacement émanant de clients individuels, ainsi que votre propre politique de conservation et de suppression
Intégrations vérifiées et protégées contre l'altération	Les webhooks Meta rejetés en l'absence d'une signature X-Hub-Signature-256 valide, les webhooks Telegram exigeant un token secret, et les pièces jointes servies uniquement via des liens signés HMAC à durée limitée	Faire tourner les tokens de canaux et les clés API au départ d'un collaborateur
Réponse aux violations (72 heures dans l'UE, en Arabie saoudite, à Bahreïn, à Oman, en Jordanie et en Turquie ; 24 heures pour les licenciés koweïtiens ; règles propres à chaque État aux États-Unis)	Les actions des propres employés de la plateforme Raabt sont inscrites dans un journal en ajout seul (qui, quoi, quand, adresse IP), secrets masqués	Votre manuel de gestion d'incident, les notifications aux régulateurs et aux clients
Transférer des données à l'étranger	Les clés API des fournisseurs d'IA et les fichiers JSON de compte de service sont chiffrés au niveau applicatif (AES-256-GCM)	Choisir quel fournisseur d'IA traite vos textes, votre analyse de transfert, vos contrats types et toute formalité locale

Ce que Raabt fait aujourd'hui pour protéger les données des entreprises

Aucun outil ne vous rend conforme ; le résultat dépend de la façon dont vous le configurez et l'utilisez. Si vous faites tourner votre chatbot IA sur Raabt, ces mesures sont en place aujourd'hui :

Identifiants et certaines coordonnées chiffrés : les tokens d'accès aux canaux (Facebook, Instagram, WhatsApp, Telegram), les clés API des fournisseurs d'IA, les secrets de webhook et les numéros de téléphone, e-mails et adresses de commande des clients sont chiffrés au niveau applicatif avec AES-256-GCM.
Mots de passe et codes de connexion : les mots de passe sont hachés avec Argon2id. Les connexions par e-mail et mot de passe exigent un code à usage unique envoyé par e-mail avant l'ouverture d'une session ; la connexion Google n'utilise pas ce code.
Accès d'équipe basés sur les rôles : quatre rôles (owner, admin, agent, viewer) avec des permissions par section ; l'accès à la facturation ne peut pas être délégué à un non-propriétaire.
Isolation entre les entreprises : les endpoints d'entreprise vérifient que l'appelant est un membre actif de cette entreprise, et renvoient « introuvable » dans le cas contraire.
Webhooks vérifiés : les webhooks Meta dépourvus d'une signature X-Hub-Signature-256 valide sont rejetés, et les webhooks Telegram exigent un token secret.
Révocation des sessions : la déconnexion révoque les sessions via une liste de blocage vérifiée à chaque requête authentifiée.
Demandes de suppression Meta : Raabt prend en charge le callback de suppression de données de Meta, avec un lien de statut sur la page de suppression des données.
Suppression de compte : elle exige un mot de passe et un code à usage unique envoyé par e-mail. Le compte est immédiatement désactivé et son adresse e-mail anonymisée, mais cela n'efface pas les données de conversation ni de contact.

Une limite à intégrer dans vos plans : les conversations ne sont pas chiffrées de bout en bout, parce que les serveurs de Raabt doivent lire les messages pour générer des réponses par IA. Un serveur qui compose la réponse doit d'abord lire le message.

Prévoyez la conservation, les accès et les notifications aux clients avec cela en tête, et consultez notre politique de confidentialité.

Questions fréquentes

Information générale, pas un conseil juridique.

Mon chatbot IA est-il conforme au RGPD ?

Seul un examen de votre propre configuration peut le dire. Vérifiez la base légale par finalité, une information claire sur la confidentialité, un DPA avec chaque sous-traitant, des mesures de sécurité appropriées comme le chiffrement, et des demandes d'effacement qui aboutissent.

Faut-il indiquer aux clients qu'ils parlent à un chatbot IA ?

Dans l'UE, en principe oui. Depuis le 2 août 2026, l'article 50(1) de l'AI Act impose aux systèmes d'IA qui interagissent avec des personnes de le faire savoir dès la première interaction, sauf si c'est évident. Aux États-Unis, le Maine impose une mention lorsqu'un chatbot commercial pourrait faire croire à un consommateur qu'il parle à un humain ; l'Utah impose la mention lorsque le consommateur la demande, et spontanément dans les interactions à haut risque, par exemple celles qui collectent des données de santé ou financières.

L'AI Act européen s'applique-t-il aux chatbots de service client ?

Oui, par les obligations de transparence de l'article 50 pour les systèmes d'IA qui interagissent avec des personnes. Le Digital Omnibus a déplacé les échéances des systèmes à haut risque autonomes relevant de l'annexe III au 2 décembre 2027 et celles de l'annexe I au 2 août 2028. Vérifiez avec votre conseil juridique si votre cas d'usage est à haut risque.

Les lois américaines sur la vie privée s'appliquent-elles à mon chatbot WhatsApp ou Instagram ?

Souvent, oui : État par État plutôt que par une loi fédérale unique. Les transcriptions de conversations rattachées à un numéro de téléphone ou à un identifiant Instagram sont des données personnelles au regard de ces lois, et s'y ajoutent les obligations de transparence des bots ainsi que le consentement TCPA pour le marketing sortant. Voyez la section sur les États-Unis ci-dessus pour les seuils et la question du TCPA restée ouverte.

Faut-il un contrat de sous-traitance avec l'éditeur du chatbot ?

Au regard du RGPD, oui, si le prestataire traite des données personnelles pour votre compte, puisque l'article 28(3) impose un contrat contraignant avec chaque sous-traitant. Vérifiez les sous-traitants ultérieurs, les conditions d'entraînement de l'IA et la suppression à la fin du contrat.

Combien de temps conserver les conversations d'un chatbot au regard du RGPD ?

Il n'y a pas de chiffre unique à recopier. L'approche courante consiste à ne garder les conversations que le temps nécessaire à la finalité annoncée, à indiquer cette durée aux clients dans votre politique de confidentialité, puis à supprimer ou anonymiser les données. Confirmez la durée avec votre conseil juridique.

L'Irak a-t-il une loi de protection des données ?

Pas de loi générale pour le secteur privé, même si un projet de loi existe. L'article 17 de la Constitution de 2005 protège la vie privée des personnes et l'article 40 protège les communications. La région du Kurdistan n'a pas non plus de loi générale : une pratique au niveau du RGPD reste donc une base raisonnable.

Prêt à lancer des réponses automatiques par IA avec des identifiants de canaux chiffrés et des accès d'équipe basés sur les rôles ? Commencer gratuitement.