Un chatbot IA sur votre site reçoit les questions de vos visiteurs. Ces questions contiennent parfois un nom, une adresse e-mail, un numéro de téléphone, ou des informations sur leur situation. Vous restez responsable de ces données vis-à-vis de vos visiteurs : le choix du fournisseur compte.
Voici huit points à vérifier avant de l’installer. Ils ne remplacent pas l’avis de votre délégué à la protection des données, mais ils couvrent l’essentiel.
1. Où les données sont-elles traitées ?
Deux lieux comptent : l’hébergement du service (vos contenus, les questions, les statistiques) et le modèle d’IA qui rédige les réponses. Un service hébergé en Europe peut très bien envoyer chaque question à un modèle d’IA situé aux États-Unis. Demandez où se trouvent les deux, et s’il y a des transferts hors de l’Union européenne.
2. Existe-t-il un accord de traitement des données ?
Le fournisseur traite des données pour votre compte : il est votre sous-traitant au sens du RGPD, et l’article 28 impose un contrat entre vous. Vérifiez qu’un accord de traitement des données existe, qu’il s’applique à votre formule, et ce qu’il prévoit en cas de fuite de données.
3. Qui sont ses propres sous-traitants ?
Hébergeur, fournisseur du modèle d’IA, outil de connexion, prestataire de paiement : le fournisseur s’appuie lui-même sur d’autres sociétés. Une liste publique, avec le rôle et la localisation de chacune, est un bon signe de transparence.
4. Vos contenus et les questions servent-ils à entraîner l’IA ?
Certains services utilisent les échanges pour améliorer leurs modèles. Demandez si l’entraînement est désactivé, et combien de temps le fournisseur du modèle garde les échanges, par exemple pour détecter les abus.
5. Le chat dépose-t-il des cookies ?
Un chat qui dépose des cookies de suivi ou de mesure d’audience chez vos visiteurs peut vous obliger à recueillir leur consentement, et à compléter votre bandeau de cookies. Un chat sans cookie vous évite cette question.
6. Que deviennent les données personnelles écrites dans les questions ?
Les visiteurs écrivent parfois leur e-mail ou leur numéro de téléphone dans le chat. Un bon outil les masque avant de les enregistrer. Même chose pour les adresses IP : il n’y a aucune raison de les garder en clair.
7. Combien de temps les données sont-elles conservées ?
Questions, réponses, adresses IP, statistiques : chaque donnée doit avoir une durée de conservation, et être effacée automatiquement ensuite. Méfiez-vous d’un « tant que le compte existe » sans autre précision.
8. Pouvez-vous répondre aux demandes de vos visiteurs ?
Un visiteur peut vous demander d’effacer ses données. Vérifiez que l’outil permet de retrouver et d’effacer ses questions. Pensez aussi à l’information : votre politique de confidentialité doit mentionner le chat, et le règlement européen sur l’IA demande que les visiteurs sachent qu’ils échangent avec une IA.
Et DigiSeer ?
Nous avons construit DigiSeer, notre extension (plugin) WordPress, avec cette liste en tête :
- réponses rédigées par Mistral AI, une IA française, dans l’Union européenne, et données hébergées en France chez Scaleway ;
- un accord de traitement des données pour chaque formule, et la liste des sous-traitants publiée ;
- entraînement désactivé : vos contenus et les questions ne servent pas à entraîner de modèle ;
- aucun cookie chez vos visiteurs, adresses IP jamais enregistrées en clair, e-mails et numéros masqués dans les questions ;
- réponses effacées au bout de 12 mois, effacement des données d’un visiteur à sa demande depuis le tableau de bord ;
- mention « Réponses générées par une IA » sous le chat.
Le détail, donnée par donnée : sécurité et confidentialité, et l’accord de traitement des données.