Mentions légales d'un site avec chatbot : ce qui change

Les mentions légales classiques du site ne changent pas : éditeur, hébergeur et directeur de la publication restent les mêmes. Ce qu'un chatbot ajoute, ce sont trois éléments. D'abord une information claire : le visiteur échange avec une IA. Ensuite une mise en garde, avant usage, sur les données sensibles. Enfin une politique de confidentialité complétée, qui décrit ce que deviennent les conversations. Sans oublier les cookies du widget, traités à part dans la page sur les cookies du chatbot.

Cette page donne une information générale, tirée des textes officiels. La rédaction finale relève du client, éditeur du site, et en cas de doute d'un juriste ou d'un avocat. Votre rôle de créateur du site est de prévoir les emplacements et de signaler ce qui manque.

Ce qui ne change pas : les mentions d'identification

La fiche officielle du site entreprendre.service-public.gouv.fr (vérifiée le 13/10/2026) liste ce que tout site d'entreprise doit afficher :

• l'identité de l'entreprise : dénomination, forme juridique, capital, siège, adresse électronique, téléphone pour une société ; nom et prénom avec la mention « entrepreneur individuel » ou « EI » pour une entreprise individuelle ; numéro d'immatriculation ; numéro de TVA lorsqu'il est applicable ;
• l'hébergeur du site : nom ou dénomination, adresse et téléphone ;
• le directeur de la publication.

Le chatbot n'ajoute rien à cette liste. Une question à se poser tout de même : la fenêtre de chat est-elle hébergée par l'éditeur de l'outil, sur ses serveurs ? Ce n'est pas l'hébergeur du site, mais c'est un destinataire des données, qui doit apparaître dans la politique de confidentialité.

Ce qui change 1 : dire qu'il s'agit d'une IA

Le règlement (UE) 2024/1689 sur l'intelligence artificielle contient, à son article 50, une obligation de transparence :

• paragraphe 1 : les systèmes d'IA destinés à interagir directement avec des personnes physiques doivent être conçus pour que ces personnes soient informées qu'elles interagissent avec une IA, sauf si c'est évident pour une personne raisonnablement attentive ;
• paragraphe 5 : l'information doit être fournie « de manière claire », « au plus tard au moment de la première interaction », et respecter les exigences d'accessibilité.

Cet article s'applique depuis le 02/08/2026.

Le paragraphe 1 vise d'abord les fournisseurs, c'est-à-dire ceux qui conçoivent le système. La répartition exacte des rôles entre l'éditeur de l'outil, vous et votre client est une question juridique à faire trancher. En pratique, le plus sûr est que l'information figure dans l'interface elle-même, dès l'ouverture.

Exemple de message d'accueil, à adapter et à faire valider par le client :

Bonjour, je suis l'assistant automatique de [nom de l'entreprise]. Je suis une intelligence artificielle : mes réponses peuvent contenir des erreurs. Pour parler à une personne, écrivez « conseiller » ou appelez le [numéro].

Ce message doit être du texte, lisible par un lecteur d'écran, et non une image (voir les tests d'accessibilité).

Ce qui change 2 : la mise en garde sur les données sensibles

Dans ses conseils sur les chatbots, la CNIL traite le cas où des visiteurs écrivent spontanément des données sensibles (santé, opinions, etc.) dans un champ libre. Le consentement préalable n'est alors pas exigé, mais deux mesures sont attendues :

• afficher, avant toute utilisation, « une mise en garde invitant les personnes à s'abstenir de communiquer des données sensibles » ;
• mettre en place un « système de purge, immédiat ou au moins régulier ».

La mise en garde peut tenir en une phrase sous le message d'accueil. La purge se règle dans l'outil du chatbot : vérifiez qu'elle existe avant de choisir l'outil.

Si le chatbot doit, par sa fonction même, recueillir des données sensibles (un assistant pour un cabinet de santé, par exemple), le cadre est plus strict : la CNIL renvoie aux exceptions de l'article 9 du RGPD (règlement général sur la protection des données) et à une éventuelle analyse d'impact. C'est le moment de faire intervenir un juriste.

La CNIL rappelle aussi qu'une conversation avec un chatbot, sans intervention humaine, ne peut à elle seule conduire à des décisions importantes pour la personne.

Ce qui change 3 : la politique de confidentialité

La fiche officielle demande une politique de protection des données accessible depuis chaque page, distincte des conditions générales. Elle doit notamment indiquer : le responsable du traitement, les données collectées, les finalités, la base légale, les destinataires, la durée de conservation, les droits des personnes et la façon de les exercer, la possibilité de saisir la CNIL, et les éventuels transferts hors de l'Union européenne.

Avec un chatbot, chaque rubrique demande une ligne de plus. Voici les questions à poser au client et à l'éditeur de l'outil :

L'analyse de fond (sous-traitance, contrats, transferts) dépasse la mise en page du site : elle se traite entre le client, l'éditeur de l'outil et leurs conseils.

Les sanctions, pour mesurer l'enjeu

La même fiche officielle cite, entre autres : jusqu'à 375 000 € pour une société et 75 000 € pour une entreprise individuelle en cas de défaut des mentions d'identification ou d'hébergeur, et 1 500 € pour un défaut d'information sur les données personnelles.

Liste de contrôle pour la mise en ligne

1. Message d'accueil qui signale l'IA, visible dès l'ouverture, en texte.
2. Mise en garde sur les données sensibles avant le premier message.
3. Purge des conversations réglée dans l'outil.
4. Politique de confidentialité complétée et validée par le client.
5. Cookies du widget recensés, lien « Gérer mes cookies » sur toutes les pages.
6. Moyen de joindre un humain indiqué dans le chatbot.

Ces textes vivent avec le site : à relire quand l'outil change ou quand le client ajoute une fonction (prise de rendez-vous, collecte de coordonnées). Voir le chatbot dans le contrat de maintenance.