Réponse courte
L’utilisateur doit savoir qu’il parle à une IA dès le premier contact
L’article 50 de l’AI Act impose aux fournisseurs de concevoir les systèmes d’interaction directe pour informer les personnes qu’elles parlent à une IA, sauf si cela est évident. Le propriétaire du site doit aussi vérifier ses propres obligations de déployeur et de responsable du traitement.
Quand et comment signaler qu’il s’agit d’un chatbot IA
L’information doit être claire, visible et accessible au plus tard lors de la première interaction. Un libellé comme « assistant IA » placé dans l’en-tête du chat et une phrase courte avant la zone de saisie sont plus solides qu’une mention perdue dans les conditions générales.
L’obligation vise l’interaction directe avec un système d’IA. Elle n’est pas une règle générale disant que tout site construit avec une IA doit porter une étiquette. Les contenus synthétiques, deepfakes et certains textes d’intérêt public suivent d’autres paragraphes et exceptions de l’article 50.
Le RGPD continue derrière la fenêtre de chat
La GBA belge rappelle que la saisie libre rend difficile de prévoir toutes les données envoyées. Il faut limiter ce qui est demandé, avertir de ne pas partager d’information sensible inutile, définir les finalités, destinataires et durées, puis prévoir accès et suppression.
- Avant saisie : identité de l’IA, usage des messages, avertissement utile et lien vers l’information détaillée.
- Pendant : minimisation, détection des secrets évidents, relais humain et absence de promesse trompeuse.
- Après : conservation documentée, droits, suppression, journaux et contrôle des prestataires.
Le plafond AI Act n’est pas la facture d’un petit site
L’article 99 prévoit pour certaines violations des obligations d’opérateur, dont l’article 50, jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial. Pour les PME et start-up, le plafond applicable est le plus bas des deux montants. Nature, gravité, durée, responsabilité, coopération et corrections restent examinées.
Ce chiffre n’a de sens que si le système, le rôle et l’obligation sont réellement dans le champ. Le présenter comme une amende automatique pour chaque chatbot serait faux.
Ce que Hebora teste sur le chatbot publié
- Premier contact. Libellé IA, emplacement, lisibilité, accessibilité et cohérence sur mobile.
- Flux. Messages, fichiers, métadonnées, prestataires, région, journaux et clés exposées.
- Parcours à risque. Données sensibles, demande de suppression, hallucination, incident et passage à un humain.
- Livraison. Captures, inventaire des flux, durée configurée, corrections techniques et questions à remettre au DPO ou juriste.
Sources officielles vérifiées
- EUR-Lex — règlement européen sur l’intelligence artificielle, articles 50 et 99
- EUR-Lex — règlement (UE) 2026/1744, Omnibus numérique sur l’IA
- Commission européenne — lignes directrices sur les obligations de transparence de l’AI Act
- SPF Économie — vous utilisez l’IA dans votre entreprise
- Autorité de protection des données — chatbots, innovation et protection des données
- EUR-Lex — règlement général sur la protection des données (RGPD)
Sources consultées le 15 août 2026.