Crisp et le RGPD / AI Act : le support client augmenté à l'ancrage européen

Présentation de Crisp AI

Crisp est une plateforme française de messagerie et de support client (chat, boîte partagée, base de connaissances). Ses fonctions d'IA proposent chatbot, suggestions de réponses et résumés de conversations.

Les données personnelles traitées

Crisp traite le contenu des conversations et des tickets (identité, coordonnées, historique, parfois données sensibles évoquées par les clients) et les données de compte. Éditeur français : hébergement en Europe, ce qui écarte l'exposition au CLOUD Act pour les traitements concernés.

Quels risques pour votre entreprise ?

Le risque n°1 est la transparence : le chatbot doit indiquer qu'il s'agit d'une IA. Viennent ensuite le traitement de données parfois sensibles et la supervision des réponses automatiques.

Les principaux risques RGPD

• Transparence obligatoire : un chatbot ou agent IA doit indiquer explicitement à l'utilisateur qu'il échange avec une IA (article 50 de l'AI Act). Une escalade vers un conseiller humain doit rester possible.
• Données sensibles éventuelles dans les conversations.
• Réponses automatiques non supervisées.
• Information et droits des personnes ; sous-traitance (DPA).

Les obligations RGPD

1. Afficher clairement l'usage d'un agent IA ; prévoir l'escalade humaine.
2. Confirmer l'hébergement UE et le DPA ; minimiser les données.
3. Superviser les réponses sensibles ; définir les durées de conservation.
4. Inscrire au registre ; AIPD si traitement à risque.
5. Impliquer le DPO ; former les équipes.

Les obligations AI Act

Obligation centrale : la transparence (article 50, applicable au 2 août 2026). Un chatbot ou un agent IA doit informer clairement la personne qu'elle interagit avec une intelligence artificielle, et non avec un humain. Les contenus générés doivent, le cas échéant, être signalés. Les modèles mobilisés sont des GPAI (obligations fournisseurs depuis le 2 août 2025) et la littératie IA des équipes est requise (article 4, depuis le 2 février 2025).

Les principaux risques AI Act

• Chatbot ne signalant pas qu'il est une IA (article 50).
• Réponses non supervisées.
• Absence de gouvernance des usages IA.

Les risques cybersécurité

• Conversations contenant des données sensibles.
• Accès aux tickets à cloisonner.
• Prompt injection via messages entrants.
• NIS 2 selon la taille.

Les bonnes pratiques

• Exploiter l'ancrage européen ; transparence du chatbot + escalade humaine.
• Minimiser les données ; superviser les réponses sensibles.
• Conservation maîtrisée ; charte IA.
• Registre, formation.

Checklist de conformité

• ☐ Transparence chatbot (article 50) affichée
• ☐ Escalade humaine possible
• ☐ Hébergement UE + DPA confirmés
• ☐ Minimisation des données de conversation
• ☐ Réponses sensibles supervisées
• ☐ Usage au registre
• ☐ AIPD si traitement à risque
• ☐ Conservation définie
• ☐ Équipes formées

Les sanctions possibles

Les régimes se cumulent. RGPD : jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial. AI Act : jusqu'à 35 M€ ou 7 % pour les pratiques interdites, 15 M€ ou 3 % pour un manquement à la transparence (article 50) ou aux obligations des fournisseurs GPAI, 7,5 M€ ou 1 % pour des informations inexactes aux autorités.

Conclusion & recommandations d'expert

Crisp est un choix pertinent côté souveraineté pour le support augmenté. L'essentiel se joue sur la transparence du chatbot, la minimisation et la supervision des réponses. Documentez, informez et formez : l'ancrage européen aide, mais la conformité reste votre responsabilité.