Drift et le RGPD / AI Act : le chatbot marketing entre conversion et conformité

Présentation de Drift AI

Drift est une plateforme américaine de « conversational marketing » : un chatbot engage les visiteurs du site, qualifie les prospects et prend des rendez-vous.

Les données personnelles traitées

Drift traite les conversations, les données de prospects (identité, e-mail, entreprise) et les données de navigation. Éditeur américain : exposition au CLOUD Act.

Quels risques pour votre entreprise ?

Transparence du chatbot, captation de leads (base légale, prospection), transferts hors UE et qualification automatique des visiteurs sont les principaux risques.

Les principaux risques RGPD

• Transparence obligatoire : un chatbot ou agent IA doit indiquer explicitement à l'utilisateur qu'il échange avec une IA (article 50 de l'AI Act). Une escalade vers un conseiller humain doit rester possible.
• Captation de leads : base légale et information ; prospection (consentement e-mail).
• Transfert hors UE (CLOUD Act) ; SCC.
• Qualification/scoring des visiteurs : profilage à encadrer.

Les obligations RGPD

1. Afficher l'usage du chatbot IA ; escalade humaine.
2. Documenter la base légale de la captation ; respecter la prospection.
3. Signer le DPA ; encadrer les transferts (SCC).
4. Inscrire au registre ; AIPD si profilage à risque.
5. Impliquer le DPO ; former les équipes.

Les obligations AI Act

Obligation centrale : la transparence (article 50, applicable au 2 août 2026). Un chatbot ou un agent IA doit informer clairement la personne qu'elle interagit avec une intelligence artificielle, et non avec un humain. Les contenus générés doivent, le cas échéant, être signalés. Les modèles mobilisés sont des GPAI (obligations fournisseurs depuis le 2 août 2025) et la littératie IA des équipes est requise (article 4, depuis le 2 février 2025). Un usage d'IA pour évaluer ou décider au sujet de personnes (par exemple prioriser des clients avec effet significatif) peut, selon le cas, relever de la décision automatisée (article 22 RGPD).

Les principaux risques AI Act

• Chatbot ne signalant pas qu'il est une IA (article 50).
• Qualification non transparente.
• Absence de gouvernance des usages IA.

Les risques cybersécurité

• Données de prospects captées.
• Transfert hors UE.
• Accès à cloisonner.
• NIS 2 selon la taille.

Les bonnes pratiques

• Transparence + escalade ; base légale documentée ; respect de la prospection.
• Encadrer les transferts (SCC) ; superviser la qualification.
• Charte IA, registre, formation.

Checklist de conformité

• ☐ Transparence chatbot (article 50)
• ☐ Base légale de captation documentée
• ☐ Consentement e-mail (prospection)
• ☐ DPA + transferts encadrés (SCC)
• ☐ Qualification supervisée
• ☐ Usage au registre
• ☐ AIPD si profilage à risque
• ☐ Escalade humaine
• ☐ Équipes formées

Les sanctions possibles

Les régimes se cumulent. RGPD : jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial. AI Act : jusqu'à 35 M€ ou 7 % pour les pratiques interdites, 15 M€ ou 3 % pour un manquement à la transparence (article 50) ou aux obligations des fournisseurs GPAI, 7,5 M€ ou 1 % pour des informations inexactes aux autorités. La responsabilité de responsable de traitement demeure celle de l'entreprise utilisatrice, quelles que soient les garanties de l'éditeur.

Conclusion & recommandations d'expert

Drift est efficace pour convertir, mais capte des données de prospects hors UE : transparence, base légale, respect de la prospection et encadrement des transferts sont la base. Supervisez la qualification et documentez. Formez vos équipes marketing.