Tidio et le RGPD / AI Act : le chatbot des PME et e-commerçants, encadré

Présentation de Tidio AI

Tidio est une plateforme polonaise de live chat et de chatbot. Son IA (Lyro) répond automatiquement aux questions des clients, notamment en e-commerce.

Les données personnelles traitées

Tidio traite les conversations (identité, coordonnées, historique d'achat) et les données de compte. Éditeur européen : hébergement dans l'UE selon l'offre, à confirmer.

Quels risques pour votre entreprise ?

Transparence du chatbot, données clients en contexte d'achat et supervision des réponses sont les principaux risques, avec la fréquente adoption « par le bas » (PME).

Les principaux risques RGPD

• Transparence obligatoire : un chatbot ou agent IA doit indiquer explicitement à l'utilisateur qu'il échange avec une IA (article 50 de l'AI Act). Une escalade vers un conseiller humain doit rester possible.
• Données clients en contexte d'achat (coordonnées, historique).
• Réponses automatiques non supervisées.
• Hébergement et sous-traitants à vérifier ; DPA.

Les obligations RGPD

1. Afficher l'usage d'un chatbot IA ; escalade humaine.
2. Confirmer l'hébergement UE et le DPA ; minimiser.
3. Superviser les réponses ; définir la conservation.
4. Inscrire au registre ; AIPD si traitement à risque.
5. Impliquer le DPO ; former les équipes.

Les obligations AI Act

Obligation centrale : la transparence (article 50, applicable au 2 août 2026). Un chatbot ou un agent IA doit informer clairement la personne qu'elle interagit avec une intelligence artificielle, et non avec un humain. Les contenus générés doivent, le cas échéant, être signalés. Les modèles mobilisés sont des GPAI (obligations fournisseurs depuis le 2 août 2025) et la littératie IA des équipes est requise (article 4, depuis le 2 février 2025). Un usage d'IA pour évaluer ou décider au sujet de personnes (par exemple prioriser des clients avec effet significatif) peut, selon le cas, relever de la décision automatisée (article 22 RGPD).

Les principaux risques AI Act

• Chatbot ne signalant pas qu'il est une IA (article 50).
• Réponses non supervisées.
• Absence de gouvernance.

Les risques cybersécurité

• Données clients (e-commerce).
• Prompt injection.
• Accès à cloisonner.
• NIS 2 selon la taille.

Les bonnes pratiques

• Exploiter l'ancrage européen ; transparence + escalade.
• Minimisation ; supervision ; conservation définie.
• Charte IA, registre, formation.

Checklist de conformité

• ☐ Transparence chatbot (article 50)
• ☐ Hébergement UE + DPA confirmés
• ☐ Minimisation des données
• ☐ Réponses supervisées
• ☐ Escalade humaine
• ☐ Usage au registre
• ☐ AIPD si traitement à risque
• ☐ Conservation définie
• ☐ Équipes formées

Les sanctions possibles

Les régimes se cumulent. RGPD : jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial. AI Act : jusqu'à 35 M€ ou 7 % pour les pratiques interdites, 15 M€ ou 3 % pour un manquement à la transparence (article 50) ou aux obligations des fournisseurs GPAI, 7,5 M€ ou 1 % pour des informations inexactes aux autorités. La responsabilité de responsable de traitement demeure celle de l'entreprise utilisatrice, quelles que soient les garanties de l'éditeur.

Conclusion & recommandations d'expert

Tidio est un chatbot accessible et européen, adapté aux PME. Assurez la transparence, minimisez, supervisez et confirmez l'hébergement. Une charte IA et la formation des équipes évitent les dérives d'un usage adopté rapidement.