IA Act européen : obligations des chatbots en service client

1. IA Act Europe : qu’est-ce que le règlement européen sur l’IA ?

A. IA Act : définition du règlement européen sur l’intelligence artificielle

L’IA Act désigne le règlement (UE) 2024/1689, adopté en 2024, qui encadre les systèmes d’intelligence artificielle selon leur niveau de risque. Ce règlement s’applique par vagues successives, avec des obligations qui entrent en vigueur à différents moments. Il constitue le premier cadre juridique complet consacré à l’IA dans l’Union européenne.

En tant que règlement européen, l’IA Act s’applique directement dans tous les États membres. Il concerne les acteurs qui développent, mettent sur le marché ou utilisent des systèmes d’IA, dont les fournisseurs et les déployeurs (les entreprises qui exploitent un système d’IA dans leur activité). Les services client en partie automatisés grâce à l’IA sont donc directement concernés par ce règlement. 

B. Classification des risques : où se situent les chatbots de service client ?

L’IA Act repose sur une approche fondée sur les risques : plus l’usage d’un système d’IA peut porter atteinte à la santé, à la sécurité ou aux droits fondamentaux, plus les exigences sont strictes. Le règlement distingue quatre niveaux de risque :

• les systèmes à risque inacceptable, c’est-à-dire les pratiques interdites, jugées contraires aux valeurs de l’Union, comme la manipulation nuisible ou la notation sociale ; 
• les systèmes à haut risque, listés dans les annexes du règlement et soumis à des exigences renforcées ;
• les systèmes à risque limité, qui interagissent directement avec des personnes et sont soumis à des obligations de transparence ; 
• les systèmes à risque minimal, qui ont le niveau de risque le plus bas avec peu de conséquences. 

Un chatbot de service client relève de la troisième catégorie, puisqu’il échange directement avec les clients. Il est par conséquent soumis à des obligations de transparence, fixées par l’article 50.

La classification dépend de l’usage prévu du système plus que de sa technologie. Un chatbot est évalué selon la mission qui lui est confiée : il peut alors être soumis à des contraintes plus strictes dans certains cas.

C. IA à haut risque : un chatbot de service client peut-il être concerné ?

Les systèmes d’IA à haut risque sont cités dans le règlement. L’annexe III les regroupe en huit domaines : la biométrie, les infrastructures critiques, l’éducation et la formation professionnelle, l’emploi et la gestion des salariés, l’accès aux services essentiels (crédit, assurance, prestations sociales, appels d’urgence), la répression, la migration et le contrôle aux frontières, ainsi que l’administration de la justice et les processus démocratiques.

Le service client ne figure pas en tant que tel dans cette liste : un chatbot qui renseigne sur une offre, suit une commande ou oriente vers un conseiller n’y est pas concerné. Toutefois, le texte est construit selon la finalité du système, et certaines fonctions peuvent alors se rattacher à l’annexe III si le chatbot est destiné à : 

• évaluer la solvabilité d’une personne ;
• évaluer les risques et fixer la tarification en assurance vie ou en assurance maladie ;
• reconnaître les émotions d’une personne, par exemple à partir de sa voix ou de son visage ;
• suivre et évaluer les performances ou le comportement de salariés, comme les conseillers du service client.

Si l’un des systèmes relevant de l’annexe III n’a pas d’influence directe dans une décision, il peut ne pas être considéré comme un système à haut risque. Cette exception ne joue cependant pas si le système réalise du profilage de personnes. C’est donc à la charge de l’entreprise de vérifier, au regard de la finalité réelle de son chatbot, si l’une de ces situations s’y applique.

2. IA Act chatbot : quelles obligations pour le service client ?

A. Obligation de transparence IA : informer le client qu’il échange avec une IA

L’article 50 de l’IA Act prévoit que les personnes interagissant avec un système d’IA en soient informées. Cette obligation est applicable depuis le 2 août 2026. Cependant, elle ne s’impose pas si les circonstances et le contexte d’utilisation permettent de déduire rapidement que l’interlocuteur est un système d’IA. Cette exception se place du point de vue d’une personne normalement informée, raisonnablement attentive et avisée. 

En service client, cette singularité doit être traitée avec vigilance : elle dépend de la perception du client, et un assistant doté d’un prénom, d’un ton conversationnel ou d’un avatar peut être pris pour un conseiller. Informer systématiquement le client reste donc la pratique la plus sûre.

L’information doit être claire, donnée au plus tard lors de la première interaction, et ne pas être simplement mentionnée dans les conditions générales d’utilisation. Voici quelques exemples de mentions claires :

• un message d’accueil, tel que « Bonjour, je suis un assistant virtuel fonctionnant grâce à l’intelligence artificielle » ;
• un libellé affiché en permanence dans l’en-tête de la fenêtre de discussion, par exemple « Assistant IA » ;
• un texte accompagné d’un lien vers une page expliquant le rôle et les limites de l’assistant.

B. Éditeur ou entreprise utilisatrice : qui porte les obligations de l’IA Act ?

L’IA Act répartit les obligations selon le rôle de chaque acteur. Le fournisseur développe un système d’IA (ou le fait développer) puis le met sur le marché ou en service sous son nom ou sa marque. Le déployeur utilise un système d’IA sous sa propre autorité, dans le cadre d’une activité professionnelle. Pour un chatbot de service client, l’éditeur de la solution est en principe le fournisseur, et l’entreprise qui s’en sert auprès de ses clients est le déployeur.

L’article 50 attribue ces obligations de la manière suivante :

• le fournisseur doit concevoir le chatbot de façon à informer la personne qu’elle échange avec une IA, et prévoir le marquage des contenus générés par l’IA ;
• le déployeur doit informer les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique, et signaler, dans certains cas, les contenus de type hypertrucage ainsi que les textes générés par l’IA publiés pour informer le public.

Cette obligation pèse donc d’abord sur l’éditeur. L’entreprise utilisatrice reste cependant concernée, puisqu’elle choisit l’outil et le paramétrage avant de l’exposer à ses clients. Il lui revient ainsi de vérifier que la mention d’information est effectivement présente, qu’elle s’affiche sur chacun des canaux utilisés, et de faire préciser les garanties dans le contrat avec l’éditeur. Elle est aussi directement visée si elle utilise un outil de reconnaissance des émotions, et elle est soumise à d’autres obligations (contenus générés, obligations RGPD…). 

Ces rôles ne sont pas figés et évoluent selon l’usage qui est fait de l’IA. Par exemple, une entreprise qui développe un chatbot en interne et l’utilise sous son nom est elle-même fournisseur, et est donc soumise aux obligations correspondantes. 

C. Maîtrise de l’IA, contenus générés, RGPD : les autres obligations IA Act des entreprises

L’IA Act impose une obligation de maîtrise de l’IA. Applicable depuis le 2 février 2025, l’article 4 demande aux entreprises qui fournissent ou utilisent des systèmes d’IA de prendre des mesures pour favoriser la maîtrise d’un niveau suffisant de l’IA par leur personnel. En revanche, aucun niveau précis n’est requis par le règlement. En service client, cela concerne les conseillers, les superviseurs et les équipes qui paramètrent ou pilotent le chatbot. Une formation dédiée à la maîtrise d’un logiciel client mobilisant l’IA peut être pertinente pour favoriser cette maîtrise.

Les fournisseurs de systèmes d’IA générative doivent par ailleurs marquer les contenus générés (audio, image, vidéo ou texte) afin qu’ils soient détectables comme produits ou modifiés par une IA. Ce marquage technique, réalisé par exemple par un filigrane, se distingue de la mention visible destinée au client. Il concerne les chatbots reposant sur l’IA générative, puisqu’ils produisent du texte, et incombe d’abord à l’éditeur. Pour les systèmes mis sur le marché avant le 2 août 2026, un délai transitoire qui prend fin le 2 décembre 2026 s’applique pour marquer les contenus générés ou modifiés par IA. 

Enfin, l’IA Act ne remplace pas le RGPD : les deux textes s’appliquent en parallèle dès que le chatbot traite des données personnelles, ce qui est fréquent en service client. L’entreprise doit donc continuer à suivre les consignes et obligations RGPD tout en les appliquant à l’utilisation d’un système d’IA.

3. Conformité IA Act : comment mettre son chatbot de service client en règle ?

A. IA Act calendrier : quelles dates retenir pour le service client ?

L’application de l’IA Act s’étale sur plusieurs années. Voici les principales échéances, dans l’ordre chronologique :

Pour un service client, les deux dates qui comptent le plus sont déjà passées : février 2025 pour la maîtrise de l’IA et août 2026 pour la transparence. Les échéances de 2027 et de 2028 concernent le haut risque, qui ne touche un chatbot que s’il remplit l’une des fonctions de l’annexe III. Les obligations déjà applicables doivent donc être traitées sans attendre.

B. Chatbot conforme à l’IA Act : les étapes à suivre

La mise en conformité d’un chatbot de service client s’organise en six étapes :

1. Faire l’inventaire des systèmes d’IA utilisés dans le service client (chatbot, agent vocal, outils d’aide à la réponse ou d’analyse des échanges), en précisant pour chacun l’éditeur et le rôle de l’entreprise, c’est-à-dire fournisseur ou déployeur ; 
2. Classer chaque système par niveau de risque, d’après sa finalité et en vérifiant en priorité les fonctions de l’annexe III ; 
3. Afficher la mention de transparence dès le début de la conversation, sur chacun des canaux utilisés, en s’assurant auprès de l’éditeur que la solution prévoit cette mention systématiquement ; 
4. Prévoir le transfert vers un conseiller humain, avec l’historique de la conversation. Ce n’est pas une exigence de l’IA Act, mais une bonne pratique : le client n’a pas à répéter sa demande, et une intervention humaine reste possible lorsqu’une décision est prise de manière automatisée.  Outre l’accessibilité facile à un conseiller humain, cette prise en charge répond aux exigences du RGPD en cas de décision automatisée ; 
5. Documenter la démarche : inventaire des systèmes, classification retenue, mention affichée, garanties apportées par l’éditeur et formations réalisées. Ces éléments permettent de démontrer sa conformité en cas de contrôle ; 
6. Former les équipes à l’usage du chatbot, à ses limites et aux situations où le conseiller doit reprendre la main. 

Un logiciel de service client qui centralise les canaux et conserve l’historique des échanges facilite la mise en conformité. 

C. Sanctions IA Act : que risque une entreprise non conforme ?

Une entreprise qui ne respecte pas l’article 50 s’expose à une amende pouvant atteindre 15 millions d’euros ou 3 % de son chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. L’article 99 du règlement organise les sanctions en trois paliers, selon la gravité du manquement :

Ces montants sont des plafonds, pas des amendes systématiques. L’autorité fixe la sanction selon la nature, la gravité et la durée du manquement, son caractère intentionnel ou négligent, et la coopération de l’entreprise. Les PME bénéficient d’une règle inversée : le montant le plus faible s’applique. L’amende n’est pas non plus le seul levier, puisque l’autorité peut aussi exiger une mise en conformité, restreindre ou retirer un système d’IA.

FAQ : IA Act et chatbots

A. Un chatbot à arbre de décision, sans IA générative, est-il concerné par l’IA Act ?

En principe, non. Le règlement définit un système d’IA comme un système capable de déduire à partir des données reçues, et de produire des résultats (prédictions, contenus, recommandations ou décisions). Il exclut les systèmes qui appliquent uniquement des règles définies par des personnes, ce qui inclut donc les chatbots à arbre de décision. En revanche, s’il s’appuie sur l’apprentissage automatique pour comprendre les messages libres des clients, le chatbot peut être considéré comme un système d’IA. Dans les deux cas, le RGPD continue de s’appliquer dès qu’il traite des données personnelles.

B. Quelle autorité contrôle l’application de l’IA Act en France ?

Chaque État membre doit désigner ses autorités nationales. La France répartit le contrôle entre plusieurs autorités selon leur secteur. La CNIL surveille les systèmes impliquant le traitement de données personnelles ; l’ANSSI cadre ce qui concerne la cybersécurité ; l’ARCOM pour les contenus numériques et audiovisuels, ou encore la DGCCRF pour les pratiques interdites et certains produits de consommation. Il en existe d’autres selon l’industrie concernée. Toute personne estimant que l’IA Act est enfreint peut déposer une réclamation auprès de l’autorité de surveillance du marché concernée.  

C. Un callbot ou un agent vocal est-il soumis aux mêmes obligations qu’un chatbot ?

Oui, majoritairement. L’article 50 s’applique à tout système d’IA qui interagit directement avec une personne, quel que soit le canal. Pour un callbot, la mention de transparence doit donc être enoncée à l’oral dès le début de l’appel, par exemple dans le message d’accueil. Si le callbot analyse les émotions de l’appelant, une information spécifique est également requise.