Aux Pays-Bas, le déploiement d'un chatbot relève de trois corpus juridiques : le droit d'auteur (la loi néerlandaise sur le droit d'auteur et les directives européennes sur le droit d'auteur), la protection des données (le RGPD) et le règlement (UE) 2024/1689 relatif à l'intelligence artificielle. Chacun de ces régimes impose des obligations à l'organisation qui met le chatbot à disposition des utilisateurs, et non uniquement au développeur qui l'a créé. Chatbots, droit d'auteur et conformité ne forment donc qu'un seul et même sujet. Le travail commence par une description écrite des fonctionnalités du chatbot, des données utilisées pour son entraînement et des décisions qu'il est autorisé à prendre de manière autonome.
Les trois régimes juridiques qui s'appliquent à chaque chatbot
Il n'existe pas de loi unique sur l'IA aux Pays-Bas. On trouve plutôt un ensemble de règles, pour la plupart rédigées avant que l'IA générative ne devienne courante, ainsi qu'une réglementation spécifique. Concrètement, pour une entreprise néerlandaise, cela signifie qu'il est impossible de déterminer la légalité de son chatbot en se basant sur un seul texte. Il faut soumettre le même système à trois tests distincts, et la réussite d'un test ne préjuge en rien des autres.
Le droit d'auteur protège les éléments ayant servi à la création du modèle et ceux qui en résultent. La loi néerlandaise sur le droit d'auteur (Auteurswet), telle que modifiée pour transposer la directive DSM, prévoit une exception spécifique pour l'exploration de textes et de données ; cette exception est au cœur de la plupart des débats relatifs aux données d'entraînement. La protection des données encadre toutes les informations que le chatbot recueille sur l'utilisateur, et le RGPD s'applique pleinement dès lors qu'une conversation permet d'identifier une personne. La loi sur l'intelligence artificielle (AI Act) régit le système lui-même : ses finalités, les informations à divulguer, la documentation requise et les personnes habilitées à le désactiver.
Ces trois régimes ont des superviseurs, des sanctions et des échéanciers différents. Cela a des conséquences importantes. Un chatbot parfaitement respectueux de la vie privée peut néanmoins être illégal s'il a été entraîné à partir de données collectées illégalement et ayant fait l'objet d'une désactivation valide. De même, un chatbot dont la traçabilité des données est irréprochable peut enfreindre la loi sur l'IA s'il n'indique jamais à l'utilisateur qu'il s'agit d'une machine.
Ce que chaque régime vous demande concrètement
En résumé, chacune de ces trois réglementations pose une question différente. La réglementation sur le droit d'auteur examine si vous disposiez d'une autorisation ou d'une exception légale pour chaque reproduction. La réglementation sur la protection des données examine si vous aviez une base légale au sens de l'article 6 du RGPD, si vous avez informé la personne concernée de vos actions et si vous n'avez collecté que les données nécessaires. La réglementation sur l'intelligence artificielle examine le niveau de risque du système et vérifie si les obligations qui y sont liées ont été respectées et documentées.
Répondre par écrit à ces trois questions, avant tout déploiement, permet de transformer un projet d'IA, source de risques incertains, en un projet maîtrisable. C'est également, en pratique, le premier document que demandera un organisme de réglementation.
Principaux défis juridiques pour les chatbots IA aux Pays-Bas
| Domaine juridique | Principale préoccupation | Règles de gouvernance |
|---|---|---|
| Protection des données | Le traitement des données conversationnelles sans base légale, ou leur conservation plus longtemps que nécessaire. | RGPD, supervisé par l'Autoriteit Persoonsgegevens |
| Droits d'auteur | Reproduction d'œuvres protégées lors de la formation et productions reproduisant une œuvre protégée sous une forme reconnaissable. | Auteurswet, en particulier les exceptions relatives à l'exploration de textes et de données prévues aux articles 15n et 15o |
| Transparence | Les utilisateurs ne sont pas informés qu'ils interagissent avec une machine, ou les résultats synthétiques ne sont pas signalés comme tels. | L'article 50 de la loi sur l'IA, qui s'applique déjà |
| Responsabilité relative aux résultats | Qui répond aux demandes de conseils, de déclarations ou de décisions produites par le chatbot ? | Droit civil néerlandais général : contrats, délits (article 6:162 BW) et responsabilité du fait des produits. |
La quatrième ligne mérite une mise en garde, car c'est celle qui est le plus souvent mal interprétée. La Commission européenne a retiré sa proposition de directive sur la responsabilité en matière d'IA ; par conséquent, aucun régime européen harmonisé de responsabilité pour les dommages causés par l'IA n'est prévu. Les litiges relatifs à une réponse erronée d'un chatbot seront tranchés selon le droit civil néerlandais : le contrat conclu avec le client, l'obligation générale de diligence prévue à l'article 6:162 du Code civil néerlandais (BW) et les règles révisées en matière de responsabilité du fait des produits. Nous expliquons en détail comment cela fonctionne concrètement dans notre article sur la responsabilité pour les erreurs dans les contenus générés par l'IA.
Droits d'auteur et données sur lesquelles votre modèle a été entraîné
L'entraînement d'un modèle de langage de grande taille implique la copie à grande échelle d'œuvres protégées. En droit néerlandais, cette copie constitue une reproduction au sens de la loi sur le droit d'auteur (Auteurswet) et est illégale sauf autorisation du titulaire des droits ou en cas d'exception légale. Il n'existe pas d'équivalent néerlandais ou européen à la doctrine américaine du « fair use » (usage loyal), et les arguments empruntés à la jurisprudence américaine ne sont pas transposables devant les tribunaux néerlandais.
L'exception pertinente concerne l'exploration de textes et de données. L'article 15n de la loi sur les droits d'auteur (Auteurswet) autorise les organismes de recherche et les institutions patrimoniales à explorer les œuvres auxquelles ils ont un accès légal, à des fins de recherche scientifique. L'article 15o, plus général, autorise toute personne à effectuer une exploration de textes et de données sur des œuvres légalement accessibles, à condition que le titulaire des droits ne s'y soit pas expressément opposé. Cette exclusion, communément appelée « opt-out » (refus d'exploration de textes et de données), doit être effectuée de manière appropriée et, pour les documents publiés en ligne, elle doit être lisible par machine.
En pratique, cela se traduit par un test en deux étapes : le formateur avait-il un accès légal au matériel et le titulaire des droits s’était-il réservé les droits d’utilisation ? Si la réponse à la seconde question est affirmative et que le matériel a malgré tout été exploité, l’exception est caduque et la reproduction constitue une contrefaçon.
Là où le déployeur assume le risque
Les entreprises partent souvent du principe que les problèmes liés aux données d'entraînement relèvent de la responsabilité du développeur. C'est en partie vrai. L'organisation qui déploie un chatbot et publie ses résultats effectue elle-même des actes de reproduction et de communication auprès du public, et ce, en son nom propre. Trois points de défaillance récurrents se dégagent.
- Formation sans fondement valable. Le modèle a été construit à partir de données soumises à une réserve TDM, ou à partir de données auxquelles le développeur n'a jamais eu d'accès légal. La responsabilité incombe au développeur, mais une réclamation peut être déposée en aval.
- Résultat reproduisant une œuvre protégée. Si le chatbot renvoie un texte, un code ou une image manifestement copiée d'une œuvre protégée, sa publication constitue une nouvelle infraction de la part de son auteur. Le style n'est pas protégé ; seule une partie substantielle d'une œuvre concrète l'est.
- Des contrats qui ne reprennent pas le risque. De nombreuses licences d'IA plafonnent la responsabilité au montant de la redevance annuelle et excluent toute réclamation relative à la propriété intellectuelle de tiers. Lisez attentivement la clause d'indemnisation avant de consulter les documents marketing.
La question de la propriété des contenus produits par le chatbot est une autre affaire. Le droit d'auteur néerlandais protège les œuvres originales et propres, portant la marque personnelle de leur créateur et nécessitant des choix créatifs humains. Les contenus générés automatiquement, à partir d'une instruction sans intervention humaine supplémentaire, sont rarement protégés par le droit d'auteur. Autrement dit, ni vous ni personne d'autre ne pouvez empêcher un concurrent de les réutiliser. Notre guide sur la qualification d'un contenu comme public au regard du droit d'auteur détaille les principes sous-jacents.
La meilleure façon d'atténuer les risques est d'ordre contractuel et probant, plutôt que technique. Demandez par écrit au fournisseur quelles données ont été utilisées, si les réservations TDM ont été respectées et quelle garantie est offerte en cas de réclamations de tiers. Conservez les réponses. Un fournisseur qui refuse d'inclure ses sources de données dans un contrat en dit long sur sa propre confiance.
Comment la loi sur l'IA classe un chatbot
La loi sur l'IA ne réglemente pas la technologie, mais son finalité. Un même modèle de langage sous-jacent peut présenter un risque minimal dans un déploiement et un risque élevé dans un autre ; sa classification dépend entièrement de son utilisation. C'est pourquoi la première étape de la mise en conformité consiste en une classification écrite, et pourquoi la simple copie d'une classification figurant dans la fiche technique d'un fournisseur est insuffisante.
Le règlement classe les systèmes en quatre catégories. Les pratiques de la catégorie inacceptable sont formellement interdites : l’article 5 proscrit notamment les techniques de manipulation qui altèrent sensiblement les comportements et causent un préjudice important, l’exploitation des vulnérabilités liées à l’âge ou au handicap, la notation sociale et la reconnaissance des émotions au travail et dans l’éducation. Ces interdictions sont en vigueur depuis le 2 février 2025 et nous les abordons plus en détail dans notre article consacré aux pratiques d’IA interdites.
Le niveau de risque élevé est celui qui est strictement réglementé et qui reste autorisé. Un chatbot est classé dans cette catégorie lorsqu'il est utilisé dans l'un des domaines énumérés à l'annexe III, notamment le recrutement et la sélection, les décisions relatives à l'accès aux services essentiels privés et publics tels que le crédit ou les prestations sociales, l'éducation et l'application de la loi, ou lorsqu'il constitue un élément de sécurité d'un produit couvert par la législation d'harmonisation figurant à l'annexe I. Les obligations qui en découlent sont détaillées dans notre guide sur les systèmes d'IA à haut risque en vertu de la loi sur l'IA.
La plupart des chatbots destinés aux clients se situent dans la catégorie à risque limité. Il n'y a ni évaluation de conformité, ni enregistrement, ni organisme notifié, mais une obligation de transparence est imposée. La catégorie à risque minimal couvre tous les autres cas et n'entraîne aucune obligation particulière au-delà des codes de conduite volontaires.
Ce qui est déjà applicable et ce qui a été reporté
La loi sur l'IA est entrée en vigueur le 1er août 2024 et sa mise en œuvre progressive s'est étalée sur plusieurs années. Ce calendrier a été modifié par le paquet numérique omnibus de la Commission européenne. Trois points sont vrais aujourd'hui et sont souvent rapportés à tort.
Premièrement, les interdictions prévues à l'article 5 et l'obligation de formation en IA énoncée à l'article 4 sont applicables depuis le 2 février 2025. Deuxièmement, les obligations relatives aux modèles d'IA à usage général, sur lesquels repose la plupart des chatbots commerciaux, sont applicables depuis le 2 août 2025. Troisièmement, les obligations de transparence prévues à l'article 50 s'appliquent également. Le texte omnibus a uniquement reporté l'application du régime des systèmes à haut risque : les règles relatives aux systèmes de l'annexe III entreront en vigueur le 2 décembre 2027 et celles relatives aux systèmes de l'annexe I le 2 août 2028.
Le report ne concerne que les cas à haut risque. Si votre chatbot est interdit, relève des règles du modèle à usage général ou doit simplement indiquer qu'il s'agit d'une machine, le délai est déjà dépassé.
L'application de la loi repose sur des plafonds d'amendes exprimés en pourcentage du chiffre d'affaires annuel mondial : un palier maximal est réservé aux infractions aux interdictions, et un palier général inférieur couvre la plupart des autres infractions. Les autorités nationales de contrôle fixent le montant exact des amendes dans ces limites.
Niveaux de risque de la loi sur l'IA pour les applications de chatbot
| Niveau de risque | Exemple de chatbot | Obligation clé |
|---|---|---|
| Un petit peu | Un bot qui répond aux questions sur les horaires d'ouverture ou les catégories d'articles. | Aucune obligation spécifique ; codes de conduite volontaires. |
| Édition | Un chatbot de service client gérant les retours et les demandes de renseignements sur les commandes. | Indiquez que l'utilisateur interagit avec un système d'IA et signalez les résultats synthétiques. |
| Haute | Un robot qui présélectionne les candidats à l'emploi ou évalue leur admissibilité au crédit. | Gestion des risques, gouvernance des données, documentation technique, journalisation, supervision humaine et évaluation de la conformité. |
| Inacceptable | Un bot qui exploite les vulnérabilités d'un groupe défini, ou qui déduit les émotions des employés au travail. | Interdit ; ne peut être mis sur le marché ni utilisé dans l'UE. |
L'obligation de transparence prévue à l'article 50
L’article 50 de la loi sur l’IA exige que toute personne interagissant avec un système d’IA soit informée de ce fait, sauf si cela est évident pour un utilisateur raisonnablement informé compte tenu des circonstances. Cette information doit être divulguée dès la première interaction, de manière claire et visible. Une simple mention dans une déclaration de confidentialité, accessible en plusieurs clics, ne suffit pas.
Le même article exige des fournisseurs de systèmes générant du texte, de l'audio, des images ou de la vidéo de synthèse qu'ils étiquettent ces données de manière lisible par machine. Il impose également aux utilisateurs publiant du texte généré par IA sur des sujets d'intérêt public de préciser qu'il a été généré artificiellement, sauf si ce texte a fait l'objet d'une relecture humaine. Pour une entreprise utilisant un chatbot sur son site web, la liste des vérifications pratiques est simple : un message clair au début de la conversation, un moyen évident de contacter un humain et une interface ne laissant pas entendre que l'utilisateur s'adresse à un employé identifié.
La transparence a également une dimension juridique en matière de droit de la consommation aux Pays-Bas. Présenter une machine comme une personne ou laisser un chatbot faire des affirmations qu'un vendeur ne pourrait légalement faire peut constituer une pratique commerciale trompeuse au regard des règles du Livre 6 du Code civil néerlandais (Burgerlijk Wetboek), indépendamment de la loi sur l'intelligence artificielle (AI Act).
Données personnelles dans la conversation : le RGPD
Le RGPD s'applique à un chatbot dès lors qu'il traite des données relatives à une personne identifiable, ce qui est presque toujours le cas pour les journaux de conversation. La première chose à déterminer est la base légale : le consentement (article 6, paragraphe 1, point a), l'exécution d'un contrat (article 6, paragraphe 1, point b) ou les intérêts légitimes (article 6, paragraphe 1, point f), chacun ayant des conséquences différentes sur l'utilisation ultérieure de la transcription.
En pratique, trois points principaux posent problème. Premièrement, la conservation des données : les transcriptions sont souvent conservées indéfiniment faute de durée de conservation fixée, ce qui contrevient au principe de limitation de la conservation énoncé à l'article 5, paragraphe 1, point e). Deuxièmement, l'utilisation secondaire : l'utilisation de conversations en direct pour affiner un modèle constitue une nouvelle finalité qui nécessite une évaluation spécifique et, généralement, une notice d'information dédiée. Troisièmement, les données sensibles. Un chatbot utilisé dans le secteur de la santé, de l'assurance ou des ressources humaines collectera des données de santé ou d'autres données sensibles, que cela soit intentionnel ou non, et l'article 9 interdit ce traitement, sauf exception.
Lorsqu'un chatbot s'exécute sur une plateforme tierce, cette dernière agit généralement en tant que sous-traitant et un accord de traitement des données au sens de l'article 28 est obligatoire. La définition précise des rôles n'est pas une simple formalité ; elle détermine qui doit répondre à une demande d'une personne concernée et qui est responsable en cas de violation de données. Nos articles sur la distinction entre les rôles de responsable du traitement et de sous-traitant au titre du RGPD et sur l'utilisation de l'IA dans une entreprise néerlandaise présentent cette analyse.
Une analyse d'impact relative à la protection des données (AIPD) au titre de l'article 35 est requise lorsque le traitement est susceptible d'engendrer un risque élevé. La liste publiée par l'Autorité de protection des données (APD) indique clairement que l'évaluation automatisée à grande échelle des individus entre dans cette catégorie. Si votre chatbot effectue des profils d'utilisateurs, considérez qu'une AIPD est nécessaire. Le non-respect du RGPD est passible d'amendes pouvant atteindre 4 % du chiffre d'affaires annuel mondial, conformément à l'article 83, paragraphe 5, et ce plafond reste inchangé.
La supervision humaine et le problème des modèles opaques
L'article 14 de la loi sur l'IA exige que les systèmes à haut risque soient conçus de manière à ce que des personnes physiques puissent les superviser efficacement pendant leur utilisation. Le terme « efficacement » est essentiel. La supervision implique que la personne puisse comprendre les capacités et les limites du système, rester vigilante face aux biais d'automatisation, interpréter correctement les résultats, décider de ne pas l'utiliser et intervenir ou l'arrêter.
Le fait qu'une personne approuve une recommandation sans pouvoir l'évaluer ne constitue pas un contrôle au sens de l'article 14 et ne protège pas l'organisation. Le contrôleur doit avoir le pouvoir de passer outre, la compétence pour juger et les informations nécessaires à ces deux aspects. Concrètement, cela implique de définir ce rôle, de former les personnes concernées, de leur donner accès aux justifications de chaque décision et de consigner leurs interventions.
Le RGPD prévoit une obligation similaire, applicable quel que soit le niveau de la loi sur l'IA. L'article 22 confère à toute personne concernée le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques la concernant ou l'affectant de manière significative. Si un chatbot rejette une demande, refuse un service ou fixe un prix de manière entièrement automatisée, l'article 22 s'applique et l'organisation doit proposer une intervention humaine, une explication et une possibilité de contestation.
La prise de décision automatisée et le contrôle humain effectif font l'objet de tests distincts, encadrés par des instruments juridiques différents. L'adoption de la loi sur l'IA ne vous exempte pas de l'article 22 du RGPD, et inversement.
Le biais est le mécanisme de défaillance qui transforme une lacune de surveillance en responsabilité. Un modèle entraîné sur des données historiques reproduit des schémas passés, et lorsque ces schémas correspondent à une caractéristique protégée, les décisions qui en découlent peuvent constituer une discrimination indirecte au sens de la loi générale sur le traitement équitable des données (Algemene wet gelijke behandeling). Tester ce risque avant le déploiement et documenter le test est la seule défense efficace a posteriori. Nous abordons les conséquences dans notre article sur la responsabilité liée aux biais algorithmiques.
Que font les superviseurs néerlandais ?
La supervision de la loi sur l'IA aux Pays-Bas est encore en cours d'élaboration. Le gouvernement a proposé un modèle dans lequel les autorités sectorielles existantes conservent la supervision de l'IA dans leurs domaines respectifs, l'Autorité de la protection des personnes (Autoriteit Persoonsgegevens) prend en charge les domaines où aucun superviseur n'est clairement désigné et gère une unité dédiée à l'IA, tandis que l'Inspection générale des infrastructures numériques (Rijksinspectie Digitale Infrastructuur) joue un rôle de coordination. La loi d'application, le décret relatif à l'IA (Uitvoeringswet AI-verordening), a fait l'objet d'une consultation publique en avril 2026 et n'a pas encore été adoptée ; la répartition formelle des compétences et des sanctions n'est donc pas définitive.
Cela ne signifie pas qu'il n'y a pas d'application. Le RGPD est pleinement applicable et l'Autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens) l'utilise depuis des années contre les déploiements d'IA. Les interdictions prévues à l'article 5 de la loi néerlandaise sur l'IA sont directement applicables, indépendamment de la date d'entrée en vigueur de la loi de transposition néerlandaise.
Un exemple concret : les chatbots de conseils de vote
L'exemple néerlandais le plus frappant des dérives possibles nous vient de l'Autorité de surveillance de l'IA (Autoriteit Persoonsgegevens). Dans son rapport de février 2025 sur les risques liés à l'IA et aux algorithmes, l'autorité a testé des chatbots d'IA générative utilisés pour conseiller les électeurs et a constaté que les résultats étaient peu fiables et biaisés : les systèmes orientaient les utilisateurs vers un petit nombre de partis et ignoraient largement les autres, quelles que soient les réponses données. L'Autorité de surveillance a déconseillé au public d'utiliser ces chatbots pour prendre des décisions électorales et a souligné que l'IA utilisée pour influencer les élections relève de la catégorie à haut risque de la loi sur l'IA. Ces conclusions sont détaillées dans le rapport de l'Autorité de surveillance sur l'IA et les risques algorithmiques.
Cette leçon s'applique à bien plus que le domaine politique. Un modèle générique doté d'une interface conviviale ne devient pas neutre du seul fait des intentions de son utilisateur. Lorsque ses résultats influencent une décision importante, la neutralité doit être vérifiée et documentée, car après le déploiement, il incombe à l'organisation qui l'a mis en œuvre de démontrer que le système a fonctionné comme prévu.
Élaborer un cadre de gouvernance de l'IA qui résiste à l'épreuve du temps
Un cadre de gouvernance n'a d'utilité que s'il permet de produire des preuves. Les autorités de réglementation, les contreparties et les tribunaux posent tous la même question après un incident : que saviez-vous, quand avez-vous procédé à l'évaluation et qu'avez-vous consigné par écrit ? Quatre éléments permettent de répondre à la plupart de ces questions.
- Classification révisée. Consignez la position de chaque système d'IA au regard de la loi sur l'IA et justifiez-la. Répétez l'évaluation à chaque changement de cas d'utilisation, car un chatbot de service client qui commence par présélectionner les candidats peut changer de niveau du jour au lendemain.
- Gouvernance des données. Documentez la provenance des données d'entraînement et de récupération, les licences associées et la méthode de vérification des réservations TDM. Concernant les données personnelles, indiquez la base légale, la durée de conservation et les accords de traitement.
- Documentation et journalisation. Conservez la version du modèle, l'invite système, les résultats des tests et les journaux de conversation, en respectant les durées de conservation prévues par le RGPD. Sans ces journaux, il est impossible de reconstituer le comportement du système le jour concerné.
- Protocoles de surveillance. Identifiez les personnes responsables, définissez les conditions de leur intervention et donnez-leur le pouvoir d'interrompre le système. Consignez les interventions.
Les contrats prennent le relais. L'accord avec votre fournisseur d'IA doit aborder la question de l'approvisionnement en données, les garanties en matière de propriété intellectuelle, la répartition des rôles au titre de la loi sur l'IA entre le fournisseur et l'utilisateur, la sécurité, les droits d'audit et les modalités de sortie. Il s'agit de points de négociation commerciale classiques, bien plus faciles à obtenir avant la signature qu'après un incident. Nos guides juridiques en droit des technologies de l'information couvrent l'ensemble du cadre contractuel.
Les chatbots, le droit d'auteur et la conformité ne constituent pas un exercice ponctuel. Le régime à haut risque se mettra en place progressivement jusqu'en 2028, la loi fédérale sur l'utilisation des technologies (Uitvoeringswet) instaurera des procédures et des sanctions nationales, et la jurisprudence relative aux données issues de l'IA ne fait que commencer. Un cadre juridique révisé annuellement et actualisé en fonction de l'évolution de la législation est essentiel pour une position solide et durable.
Êtes-vous le fournisseur ou le déployeur ?
La loi sur l'IA répartit la quasi-totalité de ses obligations en fonction des rôles, et les deux rôles essentiels pour une entreprise qui achète un chatbot sont ceux de fournisseur et d'exploitant. Un fournisseur développe un système d'IA et le commercialise ou le met en service sous sa propre marque ; un exploitant l'utilise sous sa propre autorité. L'achat d'un chatbot prêt à l'emploi fait de vous un exploitant, ce qui implique des obligations nettement moins contraignantes.
Le piège réside dans le fait qu'un déployeur peut devenir fournisseur sans le vouloir. L'article 25 du règlement stipule qu'un déployeur assume les obligations du fournisseur pour un système à haut risque s'il appose son nom ou sa marque sur le système, y apporte une modification substantielle ou en change la finalité initiale de manière à le transformer en système à haut risque. Le simple fait de commercialiser un chatbot tiers sous sa propre marque ou de réutiliser un chatbot de service client standard pour filtrer les candidatures suffit à introduire ce changement.
Cette réaffectation a des conséquences concrètes. Le fournisseur prend en charge l'évaluation de la conformité, la documentation technique, le système de gestion de la qualité, l'enregistrement dans la base de données de l'UE et le suivi après commercialisation. Aucune de ces responsabilités ne peut être écartée par une clause contractuelle, car il s'agit d'obligations de droit public envers l'autorité de contrôle, et non d'obligations privées envers la contrepartie. Un contrat peut transférer le coût d'un manquement ; il ne peut en transférer l'obligation.
Les responsables du déploiement de systèmes à haut risque ont leurs propres consignes : utiliser le système conformément aux instructions, désigner un superviseur humain compétent, s’assurer de la pertinence des données saisies, surveiller le fonctionnement, tenir des registres et informer les travailleurs et leurs représentants avant la mise en service d’un système à haut risque sur le lieu de travail. Ce dernier point est facile à négliger et c’est précisément le genre d’omission qu’un comité d’entreprise ne manquera pas de souligner.
Confidentialité, secrets commerciaux et obligations professionnelles
Un risque qui échappe à ces trois cadres réglementaires, et qui cause des dommages plus concrets que chacun d'eux, est celui de la transmission d'informations confidentielles par des employés à un chatbot public. Les données clients, les projets de contrats, le code source et les données financières non publiées, saisis dans un service d'IA destiné aux consommateurs, échappent au contrôle de l'organisation et, selon les conditions d'utilisation, peuvent être conservés ou utilisés à des fins de formation.
En droit néerlandais, la violation d'une clause de confidentialité dans un contrat commercial peut entraîner la perte des mesures raisonnables nécessaires à la protection des informations en tant que secret commercial au titre de la loi néerlandaise sur la protection des secrets d'affaires (Wet bescherming bedrijfsgeheimen). Dans les professions réglementées, elle peut également constituer un manquement à l'obligation légale de confidentialité. Elle peut aussi constituer une violation de données à caractère personnel, qui impose une notification à l'Autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens) dans les soixante-douze heures suivant sa découverte, conformément à l'article 33 du RGPD.
La solution est simple et efficace : une politique d’utilisation de l’IA écrite qui précise les outils autorisés, stipule clairement les données interdites dans un outil non autorisé et est intégrée au contrat de travail afin que toute infraction entraîne des conséquences. Combinée à une clause contractuelle d’exclusion de formation sur les données saisies, cette politique réduit considérablement les risques.
Que faire avant le lancement
La mise en conformité d'un chatbot se fait par étapes, et les réaliser dans le bon ordre permet de réduire considérablement les coûts. Classez le système selon la loi sur l'IA et documentez cette classification, en la justifiant. Identifiez les données personnelles traitées, définissez la base légale et la durée de conservation, et effectuez une analyse d'impact relative à la protection des données si le traitement le justifie. Mettez en place un accord de traitement des données conformément à l'article 28 avec la plateforme.
Ensuite, examinez les données sous-jacentes au modèle : demandez au fournisseur sur quoi il a été entraîné, si les réserves TDM ont été respectées et quelle indemnisation est proposée, et consignez les réponses. Intégrez la mention de transparence directement dans l’interface plutôt qu’en bas de page. Désignez la personne responsable de la supervision et définissez les conditions de son intervention. Enfin, testez le système sur les cas les plus problématiques, conservez les résultats et planifiez une revue complète du dossier.
Les organisations qui s'y essaient constatent que l'exercice est limité. L'incertitude juridique en matière d'IA est bien réelle, mais elle se concentre sur quelques questions, principalement relatives aux données d'entraînement et à la responsabilité quant aux résultats ; le reste relève des formalités de conformité habituelles, qui peuvent être accomplies et consignées.
Foire aux questions
Les questions ci-dessous reviennent presque systématiquement lors des premières discussions concernant le déploiement d'un chatbot. Les réponses présentées ici sont d'ordre général ; l'analyse d'un système spécifique dépend toujours de ses fonctionnalités et de ses destinataires.
Qui est responsable si un chatbot enfreint le droit d'auteur ?
La question de la responsabilité en cas de violation de droits d'auteur par un chatbot est complexe, et la réponse est qu'il s'agit souvent d'une responsabilité partagée. Généralement, la faute incombe à la fois au développeur d'IA qui a créé l'outil et à l'organisation qui l'utilise. En vertu du droit européen et néerlandais, les développeurs peuvent se retrouver en difficulté pour avoir utilisé du matériel protégé par le droit d'auteur afin d'entraîner leurs modèles sans avoir obtenu au préalable les autorisations nécessaires.
Parallèlement, l'entreprise utilisant le chatbot peut être tenue responsable de tout contenu portant atteinte aux droits d'auteur généré et diffusé par l'IA. Pour se prémunir contre ce risque, il est essentiel que les entreprises exigent de leurs fournisseurs d'IA une transparence totale quant aux sources des données d'entraînement. L'inclusion de clauses d'indemnisation solides dans les contrats avec les fournisseurs constitue une autre protection cruciale.
Le RGPD s'applique-t-il aux données traitées par les chatbots ?
Oui, sans aucun doute. Si votre chatbot traite des données personnelles de personnes résidant dans l'UE (noms, adresses électroniques ou même données de conversation permettant d'identifier une personne), le RGPD s'applique intégralement.
Cela met immédiatement en jeu plusieurs tâches essentielles :
- Vous devez avoir une raison valable et légitime pour traiter ces données.
- Vous devez informer précisément les utilisateurs de la manière dont leurs données sont utilisées.
- Vous ne devez collecter que les données absolument nécessaires (minimisation des données).
- Vous êtes tenu de respecter les droits des utilisateurs, notamment leur droit de consulter ou de supprimer leurs données.
Ignorer ces responsabilités n'est pas envisageable. Le non-respect de ces obligations peut entraîner des amendes considérables – jusqu'à 4 % du chiffre d'affaires annuel mondial de votre entreprise – et nuire gravement à votre réputation.
Quelle est la première étape pour garantir la conformité de notre chatbot ?
La première étape, absolument cruciale, consiste à réaliser une évaluation approfondie des risques en s'appuyant sur le cadre réglementaire de la loi européenne sur l'IA. Il est essentiel de déterminer la catégorie de risque de votre chatbot en fonction de ses fonctionnalités et des dommages potentiels qu'il pourrait causer. Ce processus permettra de le classer dans une catégorie telle que risque minimal, limité ou élevé.
Par exemple, un simple chatbot de questions-réponses répondant à des questions basiques sera probablement considéré comme un outil à faible risque, impliquant peu d'obligations. En revanche, un chatbot utilisé pour sélectionner des candidats à l'embauche, diffuser des informations médicales ou prodiguer des conseils financiers sera presque certainement classé comme présentant un risque élevé. Cette classification détermine vos obligations légales spécifiques en matière de transparence, de gouvernance des données et de supervision humaine, vous offrant ainsi une feuille de route claire pour votre stratégie de conformité globale.
Law & More Nous conseillons les entreprises néerlandaises sur les aspects juridiques du déploiement de l'IA : classification au titre de la loi sur l'IA, droits d'auteur et sources de données, conformité au RGPD et accords de traitement des données, documentation de gouvernance et négociation de contrats avec les fournisseurs d'IA. Si vous envisagez de lancer un chatbot ou souhaitez faire évaluer un chatbot existant au regard de la réglementation en vigueur, nous serons ravis de vous accompagner. Décrivez-nous votre situation. Nous vous présenterons vos options sous 24 heures ouvrables.
Comment Law & More Nous pouvons vous aider. Tout est expliqué sur notre site web. avocat en technologies de l'information .
