RGPD et chatbot en marque blanche : qui fait quoi
Données personnelles et règlement européen sur l'IA quand on revend un assistant IA : qui fait quoi, de l'éditeur aux visiteurs de vos clients.
Quand vous revendez un assistant IA sous votre marque, au moins quatre acteurs touchent aux conversations : l'éditeur de la plateforme, vous (le partenaire), votre client et les visiteurs de votre client. Le RGPD (règlement général sur la protection des données) ne regarde pas qui facture qui. Il regarde qui décide de quoi. En règle générale, votre client décide pourquoi les conversations sont traitées : il est responsable de traitement. Vous et l'éditeur traitez ces données pour son compte : vous êtes sous-traitants, l'éditeur étant souvent votre sous-traitant à vous. Chaque montage se vérifie au cas par cas.
Ce site décrit, maillon par maillon, ce que les textes demandent. C'est de l'information générale, à jour au 15/11/2026, sourcée sur les textes officiels. Ce n'est pas un avis juridique : pour votre situation, faites valider vos choix par un avocat ou par un délégué à la protection des données (DPO).
Les quatre maillons de la chaîne
| Maillon | Ce qu'il fait le plus souvent | Rôle probable au sens du RGPD | Rôle probable au sens du règlement sur l'IA |
|---|---|---|---|
| Éditeur de la plateforme | Développe l'assistant, l'exécute, le fait héberger | Sous-traitant (ou sous-traitant ultérieur) pour les conversations ; responsable pour ses propres fichiers | Développe le système ; son statut de fournisseur en marque blanche reste à analyser |
| Partenaire | Vend sous sa marque, paramètre, assure le support | Sous-traitant de son client ; responsable s'il utilise les données pour lui-même | Question ouverte : distributeur ou fournisseur selon le montage |
| Client du partenaire | Installe l'assistant pour ses visiteurs, choisit son usage | Responsable de traitement | Déployeur : il utilise le système sous son autorité |
| Visiteur | Pose ses questions | Personne concernée, titulaire de droits | Personne qui doit savoir qu'elle échange avec une IA |
Le Comité européen de la protection des données (CEPD) résume la différence : le responsable décide « comment » et « pourquoi » les données sont traitées ; le sous-traitant agit uniquement sur ses instructions. Le guide du sous-traitant de la CNIL (Commission nationale de l'informatique et des libertés) précise qu'un éditeur de logiciel qui n'a pas accès aux données n'est pas sous-traitant. Une plateforme qui exécute et conserve les conversations y a accès.
Qui fait quoi : le tableau de synthèse
| Obligation | Qui la porte | Ce que le partenaire apporte |
|---|---|---|
| Informer les visiteurs | Le client | Qui traite les conversations, où, combien de temps |
| Tenir un registre | Chacun le sien | Son registre de sous-traitant |
| Analyse d'impact (AIPD), si elle s'impose | Le client | Aide et informations (article 28) |
| Répondre aux demandes des visiteurs | Le client | Transmission rapide et aide technique |
| Notifier une violation à la CNIL | Le client | Alerte sans délai, éléments du dossier |
| Sécurité | Client et sous-traitants | Mesures adaptées au risque |
| Autoriser un nouveau sous-traitant | Le client | Liste à jour de toute la chaîne |
Les rôles et les contrats
- Revendeur : responsable de traitement ou sous-traitant ?
- Le sous-traitant ultérieur : l'éditeur, l'hébergeur et les autres
- Le registre des traitements du sous-traitant
- Un sous-traitant doit-il désigner un DPO ?
- L'analyse d'impact : ce que le sous-traitant doit à son client
Les conversations des visiteurs
Les conversations sont le cœur du sujet : elles contiennent ce que le visiteur a choisi d'écrire, parfois bien plus que ce qu'on lui demandait.
- La mention d'information d'un assistant revendu
- La durée de conservation des conversations, maillon par maillon
- Les données sensibles confiées à l'assistant
- Une demande d'accès ou d'effacement arrive chez vous
Hors de l'Union européenne et en cas d'incident
- Les transferts hors de l'Union chez les sous-traitants ultérieurs
- Une violation de données chez un sous-traitant : les délais
Le règlement européen sur l'IA
Le règlement européen sur l'IA raisonne avec d'autres rôles : fournisseur, distributeur, déployeur. La CNIL rappelle qu'il ne remplace pas le RGPD. Pour un partenaire, une question n'est pas tranchée : mettre sa marque sur un assistant fait-il de lui le fournisseur au sens du règlement ? Voir AI Act et marque blanche : qui est fournisseur ?.
Comment se servir de ce site
Commencez par qualifier les rôles, avant de signer avec votre premier client : tout le reste en découle. Puis demandez à l'éditeur de votre plateforme les informations que vos clients vous demanderont (sous-traitants, lieux de traitement, durées, sécurité) : vous ne pouvez pas les inventer.
Ce site est édité par IArche. ALMA, la plateforme d'assistants IA éditée par IArche, existe en marque blanche (forfait WL), avec des sous-comptes clients isolés et des quotas dédiés. Les règles décrites ici valent pour toute plateforme.
Toutes les pages
Guides
- AI Act et marque blanche : qui est fournisseur ?
Le règlement européen sur l'IA appliqué à la revente d'un assistant sous sa marque : fournisseur, distributeur, déployeur, et une question ouverte.
- Demande d'effacement RGPD reçue par un sous-traitant
Un visiteur demande l'accès ou l'effacement de ses conversations au partenaire ou à l'éditeur : qui répond, dans quel délai, et comment s'organiser.
- Données sensibles dans un chatbot : qui fait quoi
Santé, religion, opinions : ce que client, partenaire et éditeur doivent faire quand un visiteur confie des données sensibles à un assistant IA.
- Durée de conservation des conversations d'un chatbot
Qui fixe la durée de conservation des conversations d'un assistant IA revendu, et comment la faire appliquer par chaque maillon de la chaîne.
- Mention d'information RGPD d'un chatbot revendu
Qui rédige la mention d'information d'un assistant IA revendu, ce qu'elle doit contenir et ce que le partenaire doit fournir à son client.
- Registre des traitements du sous-traitant : modèle commenté
Ce que doit contenir le registre d'un partenaire qui traite les conversations d'assistants IA pour ses clients, avec un exemple rempli et les limites.
- Revendeur : responsable de traitement ou sous-traitant ?
Comment savoir si vous êtes sous-traitant de vos clients quand vous revendez un assistant IA, et à quel moment vous devenez responsable de traitement.
- Sous-traitant ultérieur RGPD : la chaîne d'un assistant IA
Autorisation, liste des sous-traitants, obligations en cascade, responsabilité : l'article 28 du RGPD appliqué à la revente d'un assistant IA.
- Transferts hors UE dans la chaîne d'un assistant IA
Hébergeur, fournisseur du modèle de langage : repérer les transferts hors de l'Union européenne chez les sous-traitants ultérieurs et les encadrer.
- Violation de données chez un sous-traitant : les délais
Fuite chez l'éditeur ou l'hébergeur d'un assistant IA revendu : qui prévient qui, le délai de 72 heures du client et l'organisation à prévoir.
Questions
- AIPD : ce que le sous-traitant doit à son client
L'analyse d'impact revient au client qui installe l'assistant IA ; partenaire et éditeur l'aident. Quand elle s'impose, et quoi lui fournir.
- Un sous-traitant doit-il désigner un DPO ?
Partenaire qui revend des assistants IA : les trois cas où l'article 37 du RGPD impose au sous-traitant un délégué à la protection des données.