RGPD et avis clients : ce qu'un commerçant doit savoir avant d'utiliser une IA

Répondre à un avis avec l'aide d'une IA, c'est traiter une donnée personnelle : le prénom d'un client, son message, parfois un détail sensible qu'il a écrit. Le RGPD s'applique ici comme à tout traitement de données, avec des limites précises sur ce que vous pouvez écrire en public. Pour le cadre général, voir pourquoi le choix d'une IA française compte.

Un avis client est-il vraiment une donnée personnelle ?

Oui, dès qu'il permet de rattacher un contenu à une personne identifiée ou identifiable, ce qui couvre la quasi-totalité des avis Google. Le RGPD (article 4, point 1) définit une donnée personnelle comme toute information se rapportant à une personne identifiée ou identifiable, et un simple prénom rattaché à un compte suffit largement.

La seule vraie zone grise : un avis générique, sans élément identifiant et non rattaché à un compte reconnaissable, un cas rare en pratique. Le plus sûr pour un commerçant reste de traiter tous ses avis comme des données personnelles, même ceux qui semblent anodins.

Qui est responsable du traitement de vos avis : vous ou votre outil d'IA ?

Vous. En tant que commerçant, c'est vous qui décidez de faire analyser vos avis par un outil d'IA, dans quel but et pour combien de temps : le RGPD (article 4, points 7 et 8) vous qualifie de responsable du traitement, et votre outil de sous-traitant, tant qu'il agit uniquement sur vos instructions.

Ce statut peut basculer. Si le fournisseur réutilise vos avis pour entraîner son propre modèle au bénéfice d'autres clients, il devient responsable de traitement à son tour, selon la grille de lecture de la CNIL. Première question à poser : vos avis servent-ils à l'entraînement général, ou restent-ils cantonnés au service rendu ?

Sur quelle base légale pouvez-vous traiter les avis de vos clients ?

Le plus souvent, sur l'intérêt légitime prévu par l'article 6, paragraphe 1, point f du RGPD : gérer votre réputation et votre relation client est un intérêt reconnu, à condition de ne pas porter une atteinte disproportionnée aux droits de l'auteur de l'avis. Ce n'est pas un blanc-seing, mais une mise en balance raisonnable.

Pour un usage classique (consulter vos avis, y répondre, les analyser), l'intérêt légitime suffit dans l'immense majorité des cas, précise la CNIL. Pour un usage inhabituel, comme du marketing individualisé, faites trancher la base légale avec un professionnel : l'intérêt légitime ne s'étire pas à tout.

Que doit contenir le contrat avec votre prestataire d'IA ?

Un contrat écrit, exigé par l'article 28 du RGPD, souvent appelé DPA. Il précise l'objet, la durée et la finalité du traitement, les données concernées, et les obligations du sous-traitant : agir sur instruction, garantir sécurité et confidentialité, supprimer ou restituer les données en fin de contrat.

Si l'outil que vous utilisez ne propose aucun contrat de sous-traitance, comme le détaille le guide de la CNIL, c'est un signal d'alerte : ce n'est pas une option commerciale, c'est une obligation légale, et c'est vous qui restez responsable en cas de contrôle.

Pourquoi le transfert de vos données hors de l'Union européenne est-il le point sensible ?

Parce que la protection de vos données dépend du pays où elles sont traitées, pas seulement du contrat signé. Depuis l'arrêt Schrems II de la CJUE (16 juillet 2020, affaire C-311/18), qui a invalidé le Privacy Shield, tout transfert hors UE doit s'appuyer sur un outil à jour, comme les clauses contractuelles types de 2021.

Le mécanisme utilisé aujourd'hui pour transférer des données vers des prestataires américains certifiés, le Data Privacy Framework, reste valide à ce jour, mais ce n'est pas définitif. Troisième cadre du genre après deux invalidations, un premier recours a été rejeté le 3 septembre 2025, et l'affaire est en pourvoi devant la CJUE depuis le 31 octobre 2025 (affaire C-703/25 P). Le CEPD a même interpellé la Commission fin juillet 2026 sur un risque de fragilisation. Valide aujourd'hui, pas acquis pour toujours.

Un mécanisme distinct complique le tableau : le Cloud Act américain (2018) permet à la justice des Etats-Unis d'exiger l'accès aux données d'une entreprise de droit américain, même stockées en Europe. Le Data Privacy Framework répond à la légalité du transfert, pas à cette question. Un outil « hébergé en Europe » n'est pas forcément à l'abri du droit américain. Pour ChatGPT, voir ChatGPT et vos avis clients ; pour comparer, Mistral ou ChatGPT pour vos avis.

Devez-vous réaliser une analyse d'impact avant d'utiliser une IA sur vos avis ?

Rarement. Une analyse d'impact (AIPD) n'est obligatoire, selon les recommandations de la CNIL sur l'IA, que pour les traitements à risque élevé, ce qui n'est en général pas le cas d'un outil de réponse aux avis avec relecture avant publication. Un usage inhabituel, comme croiser les avis avec d'autres données pour du profilage, la rend nécessaire.

Quelles informations le RGPD vous interdit-il de divulguer dans une réponse ?

Rien qui dépasse ce que le client a lui-même rendu public. C'est le principe de minimisation posé par le RGPD (article 5, paragraphe 1, point c) et par le droit au respect de la vie privée (article 9 du Code civil) : plus vous ajoutez de détails, plus vous exposez le client, et plus vous prenez un risque juridique et d'image.

Il n'existe pas de liste légale du type « interdit d'écrire tel mot » : le risque naît d'un cumul (montant payé, date et heure précises, produit exact, nom complet non déjà public, élément de santé). Réservez ces détails à un canal privé, jamais à la réponse publique, rappelle la CNIL.

Un exemple concret, pour un avis qui pousse justement à trop en dire.

Cette réponse ne détaille pas ce qui a été consommé, ne cite pas le prénom du serveur, et ne cherche pas à corriger la version du client en public. Elle prend le sujet au sérieux sans ajouter une seule information nouvelle.

Pourquoi certaines professions ne peuvent-elles presque jamais répondre publiquement à un avis ?

Parce que le secret professionnel leur interdit de confirmer ou d'infirmer publiquement qu'une personne est cliente ou patiente. Sa violation est punie par l'article 226-13 du Code pénal d'un an d'emprisonnement et de 15 000 euros d'amende : même confirmer qu'une personne a consulté peut déjà être une violation, même pour se défendre d'un avis injuste.

Les professions de santé

Un médecin, un dentiste, un psychologue et, plus largement, tout professionnel de santé engage le secret médical dès qu'il évoque, même en creux, la situation d'un patient. L'article R.4127-4 du Code de la santé publique pose cette obligation, sa violation rejoignant la sanction de l'article 226-13 du Code pénal cité plus haut.

Une décision récente l'illustre. La cour d'appel de Chambéry, le 22 mai 2025 (n° 22/01814), a examiné le cas d'une chirurgienne-dentiste visée par des avis négatifs sur sa fiche Google. Le secret médical, a jugé la cour, l'empêchait de se défendre, privant le système d'avis de tout intérêt légitime : suppression complète de la fiche, avis et notation compris, sous astreinte de 100 euros par jour, et 10 000 euros de dommages-intérêts, sur le fondement des articles 6, 14 et 17 du RGPD, de l'article R.4127-4 du Code de la santé publique et de l'article 226-13 du Code pénal.

Pour ces professions, la meilleure réponse à un avis injuste n'est parfois pas d'y répondre, mais de faire valoir un droit.

Cette réponse ne confirme rien, ne détaille rien, et reste courtoise. La portée exacte de cette jurisprudence (limitée aux professions à secret, ou transposable plus largement) reste à confirmer avec un avocat : ce n'est pas un raccourci à appliquer seul.

Les avocats et les autres professions du droit

Pour un avocat, le secret professionnel est général et absolu selon la jurisprudence, avec un fondement dans la loi du 31 décembre 1971 sur la profession. Même principe que pour la santé : ne jamais confirmer publiquement qu'une personne a consulté, et privilégier un canal privé.

Quel est le droit à l'effacement d'un client sur son propre avis, et quelles sont ses limites ?

Un client peut demander la suppression de son avis au titre de l'article 17 du RGPD, notamment si la donnée n'est plus nécessaire, s'il retire son consentement ou s'il s'oppose au traitement sans motif légitime impérieux. La plateforme qui héberge l'avis, Google le plus souvent, doit répondre sous un mois, prolongeable de deux mois.

Ce droit n'est pas automatique : la liberté d'expression et l'intérêt du public à une image loyale peuvent faire obstacle à l'effacement d'un avis honnête, même sévère. C'est en général la plateforme qui reçoit la demande, pas vous, sauf si l'avis est publié sur votre site.

Vous avez aussi des droits reconnus par la CNIL en tant que professionnel référencé : vous opposer à votre référencement, demander le retrait d'informations personnelles publiées sans raison, ou obtenir la suppression d'un commentaire manifestement diffamatoire ou excessif.

Combien de temps pouvez-vous conserver les avis traités par une IA ?

Le RGPD n'impose pas de durée universelle, mais interdit de garder une donnée plus longtemps que nécessaire. Pour une réponse à un avis, ça signifie le temps de la rédiger, de la publier, et d'assurer un suivi si le client revient vers vous.

Regardez aussi la politique de rétention de votre prestataire. Chez les grands fournisseurs, elle tourne souvent autour d'une trentaine de jours avant suppression, comme l'indique Mistral ou OpenAI. Une politique muette sur ce point, ou qui parle de conservation indéfinie, doit vous alerter autant qu'un contrat de sous-traitance manquant.

Que dit l'AI Act sur les réponses générées par une IA ?

Le règlement européen sur l'IA (2024/1689 du 13 juin 2024) classe les systèmes par niveau de risque, et un outil de réponse aux avis ne correspond a priori à aucune catégorie à haut risque. Ce qui s'applique potentiellement, c'est l'obligation de transparence de son article 50, en application depuis le 2 août 2026.

Cet article prévoit que les contenus générés par une IA soient signalés comme tels, avec une exception pour « une fonction d'assistance à l'édition standard » qui n'altère pas substantiellement le texte d'origine. Une réponse entièrement rédigée par une IA va sans doute au-delà d'une simple édition : l'exception n'est pas acquise automatiquement, selon la FAQ de la Commission européenne.

Le paquet européen « Digital Omnibus », en vigueur depuis le 27 juillet 2026, a repoussé les obligations les plus lourdes (systèmes à haut risque) à décembre 2027 et août 2028, sans toucher à l'article 50. Les sanctions vont jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial, plafond réduit pour les PME, et visent d'abord les fournisseurs.

Ce qui renforce concrètement votre position, quel que soit l'outil choisi : garder la possibilité de relire et de valider chaque réponse avant publication plutôt que de tout publier en automatique, au moins sur les avis les plus sensibles.

Quelle checklist suivre avant de confier vos avis à une IA ?

Une dizaine de vérifications simples, à faire une fois pour de bon avant de choisir un outil ou de changer vos pratiques.

• Un contrat de sous-traitance existe, pas seulement des conditions d'utilisation génériques.
• Vos avis ne servent pas à entraîner un modèle général, sauf accord explicite.
• Vous savez dans quel pays vos données sont traitées, pas seulement où elles sont stockées.
• Une politique de conservation claire existe, avec une durée précise, jamais « indéfiniment ».
• Vous pouvez relire et valider une réponse avant publication, au moins pour les avis sensibles.
• Vos réponses publiques ne révèlent jamais plus que ce que le client a lui-même écrit.
• Si votre activité relève du secret professionnel, un seul principe : ne jamais confirmer qu'une personne est cliente.
• La politique de confidentialité de votre prestataire est publique et lisible, pas cachée dans un document de 40 pages.
• En cas de doute, vous savez vers qui vous tourner : un avocat ou un délégué à la protection des données.

Cet article donne des repères solides, pas un avis juridique sur mesure. Face à un cas particulier (secteur réglementé, litige en cours, demande de la CNIL), consultez un avocat ou un délégué à la protection des données : lui seul peut qualifier votre situation avec précision.