L’IA dans une boutique en ligne face au RGPD, à l’AI Act et aux CGV : ce qu’il faut dire aux clients
Recommandations produits, quiz de vente guidée, assistant de chat, descriptions rédigées par IA : l’intelligence artificielle arrive dans les boutiques en ligne plus vite que leurs CGV et politiques de confidentialité n’évoluent. Depuis le 2 août 2026, les règles de transparence de l’AI Act s’appliquent, et le RGPD couvre toute fonction qui analyse le comportement des clients. Voici un tour d’horizon pratique : ce qui concerne réellement une boutique classique, ce qu’il faut écrire dans la politique de confidentialité et les CGV, et un exemple de clause à adapter.
Ce guide est pratique et ne constitue pas un conseil juridique. Faites relire vos CGV et votre politique de confidentialité par un juriste, surtout si l’IA traite des données clients.
Où la boutique utilise l’IA – et ce qui en découle
| Fonction | AI Act | RGPD |
|---|---|---|
| Chat / assistant d’achat | Le client doit savoir qu’il échange avec une IA (art. 50, par. 1) | Le contenu des échanges est une donnée personnelle dès que le client en partage |
| Recommandations basées sur le comportement | En général pas d’obligation particulière – ce n’est pas un système à haut risque | Profilage : information, base légale, droit d’opposition |
| Quiz de vente guidée (par ex. idée cadeau) | Pas d’obligation particulière s’il s’agit d’un formulaire ; si c’est une conversation avec une IA – comme pour le chat | Les réponses enregistrées et liées à un client sont des données personnelles |
| Descriptions et images générées par IA | Le marquage des contenus synthétiques incombe surtout au fournisseur de l’outil ; signalez les images réalistes qui pourraient passer pour de vraies photos | En général non concerné |
L’AI Act dans une boutique : moins qu’on ne le croit
L’AI Act classe les systèmes selon leur risque. Recommandations, moteur de recherche ou quiz d’une boutique ne sont pas à haut risque (cette catégorie vise par exemple le recrutement, l’évaluation du crédit ou l’éducation). Pour une boutique, l’essentiel est l’article 50 – obligations de transparence :
- Chat et assistants : la personne qui interagit avec un système d’IA doit en être informée, sauf si c’est évident. En pratique : une mention claire « Assistant IA » au début de la conversation, dans chaque langue de la boutique.
- Contenus générés : les fournisseurs de systèmes qui génèrent texte, images ou vidéo doivent les marquer de façon lisible par machine. C’est d’abord l’obligation de l’éditeur de l’outil, pas de la boutique. Une boutique qui publie des images réalistes générées par IA pouvant passer pour de vraies photos devrait les signaler.
Calendrier : l’article 50 s’applique depuis le 2 août 2026. Le paquet Digital Omnibus (publié en juillet 2026) accorde aux systèmes mis sur le marché avant cette date une période transitoire pour le marquage des contenus, jusqu’au 2 décembre 2026.
Indépendamment de l’AI Act, le droit de la consommation et les règles de Google s’appliquent : l’image d’un produit doit montrer le vrai produit. Une visualisation générée par IA qui embellit le produit mène tout droit aux réclamations – et, dans Merchant Center, aux refus.
RGPD : les recommandations sont du profilage
Si un système retient ce que le client a consulté, ignoré et acheté, et choisit des produits sur cette base, c’est du profilage au sens du RGPD (art. 4, point 4). Ce n’est pas interdit, mais cela impose plusieurs choses :
- Une information dans la politique de confidentialité : ce qui est analysé, dans quel but, pendant combien de temps les données sont conservées et à qui elles sont transmises.
- Une base légale : pour les recommandations sur le site, on retient le plus souvent l’intérêt légitime (art. 6, par. 1, point f). Le client dispose alors d’un droit d’opposition (art. 21).
- Le consentement pour les cookies et traceurs : si le suivi du comportement repose sur des cookies, le localStorage ou des identifiants de navigateur non strictement nécessaires au fonctionnement de la boutique, un consentement est requis (en France, article 82 de la loi Informatique et Libertés et recommandations de la CNIL). Sans consentement, les recommandations ne doivent utiliser que la session en cours ou des données non rattachées à une personne.
- Un fournisseur d’IA externe : si des données clients partent vers l’API d’un fournisseur de modèle, celui-ci est sous-traitant – il faut un contrat de sous-traitance (art. 28) et, en cas de transfert hors EEE, un mécanisme de transfert valable.
L’article 22 du RGPD (décisions fondées exclusivement sur un traitement automatisé) ne vise généralement pas les recommandations, car le choix des produits affichés n’a pas d’effet juridique pour le client. Ce serait différent si l’IA décidait par exemple de refuser une vente ou un paiement différé.
Deux points que les boutiques confondent
- Prix personnalisés et recommandations sont deux choses différentes. L’obligation d’indiquer qu’un prix a été personnalisé sur la base d’une prise de décision automatisée concerne le prix. Afficher des produits différents selon les clients ne la déclenche pas.
- Les règles du DSA sur les systèmes de recommandation (art. 27) visent les plateformes en ligne, comme les places de marché, et non une boutique qui vend ses propres produits.
Exemple de clause pour la politique de confidentialité
À adapter au fonctionnement réel de votre boutique :
Recommandations de produits et assistant d’achat. Notre boutique utilise des outils fondés sur l’intelligence artificielle pour vous aider à choisir des produits : un quiz de vente guidée et des recommandations. À partir de vos réponses au quiz et des produits consultés, ignorés et ajoutés au panier pendant votre visite, nous vous proposons des produits. Nous le faisons sur la base de notre intérêt légitime à faciliter le choix des produits (art. 6, par. 1, point f du RGPD). Les recommandations n’ont aucune incidence sur les prix ni sur la possibilité de passer commande. Vous pouvez vous opposer à tout moment à ce traitement. [Le cas échéant : Pour générer le contenu du quiz, nous faisons appel à [fournisseur], qui agit dans le cadre d’un contrat de sous-traitance ; nous lui transmettons uniquement les données du catalogue / les données suivantes : ….] Nous conservons les données relatives à votre comportement dans la boutique pendant [durée].
Si la boutique propose un chat IA, ajoutez une courte mention dans la fenêtre du chat elle-même : « Vous échangez avec un assistant IA. Les réponses peuvent contenir des erreurs – pour toute question sur une commande, contactez-nous. »
Liste de contrôle
- Recensez toutes les fonctions d’IA de la boutique : modules, chat, génération de descriptions et d’images.
- Pour chacune, déterminez quelles données elle traite et où elle les envoie.
- Chat IA : une mention dès le premier message, dans chaque langue.
- Politique de confidentialité : profilage, base légale, droit d’opposition, fournisseurs.
- Bandeau cookies : suivi du comportement uniquement après consentement, sauf s’il est strictement nécessaire.
- Contrats de sous-traitance avec les fournisseurs d’IA qui reçoivent des données personnelles.
- Images produits : de vraies photos, et des visualisations IA réalistes signalées comme telles.
Une IA facile à expliquer à vos clients
OmniSales AI est un module de quiz de vente guidée et de recommandations produits pour PrestaShop 8 et 9. L’IA prépare le quiz à partir de votre catalogue – catégories, caractéristiques et prix – et les recommandations réagissent à ce que le client a écarté. Une répartition claire des fonctions les rend simples à décrire dans votre politique de confidentialité et vos CGV.