La plupart des chatbots IA ont été conçus aux États-Unis, stockent vos conversations sur leurs propres serveurs et traitent la protection des données comme une case à cocher. Si vos visiteurs sont en Europe, ce risque est le vôtre, pas celui de l'éditeur. Et la réglementation se durcit : d'ici août 2026, les chatbots en service devront respecter les exigences de transparence du règlement européen sur l'IA (AI Act) et rester conformes au RGPD, avec des amendes pouvant atteindre 20 millions d'euros ou 4% du chiffre d'affaires mondial pour les manquements graves.

Ce comparatif passe en revue les 7 chatbots les plus orientés confidentialité du marché, notés sur les critères qui comptent vraiment pour la conformité : où vivent vos données, l'existence d'un contrat de sous-traitance (DPA), la gestion de la suppression, et si l'outil indique bien qu'il s'agit d'une IA. Transparence totale : Agentorie Chat est notre propre produit. Il figure dans ce comparatif, mais nous l'avons placé en dernier et soumis aux mêmes critères que les autres. Pour nos recommandations par plateforme, nous traitons le sujet séparément dans notre comparatif des plugins chatbot WordPress et notre comparatif des modules chatbot PrestaShop.

Sommaire

  1. Pourquoi la conformité RGPD est incontournable en 2026
  2. Ce que le RGPD exige vraiment d'un chatbot
  3. Tableau comparatif des chatbots RGPD
  4. Les 7 chatbots les plus respectueux de la vie privée en détail
  5. Lequel choisir selon votre cas
  6. Questions fréquentes

Pourquoi la conformité RGPD est incontournable pour les chatbots en 2026

Les chatbots collectent certaines des données les plus sensibles de votre stack. Chaque conversation peut capter des noms, e-mails, numéros de téléphone, intentions d'achat, et parfois des questions de santé ou financières, fournis volontairement par le visiteur. C'est une donnée de première partie précieuse, mais c'est aussi une donnée personnelle dès l'instant où elle est stockée, ce qui la place directement sous le RGPD.

L'échéance d'août 2026 est réelle

Le règlement européen sur l'IA (AI Act) se met en place en parallèle du RGPD. Pour la plupart des sites, un chatbot est classé à risque limité, et l'obligation principale est la transparence : le visiteur doit savoir qu'il parle à une IA, pas à un humain. D'ici août 2026, les chatbots en service devront respecter ces règles de transparence. Les exigences plus strictes (documentation technique, supervision humaine, évaluation de conformité) ne s'appliquent qu'aux cas à haut risque, ce que ne sont pas la plupart des bots de support ou d'e-commerce. En pratique : indiquez que c'est un bot, et choisissez un outil qui gère correctement le consentement et les droits sur les données.

La non-conformité coûte plus cher que les amendes

Les amendes RGPD peuvent atteindre 20 millions d'euros ou 4% du chiffre d'affaires mondial, mais le coût silencieux, c'est la confiance. Environ 62% des consommateurs européens abandonnent un chatbot s'ils perçoivent un manque de transparence sur l'usage de leurs données. Un chatbot respectueux de la vie privée n'est pas qu'une protection juridique, c'est un levier de conversion auprès d'une audience européenne méfiante.

Ce que le RGPD exige vraiment d'un chatbot

Avant de comparer les outils, voici ce que la conformité demande concrètement. Ce sont aussi les critères sur lesquels nous notons chaque chatbot.

1. Une base légale et un consentement clair

Il vous faut une base légale documentée pour le traitement, et dans la plupart des cas un consentement actif et éclairé avant de collecter des données personnelles. Le consentement doit être libre et spécifique : le visiteur doit savoir ce que vous collectez et pourquoi, et un refus doit limiter le chatbot plutôt que bloquer tout votre service.

2. La transparence sur le fait que c'est une IA

Le RGPD et l'AI Act poussent dans le même sens : les gens doivent savoir quand ils parlent à une machine. Un chatbot conforme indique qu'il s'agit d'une IA et n'usurpe pas l'identité d'un agent humain. C'est l'exigence la plus simple à respecter, et celle qui vous fera le plus perdre de clients si vous l'ignorez.

3. Minimisation des données et vraie politique de rétention

Ne collectez que le nécessaire, et ne le gardez que le temps justifiable. « Nous conservons les données aussi longtemps que nécessaire » n'est pas une politique de rétention au sens du RGPD. Il vous faut des durées précises liées à des finalités précises, et une suppression automatique à leur expiration. Le nettoyage manuel ne passe pas à l'échelle et ne tient pas la route.

4. Où vivent les données (localisation)

C'est le critère qui départage le marché. Des données stockées dans l'UE, ou sur une infrastructure que vous contrôlez, sont bien plus simples à défendre que des données sur des serveurs américains. Pour un hébergement hors UE, il vous faut un mécanisme de transfert valide et de la documentation. La position la plus solide, ce sont des données qui ne quittent jamais une infrastructure qui vous appartient.

5. Un contrat de sous-traitance (DPA)

Tout tiers qui traite des données personnelles pour votre compte doit signer un DPA (Data Processing Agreement). Tout éditeur sérieux en propose un. Le seul moyen de ne pas dépendre du DPA d'un sous-traitant pour le stockage, c'est de conserver les données vous-même, par auto-hébergement ou en les stockant dans votre propre base.

6. Le droit à l'effacement (et le piège des données d'entraînement)

Les visiteurs peuvent demander la suppression de leurs données, et vous devez l'honorer, généralement sous 30 jours. Deux choses rendent ça plus difficile qu'il n'y paraît. D'abord, les données de conversation se dispersent souvent dans plusieurs systèmes. Ensuite, si votre chatbot s'appuie sur un modèle d'IA tiers, vérifiez si les requêtes des utilisateurs servent à entraîner ce modèle : même si vous êtes conforme, votre prestataire ne l'est peut-être pas. Les outils sans conservation des données côté IA, ou avec des données gardées dans votre propre base, rendent cela bien plus net.

Tableau comparatif des chatbots conformes au RGPD

Voici comment les 7 outils se situent sur les critères qui comptent pour la conformité. Légende : ✓ oui, ◐ partiel ou conditionnel, ✕ non.

Solution Prix dès Hébergement Données chez vous DPA Auto-suppression
Intercom 39 $/siège/mois
+ 0,99 $/résolution		 US (multi-région) ✕ ✓ ✓
Tidio 29 €/mois
+ Lyro en supplément		 ✓ Option EU ✕ ✓ ✓
Crisp Gratuit
IA dès 95 €/mois		 ✓ UE (Amsterdam) ✕ ✓ ✓
Userlike Gratuit
dès 90 €/mois		 ✓ Allemagne ✕ ✓ ✓
Landbot Gratuit
dès 40 €/mois		 ✓ UE (Belgique) ✕ ✓ ◐
Chatwoot Gratuit (auto-hébergé)
cloud dès 19 $/agent		 Votre serveur ou cloud ◐ Auto-hébergé ✓ ✓
Agentorie Chat Gratuit
puis dès quelques €		 ✓ Votre propre serveur ✓ ✓ ✓

Les 7 chatbots les plus respectueux de la vie privée en détail

Chaque outil occupe un point différent sur le spectre de la confidentialité, des plateformes d'entreprise américaines certifiées à l'open source totalement auto-hébergé. Voici l'analyse détaillée de chacun, avec une note et le profil auquel il convient.

1. Intercom, la référence entreprise certifiée

Le plus de certifications · Fin AI · basé aux US
★★★★☆ 4,2/5

Intercom est la référence entreprise, et son agent Fin AI est réellement performant, avec une pile de certifications profonde (SOC 2, ISO 27001, HIPAA sur les paliers supérieurs) et un DPA en standard. Si vous devez satisfaire la checklist sécurité d'un service achats, peu d'outils cochent autant de cases.

Le revers est double. D'abord le coût : les sièges démarrent à 39 $ par siège et par mois, Fin AI est facturé à part à 0,99 $ par résolution, et l'empilement d'options fait grimper la facture réelle à plusieurs centaines, voire milliers de dollars par mois. Ensuite, vos données vivent sur le cloud d'Intercom, facturé en dollars, pas dans l'UE par défaut et pas sur votre propre infrastructure. Certifié ne veut pas dire souverain.

Forces

  • Pile de certifications la plus complète (SOC 2, ISO 27001, HIPAA)
  • Fin AI performant et bien construit
  • DPA en standard, posture sécurité mature
  • Solide pour les revues achats d'entreprise

Limites

  • Cher, coûts qui grimpent vite avec les options et les résolutions IA
  • Données sur le cloud d'Intercom, pas votre infrastructure
  • Facturé en dollars, pas de plan gratuit permanent
  • Surdimensionné pour un petit site
Prix dès 39 $/siège/mois
Hébergement Cloud US
Idéal pour Équipes entreprise

2. Tidio, le favori des PME e-commerce

Favori PME e-commerce · option d'hébergement EU
★★★★☆ 4,2/5

Tidio est le livechat et chatbot le plus populaire auprès des PME e-commerce, avec une interface soignée, une installation rapide et son IA Lyro qui traite une grande part des questions courantes. Il est conforme au RGPD, avec une politique de confidentialité publiée couvrant les droits des personnes et une option d'hébergement des données dans l'UE, ce qui le place déjà devant beaucoup d'outils américains sur la localisation.

Les points de vigilance : la tarification s'empile (Starter autour de 29 €/mois, IA Lyro facturée séparément et à la conversation au-delà des quotas), et vos conversations vivent toujours sur l'infrastructure de Tidio plutôt que dans votre propre base. Conforme, mais pas souverain.

Forces

  • Option d'hébergement des données dans l'UE
  • Interface soignée, installation très rapide
  • Fortes intégrations e-commerce (Shopify, WooCommerce)
  • DPA et droits sur les données documentés

Limites

  • IA Lyro facturée séparément et à la conversation
  • Données sur les serveurs de Tidio, pas les vôtres
  • Coûts qui grimpent avec le volume
  • Plan gratuit limité
Prix dès 29 €/mois
Hébergement Option EU
Idéal pour PME e-commerce

3. Crisp, la meilleure option européenne grand public

Français · données hébergées à Amsterdam · tout-en-un
★★★★☆ 4,4/5

Crisp est la meilleure option européenne grand public. Basé à Nantes, avec des données de messagerie hébergées exclusivement à Amsterdam, c'est l'une des rares plateformes qui, en pratique, garde les données de conversation européennes dans l'UE. Il réunit livechat, boîte de réception partagée, base de connaissances, CRM léger et son IA Hugo en un produit cohérent, avec un plan gratuit réellement utile pour un livechat à deux agents.

Deux réserves honnêtes. Le chatbot IA ne se débloque qu'au plan Essentials, autour de 95 euros par mois, ce qui exclut les petits sites qui voulaient juste un peu d'automatisation. Et si les données de messagerie restent dans l'UE, certaines données relais ont historiquement transité par des serveurs hors UE, donc vérifiez la configuration actuelle si vos exigences sont strictes.

Forces

  • Données de messagerie hébergées dans l'UE (Amsterdam)
  • Tout-en-un : chat, IA, inbox, CRM, base de connaissances
  • Plan gratuit pour le livechat de base
  • Société européenne, alignée RGPD par conception

Limites

  • Chatbot IA réservé au plan à environ 95 €/mois
  • Certaines données relais ont transité hors UE
  • Données toujours sur le cloud de Crisp, pas le vôtre
  • Analytics plus légères que les outils entreprise
Prix dès Gratuit
Hébergement UE (Amsterdam)
Idéal pour Équipes support EU

4. Userlike (Lime Connect), le « made in Germany »

Conçu et hébergé en Allemagne · certifié ISO 27001
★★★★☆ 4,3/5

Userlike, désormais Lime Connect, est la référence « made in Germany » de la protection des données. Toutes les données de chat sont chiffrées et stockées exclusivement sur des serveurs certifiés ISO 27001 en Allemagne, avec des fonctions de suppression automatique et une posture façonnée par certaines des règles les plus strictes d'Europe. Pour les entreprises du marché DACH, c'est souvent le choix sûr par défaut, utilisé par des noms comme Toyota et Hermes.

Les compromis sont le prix et le périmètre. Le plan gratuit se limite à un seul siège sans IA, le plan Team démarre autour de 90 euros par mois pour quatre sièges, et l'agent IA est une option payante à partir d'environ 99 euros par mois en plus. Et comme les autres SaaS ici, vos données vivent sur les serveurs allemands de Userlike, ce qui est excellent pour la localisation, mais ce n'est toujours pas votre propre base.

Forces

  • Données stockées exclusivement en Allemagne, certifié ISO 27001
  • Suppression automatique, fortes fonctions de confidentialité
  • Adopté par de grandes entreprises DACH
  • Omnicanal (web, WhatsApp, Instagram, e-mail)

Limites

  • L'IA est une option payante en plus du plan de base
  • Prix d'entrée élevé (environ 90 €/mois pour 4 sièges)
  • Données sur les serveurs de Userlike, pas les vôtres
  • Plus lourd qu'un simple bot de site
Prix dès Gratuit
Hébergement Allemagne
Idéal pour Marché DACH

5. Landbot, le no-code hébergé en UE

No-code · hébergé en Belgique (UE)
★★★★☆ 4,0/5

Landbot est un constructeur conversationnel no-code centré sur les parcours de génération de leads, hébergé en Belgique sur Google Cloud (UE), ce qui rend la localisation des données dans l'UE simple. Son éditeur en glisser-déposer est rapide et agréable, et un plan gratuit permanent (Sandbox, 100 conversations par mois) permet de valider un cas d'usage sans frais.

Deux choses à peser. Landbot est plus proche des parcours à règles que d'une vraie IA conversationnelle, même avec sa couche AI Agent, et les conversations IA sont fortement plafonnées sur les paliers bas. Et le prix grimpe : Starter autour de 40 euros par mois, Pro autour de 100 euros, avec des frais de dépassement sur les conversations et les sièges. Bonne localisation UE, mais plus un constructeur de parcours qu'un assistant profondément conversationnel.

Forces

  • Localisation des données dans l'UE (Belgique, Google Cloud)
  • Éditeur no-code en glisser-déposer rapide
  • Plan gratuit permanent pour démarrer
  • Solide pour le lead gen et les parcours WhatsApp

Limites

  • Plus proche des parcours à règles que d'une vraie IA
  • Conversations IA fortement plafonnées sur les paliers bas
  • Frais de dépassement sur conversations et sièges
  • Données sur le cloud de Landbot, pas les vôtres
Prix dès Gratuit
Hébergement UE (Belgique)
Idéal pour Lead gen no-code

6. Chatwoot, l'open source auto-hébergeable

Open source · auto-hébergeable · souveraineté totale
★★★★☆ 4,1/5

Chatwoot est la réponse open source à Intercom et Zendesk : une boîte de réception partagée pour le livechat, l'e-mail et les réseaux sociaux, avec un cœur sous licence MIT que vous pouvez auto-héberger gratuitement. L'auto-hébergement est la meilleure position de confidentialité possible, vos données de conversation ne quittent jamais des serveurs que vous contrôlez, ce qui élimine entièrement la question des transferts transfrontaliers. Son agent Captain AI ajoute de l'automatisation par-dessus.

Le coût est opérationnel. L'auto-hébergement signifie faire tourner un serveur Linux avec PostgreSQL et Redis, gérer vous-même les mises à jour, la sécurité et la montée en charge, et certaines fonctions avancées (SSO, journaux d'audit) sont derrière une licence entreprise payante. Le cloud managé démarre à 19 $ par agent et par mois si vous préférez ne pas gérer d'infrastructure, mais vos données reviennent alors sur les serveurs de Chatwoot. Contrôle total des données, en échange de travail DevOps.

Forces

  • Open source, auto-hébergement gratuit avec contrôle total des données
  • Les données ne quittent jamais vos serveurs en auto-hébergé
  • Boîte de réception omnicanale
  • Agent Captain AI pour l'automatisation

Limites

  • L'auto-hébergement impose de faire tourner et sécuriser des serveurs
  • Fonctions avancées derrière une licence entreprise payante
  • La version cloud remet les données sur leurs serveurs
  • Tarif cloud par agent qui s'additionne
Prix dès Gratuit (auto-hébergé)
Hébergement Votre serveur
Idéal pour Équipes techniques

7. Agentorie Chat, les données dans votre propre base

Données dans votre base WordPress/PrestaShop · hybride IA + humain
★★★★★ Nouveau

Transparence totale : Agentorie Chat est notre propre produit. Nous l'avons placé en dernier pour vous laisser évaluer les autres d'abord. Voici ce qu'il fait différemment sur la confidentialité précisément.

Le choix de conception central, c'est la localisation des données. Le contenu indexé reste dans votre propre base de données WordPress ou PrestaShop, pas sur nos serveurs ni sur un stockage tiers (hors l'étape de traitement IA elle-même). Cela vous donne le bénéfice de souveraineté de l'auto-hébergement, sans faire tourner d'infrastructure de chatbot séparée comme l'exige Chatwoot. En plus, la reprise hybride IA vers humain en un clic est incluse dès le plan gratuit (Tidio et Crisp réservent l'IA ou la reprise à des paliers payants), et la compréhension multilingue est native, avec plus de 50 langues et une détection automatique de la langue du visiteur.

Les limites que nous assumons : nous sommes plus jeunes qu'Intercom, Crisp ou Userlike, avec moins d'avis publics et une communauté encore en construction. Notre périmètre est volontairement centré sur WordPress et PrestaShop (plus une solution sur mesure), pas toutes les plateformes. Et l'interface est volontairement minimaliste, ce qui peut sembler austère à côté du vernis d'Intercom. Le support est disponible en plusieurs langues, avec un focus sur la qualité plutôt que sur un call center 24/7.

Forces

  • Données indexées conservées dans votre propre base WordPress/PrestaShop
  • Souveraineté des données sans gérer votre propre infrastructure
  • Reprise hybride IA + humain incluse dans le plan gratuit
  • Plan gratuit : 100 conversations par mois, sans CB
  • 50+ langues avec détection automatique
  • Aussi une option sur mesure, sans abonnement

Limites

  • Produit plus jeune (lancé en 2026)
  • Moins d'avis publics que les leaders
  • Périmètre centré sur WordPress et PrestaShop
  • Interface volontairement minimaliste
Prix dès Gratuit puis quelques €
Hébergement Votre propre serveur
Idéal pour Sites RGPD-stricts

Quel chatbot conforme au RGPD choisir ?

Il n'y a pas de gagnant universel. Voici le meilleur choix selon votre profil :

Entreprise avec checklist achats

Il vous faut SOC 2, ISO 27001, peut-être HIPAA, et un éditeur qui passe une revue sécurité formelle. Le budget passe après les certifications.

Intercom

Les données ne doivent jamais quitter vos serveurs

Contexte réglementé ou très sensible où la réponse la plus propre, ce sont des données sur une infrastructure que vous contrôlez, et vous avez l'équipe pour la gérer.

Chatwoot ou Agentorie Chat

E-commerce sous WordPress ou PrestaShop

Vous voulez une IA qui lit le catalogue plus la sécurité RGPD, avec les données idéalement dans la base de votre propre boutique.

Agentorie Chat ou Tidio

Marché DACH / germanophone

Vos clients attendent un hébergement allemand et une certification ISO comme prérequis, pas comme option premium.

Userlike

Équipe support EU, tout-en-un

Vous voulez chat, inbox, IA et CRM dans un seul outil hébergé en UE, et vous avez le budget IA qui va avec.

Crisp

Parcours de lead gen no-code

Les parcours conversationnels marketing et les campagnes WhatsApp avec localisation UE comptent plus pour vous que l'IA poussée.

Landbot

Questions fréquentes

ChatGPT en lui-même n'est pas automatiquement conforme au RGPD pour un usage professionnel. Si vous intégrez une connexion ChatGPT ou OpenAI brute sur votre site, vous êtes responsable de la base légale, du consentement, de la minimisation des données et d'un DPA, et vous devez vérifier si les requêtes des utilisateurs servent à entraîner le modèle. La conformité dépend de la façon dont vous le configurez et le déployez, pas du modèle seul. Un chatbot bâti sur une architecture conforme, avec un hébergement UE ou des données gardées dans votre propre base, un DPA signé et des règles de rétention claires, est la voie la plus sûre.

Plusieurs choses ensemble : une base légale documentée et un consentement clair avant de traiter des données personnelles, la transparence sur le fait que l'utilisateur parle à une IA (aussi une exigence de l'AI Act), la minimisation des données, un DPA signé avec tout sous-traitant, une localisation des données connue, le droit à l'effacement avec suppression automatique, et une vraie politique de rétention avec des durées précises. Aucune fonction unique ne rend un chatbot conforme. C'est la combinaison, plus l'endroit où vivent physiquement les données.

Oui. Si un tiers traite des données personnelles pour votre compte, un contrat de sous-traitance (DPA) signé est obligatoire au titre du RGPD. Tout éditeur sérieux de ce comparatif en propose un. Le seul moyen d'éviter de dépendre du DPA d'un sous-traitant pour le stockage, c'est de garder les données sur une infrastructure que vous contrôlez, par auto-hébergement ou via un outil qui stocke les données indexées directement dans votre propre base.

Idéalement dans l'UE, ou sur une infrastructure que vous contrôlez. Les outils hébergés dans l'UE (Crisp à Amsterdam, Userlike en Allemagne, Landbot en Belgique) gardent les données en Europe sur leurs propres serveurs. Les outils auto-hébergés et ceux qui stockent les données indexées dans votre propre base vont plus loin : les données ne quittent jamais une infrastructure qui vous appartient. Pour un hébergement hors UE, il vous faut un mécanisme de transfert valide et un DPA, et vous devriez le documenter.

Pour la plupart des sites, oui, mais légèrement. La plupart des chatbots sont classés à risque limité, donc l'obligation principale est la transparence : les utilisateurs doivent être clairement informés qu'ils interagissent avec une IA. D'ici août 2026, les chatbots en service devront respecter ces exigences de transparence en plus du RGPD. Les obligations plus strictes comme la documentation technique, la supervision humaine et l'évaluation de conformité ne s'appliquent que si votre cas d'usage est à haut risque, ce que ne sont pas la plupart des bots de support ou d'e-commerce.

Cela peut, car les données restent sur une infrastructure que vous contrôlez, ce qui élimine la question des transferts transfrontaliers et réduit la dépendance à un sous-traitant. La contrepartie, c'est que vous faites tourner et sécurisez les serveurs, gérez les mises à jour et assumez la maintenance. Une voie intermédiaire est un outil qui garde les données indexées dans votre base existante sans vous obliger à exploiter une infrastructure de chatbot séparée, ce qui offre une bonne partie du bénéfice de souveraineté sans la charge DevOps.

En résumé

La conformité RGPD des chatbots en 2026 se résume à quelques questions : où vivent physiquement vos données, y a-t-il un DPA signé, pouvez-vous supprimer les données sur demande et dans les délais, et le bot indique-t-il qu'il s'agit d'une IA ? L'AI Act ajoute la couche transparence, et août 2026 est l'échéance pratique pour avoir tout cela en ordre.

Intercom l'emporte sur les certifications si le budget n'est pas un problème. Crisp est la meilleure option européenne grand public. Userlike est la référence de la localisation allemande. Landbot couvre les parcours no-code en UE. Chatwoot offre un contrôle total des données si vous pouvez gérer les serveurs. Et Agentorie Chat, notre outil, est conçu pour le cas précis où les données indexées restent dans votre propre base WordPress ou PrestaShop, la souveraineté de l'auto-hébergement sans l'infrastructure, avec un vrai plan gratuit.

Quel que soit votre choix, obtenez un DPA signé avant la mise en production, documentez où sont stockées vos données, et indiquez le bot à vos visiteurs. La conformité est une combinaison du bon outil et de la bonne configuration, jamais l'outil seul.