Chatbot interne : ce qu’il peut lire, pour qui, et ce que la loi impose
- Un chatbot interne répond aux salariés, pas aux clients. Il puise dans les documents de l’entreprise, ce qui déplace le sujet de la technique vers le périmètre de données.
- La question qui décide de la réussite du projet n’est pas « quel modèle ? » mais « quelle source, pour quel public, sur quel hébergement ? ». Le routeur ci-dessous balaie les 120 combinaisons.
- En France, le droit du travail mord avant l’AI Act : le 29 janvier 2026, le tribunal judiciaire de Nanterre a suspendu le déploiement de deux logiciels RH dopés à l’IA, sous astreinte de 500 euros par jour, faute de consultation du comité social et économique.
- Depuis le 2 août 2026, l’article 50 de l’AI Act oblige à dire au salarié qu’il parle à une IA. Le régime « haut risque » de l’annexe III, lui, a été repoussé au 2 décembre 2027 par le règlement omnibus.
Près d’une entreprise sur cinq (18 %) utilise désormais au moins une technologie d’intelligence artificielle en France, et près de six sur dix au-delà de 250 salariés (Insee Première n° 2120, paru le 21 juillet 2026). Dans les faits, le premier projet qui sort des cartons ressemble presque toujours au même : un assistant qui répond aux questions des salariés à la place du service RH, du support informatique ou de l’intranet.
Sur le papier, c’est simple. Dans la pratique, la plupart de ces projets calent au même endroit, et ce n’est ni le modèle de langage, ni le budget. C’est le moment où quelqu’un demande : « attends, il va lire quoi exactement, et qui aura le droit de lui poser la question ? » Cet article part de là.
Un chatbot interne, ce n’est pas un chatbot de site web
Les deux se ressemblent à l’écran et n’ont presque rien en commun derrière. Un chatbot de site web parle à des inconnus, avec un corpus public que vous assumez de publier. Un chatbot interne parle à des personnes identifiées, avec un corpus que vous n’avez jamais eu l’intention de rendre lisible d’un seul coup.
| Ce qui change | Chatbot de site web | Chatbot interne |
|---|---|---|
| Interlocuteur | Visiteur anonyme | Salarié identifié, avec un rôle et un service |
| Corpus | Pages publiques, FAQ, catalogue | Intranet, procédures, tickets, documents RH, CRM |
| Risque principal | Une réponse fausse à un prospect | Une réponse vraie à quelqu’un qui n’avait pas le droit de la lire |
| Ce qui bloque un projet | Le ton et la couverture des questions | Les droits d’accès et le cadrage juridique |
| Instance à impliquer | Marketing, service client | DSI, RH, délégué à la protection des données, comité social et économique |
Si votre besoin est du côté gauche du tableau, ce n’est pas cette page qu’il vous faut : allez voir notre panorama des différents types de chatbots, qui pose les familles techniques, ou le comparatif des solutions chatbot pour entreprise si vous en êtes au choix du logiciel.
Ce qu’un chatbot interne sait faire aujourd’hui
Chiffres de l’Insee, enquête sur les technologies de l’information dans les entreprises en 2025, publiée le 21 juillet 2026. Le taux d’usage a triplé depuis 2023. Les usages qui reviennent le plus souvent dans un déploiement interne tiennent en cinq lignes.
- Le libre-service RH. Combien de jours de congés me reste-t-il, comment poser un congé sans solde, quelle est la procédure de note de frais. C’est le terrain historique du chatbot RH, qui absorbe les questions répétitives.
- Le support informatique de premier niveau. Réinitialiser un mot de passe, connecter une imprimante, retrouver la procédure de VPN, avec la base de connaissances du service comme corpus.
- L’intégration des nouveaux arrivants. Un salarié qui arrive pose entre trente et cinquante questions dont aucune n’est difficile, et toutes coûtent du temps à quelqu’un.
- La recherche documentaire. Retrouver la bonne version d’une procédure qualité ou d’un contrat cadre, sans savoir dans quel dossier elle a été rangée.
- L’assistance métier. Un commercial qui interroge le catalogue et les conditions tarifaires, un technicien qui interroge la documentation d’un équipement.
Techniquement, tout cela repose sur la même mécanique : le bot ne « connaît » rien, il va chercher les passages pertinents dans vos documents puis rédige une réponse à partir d’eux. C’est le principe du RAG, et c’est précisément ce qui rend la question du périmètre incontournable : ce que le bot peut retrouver, il le restituera.
Le vrai sujet : quelles données il a le droit de lire, et pour qui
Un projet de chatbot interne se joue sur trois axes, et un seul suffit à le faire dérailler : la source que vous branchez, le public qui interroge, et l’hébergement qui traite. Une même source peut être parfaitement indexable pour une équipe et totalement hors sujet pour l’ensemble des salariés.
Les huit sources internes, et ce qu’elles impliquent
Ce tableau est la table de référence du routeur qui suit. La colonne « données personnelles » distingue les sources sans donnée nominative, celles qui en contiennent de façon courante, et celles qui portent des données évaluatives ou sensibles au sens de l’article 9 du RGPD.
| Source interne | Données personnelles | Publics au besoin légitime | Point de vigilance |
|---|---|---|---|
| Intranet, notes de service, procédures | Aucune ou marginale | Tous | L’intranet garde des notes nominatives oubliées (mobilités, organigrammes de projet, sanctions) : passez-le au crible avant l’indexation, pas après. |
| Base de connaissances IT et FAQ du support | Aucune | Tous | Les vieux articles contiennent des procédures de contournement et parfois des mots de passe de service : purge obligatoire avant de brancher l’index. |
| Tickets de support déjà résolus | Courantes | Équipe métier, managers, direction | Un ticket porte le nom de son auteur, parfois un motif d’absence ou une pièce jointe personnelle : anonymisez à l’ingestion ou restreignez l’accès. |
| Textes RH collectifs (convention, accords, congés) | Aucune | Tous | Ces textes sont opposables : indexez la version en vigueur et datez-la, sinon le bot fera dire au droit le contraire de ce qu’il dit. |
| Dossiers individuels RH (paie, évaluations, absences) | Sensibles | Service RH | Un index documentaire ne sait pas restituer « seulement mon équipe » : tant que les droits ne sont pas portés document par document, ces dossiers restent dehors. |
| CRM, fiches et échanges clients | Courantes | Équipe métier, managers, direction | Ce sont les données de vos clients, pas les vôtres : la finalité inscrite au registre des traitements doit couvrir explicitement cet usage. |
| Comptabilité, budgets, tableaux de bord financiers | Aucune | Équipe métier, managers, direction | Pas de donnée personnelle, mais du secret des affaires : un chiffre sorti de son contexte par un bot circule beaucoup plus vite qu’un fichier. |
| Boîtes mail et fils de messagerie des équipes | Sensibles | Aucun | La correspondance échappe au périmètre : messages personnels, secret des correspondances, tiers jamais informés. À laisser hors de tout index. |
Les cinq publics possibles
- Tous les salariés, sans distinction de service : le bot ne doit alors contenir que ce qui pourrait être affiché sur le panneau d’affichage.
- Une seule équipe métier (support informatique, service client, atelier) : le besoin d’en connaître est délimité par le périmètre de l’équipe, encore faut-il pouvoir le démontrer.
- Les managers : leur besoin d’en connaître s’arrête à leur propre équipe, ce qu’un index documentaire ne distingue pas tout seul.
- Le service RH : seul public dont la finalité couvre les données individuelles de personnel, à condition que chaque accès reste tracé.
- La direction : périmètre large sur le pilotage, mais aucune raison d’accéder aux dossiers individuels de personnel.
Les trois modes d’hébergement
- Instance auto-hébergée ou cloud dédié dans l’Union européenne : vous êtes responsable de traitement et hébergeur, la chaîne de sous-traitance est courte et documentable.
- Service en ligne professionnel traitant dans l’Union européenne, avec un contrat de sous-traitance signé au titre de l’article 28 du RGPD et une clause de non-réutilisation des données pour l’entraînement.
- Outil d’IA grand public sur un compte standard, sans contrat de sous-traitance : aucune donnée de l’entreprise n’y a sa place, c’est exactement le scénario du « shadow AI ».
Le routeur de cadrage : que puis-je indexer, pour qui ?
Choisissez une source, un public et un mode d’hébergement. Le routeur applique les règles ci-dessus et affiche le verdict, la vigilance propre à la source, la limite propre au public et l’exigence contractuelle propre à l’hébergement. Les 120 combinaisons sont couvertes.
L’indexation est possible, à trois conditions : restreindre l’accès au seul public visé, inscrire la finalité au registre des traitements, et mener une analyse d’impact au titre de l’article 35 du RGPD dès que les données sont évaluatives.
- Source : L’intranet garde des notes nominatives oubliées (mobilités, organigrammes de projet, sanctions) : passez-le au crible avant l’indexation, pas après.
- Public : Tous les salariés, sans distinction de service : le bot ne doit alors contenir que ce qui pourrait être affiché sur le panneau d’affichage.
- Hébergement : Service en ligne professionnel traitant dans l’Union européenne, avec un contrat de sous-traitance signé au titre de l’article 28 du RGPD et une clause de non-réutilisation des données pour l’entraînement.
Ce que le droit français impose déjà, avant même l’AI Act
C’est le point que les pages consacrées au chatbot interne oublient presque toutes : en France, un projet d’assistant destiné aux salariés déclenche des obligations de droit du travail bien avant toute question européenne. Deux articles du Code du travail suffisent.
L’article L. 2312-8 prévoit que le comité social et économique est informé et consulté sur « l’introduction de nouvelles technologies, tout aménagement important modifiant les conditions de santé et de sécurité ou les conditions de travail ». L’article L. 2312-38 ajoute qu’il est informé, préalablement à leur introduction, sur « les traitements automatisés de gestion du personnel », et informé et consulté, préalablement à la décision de mise en œuvre, sur « les moyens ou les techniques permettant un contrôle de l’activité des salariés ».
Une décision de 2026 qui fixe le curseur
Le 29 janvier 2026, le tribunal judiciaire de Nanterre, statuant en référé (RG n° 25/02856), a tranché un litige entre le comité social et économique central de CS Group France, société de 2 241 salariés, et sa direction. Celle-ci remplaçait un logiciel de gestion des compétences par deux nouveaux outils intégrant de l’IA, sans procédure d’information consultation, au motif que l’outil précédent utilisait déjà de l’intelligence artificielle.
Le juge donne acte de cet argument : il constate que l’ancien logiciel « employait déjà des technologies d’intelligence artificielle » et que les fonctionnalités des nouveaux « n’excèdent pas substantiellement » les précédentes. Et il ordonne quand même la suspension. Ce qui emporte la décision, ce sont trois faits d’un autre ordre :
-
Le périmètre change d’échelle
L’ancien outil ne concernait que deux unités opérationnelles. Le nouveau concerne « tous les salariés ».
-
L’usage n’est pas présenté comme facultatif
Le procès-verbal de l’instance indique que les managers inciteraient les équipes à l’investir et que son adoption serait « inévitable ».
-
Les données servent à évaluer
Elles alimentent les entretiens annuels, l’évaluation des collaborateurs, l’affectation sur les missions et le plan de développement des compétences, ce que l’ancien outil ne faisait pas.
Le tribunal ordonne l’ouverture de la consultation et la suspension du déploiement, chacune sous astreinte de 500 euros par jour de retard, à compter d’un mois après signification et pour une durée maximale de 90 jours, plus 2 000 euros au titre de l’article 700 du code de procédure civile.
AI Act : ce qui s’applique depuis le 2 août 2026, et ce qui a été repoussé
Le règlement européen sur l’intelligence artificielle, dit AI Act (règlement UE 2024/1689), s’applique par étapes. Le calendrier vient d’être modifié : le règlement UE 2026/1744 du 8 juillet 2026, publié au Journal officiel de l’Union européenne le 24 juillet 2026 et connu sous le nom d’omnibus numérique, a repoussé une partie des échéances. Voici l’état réel des obligations pour un assistant interne.
| Obligation | Ce que ça veut dire pour un chatbot interne | Applicable |
|---|---|---|
| Article 5, point 1 f) | Interdiction d’utiliser une IA pour inférer les émotions d’une personne sur le lieu de travail, sauf raisons médicales ou de sécurité. Un bot qui note l’humeur des salariés est hors la loi. | Depuis le 2 février 2025 |
| Article 4 | Obligation de maîtrise de l’IA : former les personnes qui utilisent le système et celles qui le déploient, à hauteur de leur usage. | Depuis le 2 février 2025 |
| Article 50, paragraphe 1 | Dire à l’utilisateur qu’il parle à une IA, sauf si c’est évident pour une personne raisonnablement attentive. Une mention claire à l’ouverture de la conversation suffit. | Depuis le 2 août 2026 |
| Annexe III, point 4 | Régime haut risque si le système sert au recrutement, à la promotion, à la rupture du contrat, à l’affectation des tâches ou au suivi et à l’évaluation des performances. | Repoussé au 2 décembre 2027 |
Le détail qui compte : un chatbot qui répond à des questions sur la convention collective n’est pas un système à haut risque. Le même chatbot dont les échanges alimentent l’entretien annuel bascule dans l’annexe III, point 4, et emporte avec lui l’obligation d’informer les représentants du personnel prévue à l’article 26, paragraphe 7. C’est cette obligation-là qui vient d’être repoussée à décembre 2027 par l’omnibus.
Côté données personnelles, rien de nouveau non plus : registre des traitements, minimisation, durée de conservation, information des personnes. Nous avons détaillé ces obligations, côté chatbot ouvert au public, dans notre guide chatbot et RGPD. En interne, deux points s’ajoutent : l’analyse d’impact de l’article 35 devient difficilement évitable dès que le corpus touche des données évaluatives, et la traçabilité des accès devient la preuve que le cloisonnement annoncé existe vraiment.
Trois familles de solutions, et où passent les données
Nous ne classons pas ici les éditeurs par fonctionnalités, c’est l’objet de notre comparatif de solutions. Nous les classons par trajet des données, puisque c’est ce qui décide de la moitié des verdicts du routeur.
1. L’assistant greffé sur la suite bureautique
C’est le chemin le plus court quand l’entreprise vit déjà dans Microsoft 365 ou Google Workspace : l’assistant hérite des autorisations en place. Microsoft le formule sans détour dans sa documentation officielle, et cette phrase mérite d’être lue deux fois avant de lancer un projet.
Avantage : aucune migration de corpus, les droits sont ceux que vous gérez déjà. Inconvénient : si votre gouvernance de partage est approximative, l’assistant le rendra visible en quelques jours, et pas auprès de l’équipe sécurité.
2. La plateforme de création dédiée
Vous construisez le bot, vous choisissez les sources que vous lui donnez, et rien d’autre n’entre dans l’index. C’est l’approche des plateformes no-code comme Botnation AI, qui permet de connecter ses propres données et de choisir le modèle de langage sous-jacent.
Avantage : le périmètre est explicite, ce qui rend le cadrage juridique lisible. Inconvénient : il faut construire et entretenir le corpus, ce qui est un vrai poste de charge et le premier oublié des budgets.
3. Le déploiement souverain ou auto-hébergé
Pour les corpus les plus sensibles, la seule réponse au troisième axe du routeur est de rapatrier le traitement. Plusieurs éditeurs le proposent en offre entreprise, dont le français Mistral AI, qui indique dans sa documentation produit que ses clients entreprise peuvent déployer son agent sur site, dans un cloud privé ou sur son propre cloud.
Avantage : la chaîne de sous-traitance se réduit, et les sources sensibles redeviennent envisageables. Inconvénient : le coût et les compétences nécessaires sortent du périmètre de la plupart des structures de moins de 250 salariés, ce qui rejoint le 54 % de l’Insee sur le manque d’expertise.
Cinq erreurs qui font échouer un chatbot interne
- Démarrer sur une source non personnelle et bien tenue, typiquement la base de connaissances du support.
- Dater chaque document indexé et prévoir qui le met à jour.
- Afficher les sources de chaque réponse, pour que le salarié puisse vérifier.
- Consulter le comité social et économique avant la phase pilote, pas après.
- Brancher tout le serveur de fichiers « pour voir », en comptant régler les droits plus tard.
- Indexer les boîtes mail parce que « c’est là qu’est la connaissance ».
- Laisser les salariés coller des documents internes dans un outil grand public faute d’alternative fournie.
- Traiter la phase pilote comme une expérimentation sans conséquence juridique.
La cinquième erreur mérite son paragraphe : croire que le corpus se fera tout seul. Un chatbot interne ne crée pas de connaissance, il la restitue. Une entreprise dont les procédures sont périmées obtient un bot qui diffuse des procédures périmées, plus vite et à plus de monde. Le travail de tri en amont représente presque toujours la majorité de la charge du projet, et c’est celui qu’aucune démonstration commerciale ne montre.
Questions fréquentes
Quelle est la différence entre un chatbot interne et un chatbot d’entreprise ?
« Chatbot d’entreprise » désigne l’usage professionnel en général, clients compris. « Chatbot interne » désigne le sous-ensemble tourné vers les salariés : libre-service RH, support informatique, recherche documentaire. La distinction n’est pas cosmétique, elle change l’interlocuteur, le corpus et les obligations déclenchées.
Faut-il consulter le comité social et économique avant de déployer un chatbot interne ?
Dans les entreprises d’au moins cinquante salariés, oui dès que le projet relève de l’introduction d’une nouvelle technologie modifiant les conditions de travail (article L. 2312-8 du Code du travail), ou d’un traitement automatisé de gestion du personnel (article L. 2312-38). L’ordonnance du tribunal judiciaire de Nanterre du 29 janvier 2026 a suspendu un déploiement sur ce fondement, y compris en phase pilote.
Un chatbot interne peut-il lire les e-mails des salariés ?
C’est la source à écarter en premier. La messagerie mêle correspondance professionnelle, messages identifiés comme personnels et données de tiers qui n’ont jamais été informés. Aucune configuration du routeur ci-dessus ne rend cette source acceptable, quel que soit le public ou l’hébergement.
Doit-on prévenir les salariés qu’ils parlent à une intelligence artificielle ?
Oui. L’article 50 de l’AI Act, applicable depuis le 2 août 2026, impose d’informer les personnes physiques qu’elles interagissent avec un système d’IA, sauf si cela est évident pour une personne raisonnablement attentive. Une mention à l’ouverture de la conversation répond à l’obligation.
Combien de temps faut-il pour déployer un chatbot interne ?
La partie technique se compte en jours sur une plateforme no-code. Le calendrier réel est dicté par deux autres postes : la préparation du corpus, qui dépend de l’état de vos documents, et la procédure d’information consultation, qui suit ses propres délais légaux. Anticiper la seconde en même temps que la première évite de découvrir un blocage une fois l’outil prêt.
Un chatbot interne est-il un système à haut risque au sens de l’AI Act ?
Pas par nature. Il le devient s’il sert au recrutement, à la promotion, à la rupture du contrat, à l’affectation des tâches ou au suivi et à l’évaluation des performances (annexe III, point 4). Les obligations correspondantes s’appliqueront le 2 décembre 2027, date fixée par le règlement UE 2026/1744 du 8 juillet 2026.
Peut-on utiliser un outil d’IA grand public comme chatbot interne ?
Pour un corpus strictement public, comme une convention collective, il n’y a pas d’obstacle. Dès que des documents internes ou des données personnelles entrent en jeu, l’absence de contrat de sous-traitance au titre de l’article 28 du RGPD ferme la porte. Et l’interdire sans fournir d’alternative produit surtout du « shadow AI ».
Ce qu’il faut retenir
Un chatbot interne réussi n’est pas celui qui a le meilleur modèle, c’est celui dont on sait dire, source par source et public par public, ce qu’il a le droit de lire. Ce cadrage prend une demi-journée avec le routeur ci-dessus, un tableur et les bonnes personnes autour de la table. Le refaire après une mise en production coûte beaucoup plus cher, et parfois 500 euros par jour.
Botnation AI permet de construire un chatbot connecté à vos propres données, avec un périmètre que vous choisissez source par source.
