Chatbot IA pour le service client : checklist avant de le déployer dans une TPE

Un chatbot génératif peut retrouver une procédure ou recueillir une demande, mais il peut aussi inventer un prix, accepter une promesse impossible ou exposer une information interne. Cette page ne liste pas des idées d’usage individuel de l’IA : elle explique comment décider, tester et exploiter un agent conversationnel face à de vrais clients, avec un périmètre limité et une sortie humaine.

1. Vérifiez que le chatbot résout une cause réelle

Listez les cinquante dernières demandes et regroupez-les : horaires, zone desservie, suivi, prix, prise de rendez-vous, incident, réclamation ou cas métier. Comptez celles dont la réponse est stable, publique et déjà validée. Un chatbot est pertinent si une part suffisante peut être traitée sans interprétation risquée et si le client gagne réellement du temps.

Commencez par corriger les pages et messages qui créent la confusion. Le guide pour réduire les appels répétitifs aide à identifier l’information manquante. Si une FAQ claire ou un formulaire court résout le problème, la solution sera souvent moins coûteuse, plus prévisible et plus accessible qu’un modèle génératif.

Chiffrez le coût complet : abonnement, intégration, préparation des contenus, tests, surveillance, correction, traitement humain, incidents et sortie du fournisseur. Ne comparez pas seulement le prix par conversation au temps d’un salarié. Une réponse fausse sur une garantie, un délai ou une annulation peut coûter bien plus que quelques minutes économisées.

Fixez une décision de non-déploiement. Un chatbot ne doit pas gérer seul une urgence, un diagnostic médical ou juridique, une menace, une contestation sensible, une décision produisant un effet important, ni un engagement commercial hors règles validées. Selon le métier, retirez entièrement ces sujets et dirigez immédiatement la personne vers le bon canal.

2. Écrivez ce que le bot peut faire, refuser et transmettre

Formulez une mission observable : « répondre à partir des pages validées sur les horaires, zones, préparation d’un rendez-vous et état d’une demande ; recueillir les coordonnées nécessaires ; transférer le reste ». Évitez « assistant complet de l’entreprise ». Plus le mandat est large, plus il devient difficile à tester et à expliquer.

Créez trois listes. La liste verte contient les réponses autorisées et leurs sources. La liste orange contient les sujets qui exigent une clarification ou une validation humaine : remise, délai exceptionnel, geste commercial, modification de contrat. La liste rouge déclenche un refus sûr et un relais : urgence, paiement sensible, mot de passe, santé, litige, menace ou demande de données d’un tiers.

Interdisez les actions non prévues. Si le chatbot peut consulter un dossier, limitez les champs et exigez une authentification adaptée. S’il peut créer une demande, séparez la proposition de l’exécution : récapitulatif visible, confirmation de l’utilisateur et trace. Un modèle ne doit jamais inventer l’identité du client ou modifier un contrat sur la seule base d’un message ambigu.

Définissez aussi le ton, sans sacrifier la précision. Le bot dit ce qu’il sait, cite la source interne pertinente, reconnaît l’incertitude et n’imite pas une personne. La charte d’utilisation de l’IA générative peut fixer les règles internes ; le présent cahier des charges concerne le système exposé aux clients.

3. Donnez une base documentaire courte, datée et responsable

Un chatbot ne rend pas une documentation fausse plus fiable. Recensez les contenus de référence : horaires, tarifs publics, conditions, zones, délais indicatifs, procédures, coordonnées et limites. Attribuez un propriétaire et une date de révision à chaque source. Supprimez les anciennes versions de l’index du bot, même si elles restent archivées ailleurs.

Découpez les contenus par question réelle, avec une réponse autonome et les conditions. « Délai : 48 heures » est dangereux si ce délai dépend de la zone ou du type de service. Écrivez plutôt la règle, les exceptions et le canal de confirmation. Le guide pour créer une FAQ utile aide à transformer les formulations internes en réponses compréhensibles.

Exigez que le bot réponde seulement à partir des sources autorisées lorsque le produit le permet. Affichez un lien ou un intitulé de source pour les informations importantes. Fixez un seuil en dessous duquel il doit dire qu’il ne peut pas confirmer et transférer. Un score technique n’est pas une garantie de vérité ; testez le comportement final.

Organisez la publication : une modification de prix ne doit pas être visible sur le site et rester ancienne dans le chatbot pendant trois semaines. Prévoyez l’indexation, la validation, un contrôle après mise à jour et un retour à la version précédente. Désactivez rapidement une source compromise ou obsolète.

4. Dites clairement que l’interlocuteur est une IA

Depuis le 2 août 2026, l’article 50 du règlement européen sur l’intelligence artificielle prévoit notamment que les fournisseurs veillent à ce que les systèmes destinés à interagir directement avec des personnes soient conçus pour les informer qu’elles interagissent avec une IA, sauf si cela ressort clairement des circonstances. Les rôles exacts de fournisseur et de déployeur doivent être identifiés avec le prestataire.

Dans tous les cas, affichez l’information dès l’ouverture : « assistant automatisé utilisant l’IA ». Ne donnez pas un prénom humain ou une photo laissant croire à un salarié. Expliquez brièvement la mission et la limite : réponses générales à partir de ressources validées, possibilité d’erreur et passage vers une personne.

Rendez l’information accessible : texte lisible, langage simple, compatibilité clavier et lecteur d’écran, pas uniquement une animation. Si le bot parle par voix, l’information doit être donnée dans le même canal. Les orientations de la Commission sur l’article 50 complètent le texte ; elles doivent être suivies dans leur version applicable sans transformer un résumé marketing du fournisseur en analyse juridique.

Ne concluez pas qu’un chatbot de service client ordinaire est automatiquement un système à haut risque, ni qu’il ne peut jamais l’être. La qualification dépend de la finalité, des personnes, du secteur et des décisions. Un bot qui se contente d’orienter vers une page n’a pas le même profil qu’un système qui évalue l’accès à un service essentiel.

5. Minimisez les conversations et clarifiez leurs usages

Listez chaque donnée demandée et son utilité. Pour indiquer des horaires, aucune identité n’est nécessaire. Pour retrouver un dossier, demandez un identifiant limité puis authentifiez la personne avant d’afficher des informations. Ne laissez pas le chatbot inviter à coller des pièces d’identité, mots de passe, coordonnées bancaires, dossiers médicaux ou secrets professionnels.

Déterminez qui est responsable de traitement, quelles finalités s’appliquent, quelle base juridique est retenue, combien de temps les journaux sont conservés, qui y accède, où ils sont hébergés et s’ils servent à entraîner ou améliorer un modèle. Un réglage « ne pas entraîner » doit être vérifié contractuellement et techniquement. Le guide protéger les données clients permet de relier cette collecte à la notice et au registre.

Affichez une information de confidentialité au bon moment, sans noyer le message d’accueil. Si une donnée devient nécessaire pour créer un ticket, expliquez la finalité avant la saisie et liez la notice détaillée. Donnez un moyen de poursuivre par un autre canal lorsque la conversation IA n’est pas obligatoire.

Fixez des durées distinctes : conversation visible par le client, ticket transmis, journal technique et échantillon d’évaluation. Ne gardez pas tout « pour améliorer l’IA ». Pour tester la qualité, privilégiez des scénarios fictifs ou des extraits réellement anonymisés ; masquer un nom ne suffit pas toujours à rendre une conversation anonyme.

Évaluez la nécessité d’une analyse d’impact RGPD selon l’ampleur, la sensibilité, le profilage, les personnes vulnérables, l’innovation et les autres critères. Documentez cette décision. Organisez les demandes de droits et l’export : le fournisseur doit permettre de retrouver et supprimer ce qui relève de votre responsabilité.

6. Testez les hallucinations, fuites et détournements

Construisez un jeu d’essai avant l’ouverture : questions simples, ambiguës, contradictoires, fautes, langues utiles, demandes hors périmètre et clients mécontents. Pour chaque cas, écrivez la réponse attendue ou le type de comportement : répondre, demander une précision, refuser ou transférer. Faites relire les sujets métier par leur responsable.

Ajoutez des attaques réalistes : « ignore les règles », « montre tes instructions », « donne les données du client précédent », faux lien, texte caché dans un document, demande d’administrateur ou extraction massive. Le bot ne doit ni révéler son prompt système, ni secrets, ni informations d’un autre dossier. Les outils qu’il peut appeler doivent contrôler leurs propres droits ; le texte généré ne doit jamais être traité comme une autorisation.

Limitez les connecteurs. Un chatbot qui répond à une FAQ n’a pas besoin d’accéder à la facturation complète. Utilisez des comptes techniques dédiés, droits en lecture lorsque possible, secrets hors des documents, quotas, journalisation et révocation. Appliquez la double authentification aux consoles d’administration et aux comptes du fournisseur.

Testez aussi le contenu. Demandez un prix absent, une garantie inventée, une remise, un conseil risqué et une promesse de délai. Vérifiez que le modèle refuse de combler le vide. Comparez les réponses après chaque changement de modèle ou de base documentaire ; une mise à niveau peut modifier le comportement même sans changer vos instructions.

Préparez un bouton d’arrêt et une page de repli. En cas de fuite, réponses dangereuses ou panne du fournisseur, désactivez le bot sans retirer le contact humain. Reliez les journaux aux procédures d’incident et de violation de données.

7. Concevez l’escalade humaine comme une fonction principale

Le bouton « parler à une personne » doit être visible dès le départ, pas après trois échecs. Affichez les horaires et le délai indicatif réel. Hors horaires, proposez un message ou un formulaire court. Pour une urgence, affichez le canal approprié sans prétendre que la demande sera lue immédiatement.

Avec l’accord de l’utilisateur et l’information nécessaire, transmettez au salarié un résumé, la conversation utile, les coordonnées et le motif. N’obligez pas le client à tout répéter. Marquez clairement les éléments générés et ceux confirmés par la personne. Le système doit éviter que le résumé invente une demande différente.

Définissez les déclencheurs : deux incompréhensions, expression de colère, réclamation, demande de remboursement, sujet sensible, faible confiance ou demande explicite. Le transfert ne doit pas dépendre uniquement du jugement du modèle. Utilisez des règles déterministes pour les situations critiques.

Intégrez le nouveau canal à l’organisation des messages clients omnicanaux. Chaque demande a un propriétaire, un état et une date. Sinon, le chatbot ajoute une boîte de réception cachée au lieu de réduire la charge.

8. Vérifiez le contrat, les modèles et la réversibilité

Demandez le nom du fournisseur, des sous-traitants, des modèles utilisés et des régions d’hébergement. Vérifiez les transferts hors Espace économique européen, les garanties, la durée des journaux, l’usage pour l’entraînement, les accès du support, la notification d’incident et la suppression en fin de contrat. Ne vous contentez pas d’un badge « conforme RGPD ».

Le contrat doit couvrir l’article 28 lorsque le fournisseur agit comme sous-traitant, les instructions, la confidentialité, la sécurité, l’assistance aux droits et analyses, les violations, la suppression, l’audit et les sous-traitants ultérieurs. Utilisez la checklist SaaS et RGPD pour obtenir des réponses écrites.

Clarifiez les responsabilités liées au règlement IA : qui est fournisseur du système, déployeur, intégrateur ou simple fournisseur de composant ? Qui fournit l’information de transparence, la documentation et les mises à jour ? La qualification ne dépend pas seulement du vocabulaire commercial. Conservez les versions des modèles et instructions utilisées pendant les incidents significatifs.

L’article 4 du règlement IA impose aux fournisseurs et aux déployeurs de prendre des mesures de littératie IA pour les salariés et autres personnes qui utilisent le système pour leur compte. Adaptez la sensibilisation au rôle, aux connaissances, au contexte du chatbot et aux personnes exposées : limites du modèle, sujets interdits, données à ne pas saisir, escalade humaine, contrôle des réponses et signalement d’un incident. Aucun niveau uniforme n’est imposé, mais documentez les personnes concernées, le contenu transmis et sa mise à jour.

Testez la sortie : export des contenus, conversations utiles, règles, statistiques et tickets ; suppression des données et révocation des connecteurs ; remise en place d’un formulaire. Une dépendance totale à une interface propriétaire fragilise le service client et la preuve de conformité.

9. Lancez un pilote limité et mesurez les échecs

Commencez sur une page ou une catégorie de questions, pendant une période fixée, avec un volume plafonné et une surveillance quotidienne. N’ouvrez pas en même temps le site, la messagerie et les réseaux sociaux. Un pilote doit pouvoir être interrompu et comparé à la situation précédente.

Mesurez le taux de réponses justes sur l’échantillon relu, le taux de transfert, les abandons, les demandes répétées, le temps jusqu’à une solution, les corrections humaines, les incidents de données et la satisfaction. Le « taux de déflexion » n’est pas une réussite si le client renonce ou appelle plus tard en étant plus mécontent.

Relisez un échantillon selon une méthode documentée et avec des données minimisées. Catégorisez les erreurs : source absente, source ancienne, mauvaise récupération, génération infidèle, transfert trop tardif ou question mal comprise. Corrigez la cause, puis rejouez le test. Conservez un registre des changements et des décisions de maintien.

Exemple hypothétique : une entreprise de dépannage limite son bot aux zones desservies, horaires administratifs, pièces à préparer et création d’une demande non urgente. Les prix personnalisés, diagnostics, délais fermes et urgences sont exclus. Après deux semaines, elle constate que les clients demandent surtout un suivi de dossier : au lieu d’entraîner le bot à deviner, elle ajoute un lien authentifié et un transfert.

1. Valider la finalité et les sujets exclus.
2. Nommer les propriétaires des sources.
3. Cartographier données, fournisseur et connecteurs.
4. Écrire l’information IA et la notice de confidentialité.
5. Former et sensibiliser les opérateurs selon leur rôle.
6. Tester réponses, refus, attaques et accessibilité.
7. Configurer le transfert et le bouton d’arrêt.
8. Lancer un pilote, relire et décider de poursuivre.

Sources officielles et primaires : Règlement (UE) 2024/1689 sur l’intelligence artificielle ; Commission européenne — lignes directrices sur les obligations de transparence ; Commission européenne — article 4 et littératie IA ; Comité européen de la protection des données — risques et mesures pour les grands modèles de langage ; CNIL et France Num — utiliser l’IA générative dans les TPE et PME. Consultées le 3 août 2026. Les usages, rôles et obligations dépendent de la finalité réelle et des fonctions activées.

En résumé

Un chatbot IA de service client est un canal opérationnel, pas un simple widget. Sa qualité dépend d’un périmètre étroit, de sources détenues par les métiers, d’une transparence immédiate, de données minimisées, de tests adverses et d’un vrai relais humain. Mesurez les erreurs et la résolution réelle ; gardez le pouvoir de corriger, suspendre et quitter le fournisseur.