Un chatbot peut-il refuser une demande de crédit ou une candidature ?

Pas à lui seul. La CNIL indique qu'une conversation avec un chatbot sans intervention humaine ne peut pas fonder une décision importante comme le refus d'un crédit, un tarif plus élevé ou l'impossibilité de postuler.

Quelles garanties prévoir si une décision automatisée est permise ?

Au minimum, la personne doit pouvoir obtenir une intervention humaine, exprimer son point de vue et contester la décision.

Faut-il en parler dans la politique de confidentialité ?

Oui, s'il existe une prise de décision automatisée : la CNIL range cette information parmi celles à donner selon les cas.

Chatbot et décision automatisée : ce que dit le RGPD

Non, un chatbot ne doit pas prendre seul une décision importante pour un visiteur. La CNIL (Commission nationale de l'informatique et des libertés) l'écrit dans ses conseils sur les chatbots du 19/02/2021 : une conversation sans intervention humaine ne peut pas, à elle seule, fonder le refus d'un crédit en ligne, l'application d'un tarif plus élevé ou l'impossibilité de postuler à un emploi. Elle peut en revanche faire partie d'un processus plus large, avec une intervention humaine significative.

Ce que dit l'article 22 du RGPD

L'article 22 du RGPD (règlement général sur la protection des données) encadre les décisions fondées exclusivement sur un traitement automatisé, quand elles produisent des effets juridiques ou affectent la personne de manière significative. La CNIL en résume le régime :

Principe : ces décisions sont interdites.
Trois exceptions : le consentement explicite de la personne, la nécessité pour conclure ou exécuter un contrat, une autorisation par le droit de l'Union européenne ou d'un État membre.
Garanties minimales, même dans ces cas : la personne doit pouvoir obtenir une intervention humaine, exprimer son point de vue et contester la décision.

Les situations à repérer sur un site d'entreprise

Sur un site, le risque n'est pas toujours visible. Voici les moments où un assistant pourrait glisser de l'information à la décision :

Situation	Ce qui serait une décision	Ce que l'assistant peut faire
Candidature	écarter un candidat d'après ses réponses	expliquer le poste, recueillir la candidature pour l'équipe
Éligibilité à une offre	dire « vous n'y avez pas droit »	rappeler les conditions publiées, proposer un contact
Devis, tarif	appliquer un prix différent selon le profil	renvoyer vers la grille publique ou vers un commercial
Réclamation, remboursement	refuser un remboursement	recueillir la demande, annoncer qui la traitera
Financement, paiement en plusieurs fois	refuser un financement	orienter vers l'organisme ou l'équipe

La colonne de droite décrit le bon rôle : informer à partir des documents publiés, recueillir la demande, passer la main.

Organiser le passage à une personne

Pour que l'intervention humaine soit réelle, et pas seulement annoncée :

Écrire la règle dans les consignes de l'assistant : il ne refuse ni n'accepte une demande qui engage l'entreprise ; il explique et transmet.
Offrir une sortie visible : un bouton ou un mot (« conseiller », « équipe ») annoncé dès le message d'accueil.
Transmettre le fil de la conversation à la personne qui reprend, pour que le visiteur n'ait pas à tout répéter.
Laisser la décision à une personne qui a la main : quelqu'un qui peut lire le dossier, demander un complément et changer d'avis.
Permettre de contester : indiquer à qui écrire si la personne n'est pas d'accord avec la réponse reçue.

Informer le visiteur

Parmi les informations à donner selon les cas, la CNIL cite l'existence d'une prise de décision automatisée, y compris un profilage. Si votre site en comporte une, elle doit figurer dans l'information donnée au moment du recueil des données (voir chatbot et RGPD). S'il n'y en a pas, la façon la plus simple de le garantir est de ne confier à l'assistant que des tâches d'information.

À vérifier

Ces éléments résument les publications de la CNIL lues le 15/11/2026. Si votre activité suppose une décision automatisée (crédit, assurance, recrutement), le cadre est à vérifier avec votre délégué à la protection des données, votre avocat ou la CNIL avant toute mise en ligne.