Conformité · 19 octobre 2026

RGPD et IA pour collectivités : guide complet 2026

Vous voulez équiper votre mairie d’un chatbot ou d’un assistant IA en 2026 ? Voici ce que vous devez savoir pour rester conforme au RGPD, au règlement européen sur l’IA et aux recommandations de la CNIL. Avec checklist actionnable pour votre DPO.

Auteur : Thibaut Harang, fondateur de Civik-ia Lecture : 11 minutes Mis à jour : 19/10/2026 Une IA a tenu le stylo, j’ai tenu la gomme. Préparé avec l’aide d’une IA, relu et signé par Thibaut Harang le 23/10/2026.

Le cadre juridique applicable en 2026

L’usage de l’intelligence artificielle dans une collectivité territoriale française est encadré par trois textes principaux qui s’appliquent en cascade :

À cela s’ajoutent les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative (18 juillet 2024) et le bilan de son accompagnement de trois projets d’IA dans les services publics, publié en avril 2025 (Localtis, Banque des Territoires, 14 avril 2025).

Les 7 obligations RGPD à respecter pour un chatbot mairie

1. Déterminer la base légale du traitement

Avant tout déploiement, votre DPO doit identifier sous quelle base légale (article 6 RGPD) votre chatbot collecte et traite les données :

La base légale détermine ensuite les droits des personnes concernées : un traitement fondé sur le consentement permet le retrait à tout moment, contrairement à la mission d’intérêt public.

2. Inscrire le traitement au registre

Toute mairie tient un registre des activités de traitement (art. 30 RGPD) et désigne un délégué à la protection des données, obligatoire pour tout organisme public (art. 37), qui peut être mutualisé entre plusieurs collectivités. Pour un chatbot IA, le registre doit préciser :

3. Réaliser une AIPD si nécessaire

L'Analyse d’Impact relative à la Protection des Données (AIPD) est obligatoire dès lors que le traitement présente un « risque élevé » pour les droits et libertés des personnes (art. 35 RGPD). La CNIL la présume nécessaire quand le traitement remplit au moins deux des neuf critères retenus par les autorités européennes de protection des données, parmi lesquels les données sensibles ou très personnelles, les personnes vulnérables et l’usage innovant ; elle précise que l’usage d’une IA n’est pas toujours un usage innovant. Un chatbot de mairie qui informe sur les horaires et les démarches ne prend aucune décision, mais les habitants peuvent y écrire d’eux-mêmes une information de santé ou de situation sociale : la mairie en juge avec son délégué, avant l’ouverture.

Elle devient obligatoire si le chatbot :

4. Informer les citoyens (transparence)

L’article 13 RGPD impose une information claire et accessible aux personnes concernées. Concrètement, votre chatbot doit afficher (au minimum dans un lien type « Mentions RGPD ») :

5. Garantir les droits des personnes

Tout administré peut, à tout moment :

Pour faciliter ces demandes, prévoyez un point de contact unique (email DPO) et un délai de réponse maximum d’un mois (art. 12 RGPD).

6. Sécuriser les données (art. 32)

Mesures techniques et organisationnelles attendues :

Les sept mesures détaillées, avec leurs sources, sont sur la page dédiée : sécuriser la base de données d’une collectivité.

7. Limiter la collecte au strict nécessaire (minimisation)

Un chatbot mairie ne doit jamais collecter :

L’usage sans création de compte réduit les données collectées. Il reste les questions elles-mêmes, qui peuvent contenir des informations personnelles et se traitent comme telles.

Chatbot de mairie : les cinq questions du DPO

Avant de donner son avis sur un chatbot de mairie, le délégué à la protection des données pose cinq questions à l’éditeur. Pour chacune, voici la réponse attendue et celle de Marianne, l’assistante de Civik-ia, au 19 octobre 2026.

1. Qui est responsable du traitement, et quel contrat lie la mairie à l’éditeur ?

La mairie est responsable du traitement ; l’éditeur est sous-traitant et signe un accord conforme à l’article 28 du RGPD, qui liste ses propres sous-traitants. Pour Marianne, l’accord sur le traitement des données est remis à chaque collectivité ; il désigne OVH (hébergement), Mistral AI (rédaction des réponses) et, à l’ouverture de l’espace mairie, Brevo (envoi des codes de connexion).

2. Quelles données sont collectées, et combien de temps sont-elles gardées ?

Le texte des questions et leur date, le plus souvent. Aucun compte ne devrait être demandé à l’habitant. Pour Marianne : aucun compte, aucun nom ni courriel demandé ; les questions reconnues comme portant sur un thème sensible (santé, justice, urgence, prestations sociales, emploi, situation administrative) ne sont pas écrites dans la base ; le texte des autres questions en est effacé au bout de 90 jours (page Conformité RGPD, 16 octobre 2026).

3. Où les données sont-elles traitées, et par qui ?

La réponse doit nommer l’hébergeur, le pays du serveur, l’éditeur du modèle et le lieu où le modèle calcule, tels que le contrat les fixe. Pour Marianne : serveur chez OVHcloud, en Allemagne ; sauvegardes quotidiennes sur le serveur, avec une copie hors site en France ; modèle de Mistral AI, société française ; lieu de calcul du modèle non fixé par contrat, ce que l’accord dit. Le détail est sur la page guichet citoyen IA, section « Souveraineté ».

4. L’habitant sait-il qu’il parle à une IA, et qui répond de l’outil ?

Depuis le 2 août 2026, un système qui dialogue avec le public doit informer la personne qu’elle échange avec une IA (article 50 du règlement (UE) 2024/1689). L’information prévue par l’article 13 du RGPD nomme la mairie, son délégué à la protection des données et les droits des habitants. Pour Marianne, la bulle d’accueil le dit dès le premier message ; l’information de l’article 13 se rédige avec la mairie pendant la mise en service.

5. Faut-il une analyse d’impact (AIPD) ?

Pour un assistant qui informe sur les horaires et les démarches, elle n’est en général pas obligatoire ; elle le devient si l’outil traite des données sensibles de façon systématique, croise des fichiers ou profile les habitants. La mairie en décide. Pour Marianne, Civik-ia remet avant l’ouverture les éléments de cette analyse : description du traitement, mesures de sécurité, risques identifiés.

Pour certains systèmes d’IA à haut risque, le règlement européen sur l’IA demandera aussi à la commune, à partir du 2 décembre 2027, une analyse d’impact sur les droits fondamentaux.

La différence entre un chatbot généraliste et un outil qui répond à partir des seules sources de la mairie est décrite sur la page guichet citoyen IA.

Les pièges spécifiques de l’IA générative

Attention : un assistant grand public utilisé tel quel (ChatGPT, Claude, Gemini) n’est pas conçu pour répondre au nom d’une mairie. Ses conditions, ses lieux de traitement et ses éventuels transferts hors de l’Union européenne s’examinent avant tout usage sur des données d’habitants ; la CNIL demande des garanties supplémentaires pour tout transfert hors de l’Union (questions-réponses du 18 juillet 2024). Voir aussi quelles données ne jamais envoyer à un modèle.

Souveraineté technologique : le choix structurant

Trois familles d’IA générative coexistent en 2026 :

Marianne, de Civik-ia, est hébergée chez OVHcloud (serveur en Allemagne) et fait rédiger ses réponses par Mistral AI, société française ; le lieu de calcul du modèle n’est pas fixé par contrat.

Le piège de la « réponse hallucinée »

Une IA générative peut inventer des informations fausses (numéros de Cerfa, articles de loi, montants) avec une apparente assurance. Pour une mairie, c’est un risque juridique majeur : un administré pourrait engager la responsabilité de la commune si une réponse fausse lui cause un préjudice.

Garde-fous obligatoires :

Checklist RGPD pour votre DPO

Avant le déploiement

  • Identifier la base légale du traitement (mission d’intérêt public en général)
  • Inscrire le traitement au registre des activités
  • Évaluer si une AIPD est nécessaire (critères de la CNIL)
  • Rédiger les mentions RGPD à afficher (mentions légales du chatbot)
  • Vérifier le contrat de sous-traitance avec l’éditeur (clauses art. 28 RGPD)
  • Vérifier le pays du serveur et le lieu de calcul du modèle, écrits au contrat
  • Vérifier l’éditeur du modèle d’IA, sa version datée, et que l’outil dit qu’il est une IA (article 50)

Pendant l’exploitation

  • Mettre à disposition un point de contact unique pour les droits des personnes
  • Répondre aux demandes d’accès / effacement dans un délai d’un mois, prolongeable de deux mois pour une demande complexe (article 12)
  • Tenir à jour le journal des incidents
  • Réaliser un audit annuel de conformité

Documents à conserver

  • Fiche du registre des activités de traitement
  • AIPD si réalisée
  • Mentions RGPD publiées
  • Contrat de sous-traitance signé avec l’éditeur
  • Contrat ou attestation de l’hébergeur
  • Journal des demandes d’exercice de droits

Comment Civik-ia répond à ces obligations

Ce que fait Marianne, au 19 octobre 2026 :

À retenir : le RGPD fixe ce qu’une mairie doit savoir de son outil avant de l’ouvrir. Un outil qui répond sans compte, cite ses sources et dit par écrit où il traite les données se contrôle plus facilement.

Questions fréquentes

Que change le règlement européen sur l’IA pour un chatbot de mairie ?

Depuis le 2 août 2026, un système d’IA qui dialogue avec le public doit informer la personne qu’elle échange avec une IA (article 50 du règlement (UE) 2024/1689). Les obligations des systèmes à haut risque de l’annexe III s’appliqueront à partir du 2 décembre 2027 (règlement (UE) 2026/1744). Un assistant qui informe les habitants doit donc le dire dès son premier message. Le calendrier complet, date par date, est sur la page AI Act et collectivités.

Un chatbot IA en mairie est-il conforme au RGPD ?

Il peut l’être, et la mairie, responsable du traitement, en juge avec son délégué à la protection des données. Cinq points comptent : un contrat de sous-traitance avec l’éditeur (article 28 du RGPD), une information claire des habitants (article 13), une collecte limitée au nécessaire, un usage sans création de compte, et des lieux de traitement écrits au contrat, calcul du modèle compris. Depuis le 2 août 2026, l’outil doit aussi dire qu’il est une IA (article 50 du règlement européen sur l’IA).

Une AIPD est-elle obligatoire pour un chatbot de mairie ?

Pas toujours. L’analyse d’impact (AIPD, article 35 RGPD) est présumée nécessaire quand le traitement remplit au moins deux des neuf critères retenus par la CNIL, comme des données sensibles, des personnes vulnérables ou un usage innovant. Un chatbot de mairie standard ne prend aucune décision, mais les habitants peuvent y écrire d’eux-mêmes des données sensibles : la mairie en juge avec son délégué avant l’ouverture. Elle devient obligatoire si le chatbot traite des données de santé, croise plusieurs fichiers (électoral, cadastre, état civil) ou réalise un profilage individuel.

Quelle base légale pour un chatbot municipal ?

La mission d’intérêt public (article 6.1.e du RGPD) est la base la plus appropriée pour une mairie : elle couvre les démarches administratives et l’information citoyenne. Le consentement (article 6.1.a) s’applique aux fonctionnalités optionnelles comme les notifications email, et l’obligation légale (article 6.1.c) aux démarches obligatoires telles que le recensement ou l’inscription électorale.

Peut-on utiliser ChatGPT pour le chatbot d’une mairie ?

C’est déconseillé sans examen préalable. Un assistant grand public n’est pas conçu pour répondre au nom d’une mairie, et ses conditions, ses lieux de traitement et ses éventuels transferts hors de l’Union européenne doivent être examinés avec le délégué à la protection des données. Un outil qui répond à partir des seules sources de la mairie, sous un contrat de sous-traitance, se contrôle plus facilement. La liste des données à ne jamais envoyer à un outil grand public est sur une page dédiée.

Combien de temps conserver les données d’un chatbot mairie ?

La durée de conservation doit être définie dans le registre des traitements et limitée à ce qui est nécessaire. À titre d’exemple, Civik-ia efface le texte des questions de sa base au bout de 90 jours et n’y écrit pas celles qu’elle reconnaît comme portant sur un thème sensible ; au-delà, il ne reste que des lignes sans texte ni nom (date, thème, identifiant de session aléatoire), qui servent aux statistiques.

Pour aller plus loin

Une solution conçue pour les mairies françaises

Marianne, l’assistante Civik-ia, fonctionne sans inscription et cite la source de chaque réponse.

Tester la démo →