RGPD et profilage progressif : l'agent conversationnel est-il plus conforme que le formulaire ?

À retenir

• Le problème fondamental : le profilage marketing traditionnel, fondé sur des formulaires exhaustifs et le traçage comportemental silencieux, se trouve en tension structurelle avec le Règlement Général sur la Protection des Données (RGPD). Les méthodes palliatives actuelles, telles que les bannières de consentement asymétriques, ont déjà valu des sanctions significatives à plusieurs grands éditeurs.

• Le changement d'architecture : l'agent conversationnel B2B permet de déplacer une partie de la qualification depuis l'observation silencieuse vers des informations explicitement fournies dans l'échange, couramment désignées en marketing comme des « zero-party data ». Il peut ainsi améliorer la transparence et la minimisation, à condition que sa conception et sa politique de données respectent les exigences du RGPD.

• La condition de conformité : un profilage progressif par conversation peut être plus sain sur le plan juridique, à condition de respecter des règles précises. Il suppose une information claire sur la nature de l'IA, une finalité explicite à chaque étape de la collecte, une politique de rétention maîtrisée, et le respect des limites posées à toute décision automatisée ayant des effets significatifs sur la personne.

La tension structurelle du profilage marketing classique

La qualification de prospects dans l'univers numérique repose historiquement sur l'accumulation massive d'informations préalables. Cette approche, bien que solidement ancrée dans les pratiques commerciales, peut entrer en tension avec les exigences de protection des données personnelles. Pour comprendre pourquoi ce modèle classique s'essouffle, il convient d'en analyser les fondations juridiques et techniques.

Le RGPD définit le profilage à son article 4 paragraphe 4 comme toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique[1]. Dans le contexte interentreprises (B2B), cela se traduit par l'analyse du comportement de navigation, la mesure du temps passé sur une page spécifique, ou l'étude de l'historique de téléchargements de livres blancs dans le but de déduire un niveau d'intention d'achat.

Cette mécanique repose presque exclusivement sur le traçage silencieux, un procédé strictement encadré par l'article 5 paragraphe 3 de la directive ePrivacy. Ce texte impose le recueil d'un consentement préalable pour toute opération de stockage ou d'accès à des informations sur l'équipement terminal d'un utilisateur, hors les deux exemptions prévues (transmission d'une communication, ou service strictement nécessaire explicitement demandé par l'utilisateur)[2]. Le marché a longtemps cru que cette règle se limitait aux seuls cookies tiers. Cette lecture restrictive était déjà écartée par l'avis 9/2014 du G29 sur le fingerprinting, et a été confirmée explicitement par les lignes directrices 2/2023 du CEPD (version 2.0, finalisées en octobre 2024)[3] : la règle s'applique de manière neutre sur le plan technologique, englobant le stockage local, le stockage de session et les pixels de suivi invisibles.

Le rattachement des pixels de suivi à ce régime de consentement s'est concrétisé très récemment sur le terrain de l'email marketing, un autre outil courant de qualification B2B : la CNIL a publié une recommandation dédiée aux pixels de suivi dans les courriels (délibération n° 2026-042, adoptée le 12 mars 2026 et publiée le 14 avril 2026), non contraignante par nature mais qui précise l'exigence d'un consentement préalable déjà posée par l'article 5§3 de la directive ePrivacy pour tout pixel qui identifie le destinataire à l'ouverture du message. Elle prévoit des marges d'appréciation limitées pour certains usages liés à la sécurité de l'envoi et à une mesure strictement encadrée de la délivrabilité d'un message explicitement demandé par le destinataire. Pour les adresses déjà collectées avant sa publication, elle fixe en principe un délai de trois mois pour informer les destinataires et leur permettre de s'y opposer, prolongeable en cas de difficulté objective documentée. L'autorité italienne (Garante) a publié des lignes directrices comparables le 17 avril 2026, signe d'un mouvement européen plutôt que d'une singularité française[18][19].

Pour maintenir leurs volumes de qualification de leads malgré ces contraintes, de nombreux éditeurs ont déployé des interfaces de recueil de consentement opaques. Ces pratiques ont conduit à l'émergence de « dark patterns », ou interfaces trompeuses. Dans ses lignes directrices 3/2022 sur les interfaces des réseaux sociaux, le CEPD détaille ces techniques manipulatrices, identifiant notamment la surcharge d'informations ou la dissimulation volontaire des options de refus au sein de labyrinthes de confidentialité (privacy mazes)[5]. L'objectif de ces interfaces est de biaiser le choix du visiteur pour obtenir un accord de façade. Juridiquement, un consentement extorqué par un biais cognitif peut invalider la licéité du traitement.

En parallèle du traçage comportemental, le marché s'est massivement appuyé sur des formulaires d'inscription exhaustifs. La logique sous-jacente consiste à exiger un maximum de champs (fonction, taille de l'entreprise, numéro de téléphone direct) dès le tout premier point de contact. Cette pratique peut contrevenir au principe de minimisation des données inscrit à l'article 5 paragraphe 1 point c du RGPD, qui exige que les données soient adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités, dès lors que les informations demandées excèdent ce que ces finalités justifient réellement[1][4]. La collecte préventive d'informations, réalisée dans l'éventualité où le prospect deviendrait pertinent, fragilise l'ensemble de la structure de conformité de l'entreprise.

Ce cadre s'applique quel que soit le contexte commercial. Le régime propre à la prospection B2B par voie électronique, fondé sur un droit d'opposition plutôt que sur un consentement préalable (article L34-5 du code des postes et des communications électroniques)[6], ne dispense d'aucune des obligations de profilage et de minimisation détaillées ici : il fixe seulement la base légale de l'envoi, pas le traitement des données recueillies en amont.

L'évaluation rigoureuse des solutions palliatives du marché

Face au durcissement réglementaire et à la multiplication des sanctions, les acteurs du numérique ont cherché des voies de contournement. Ces solutions palliatives tentent de soigner le symptôme, à savoir la baisse des taux de conversion, sans toutefois traiter la cause fondamentale liée à l'opacité des traitements. Il est nécessaire d'évaluer ces méthodes avec honnêteté au regard des textes en vigueur.

La réponse la plus visible fut le déploiement généralisé de plateformes de gestion du consentement (CMP). Ces bandeaux sont théoriquement conçus pour garantir un choix libre et éclairé. La réalité opérationnelle montre cependant que la conditionnalité du consentement est rarement respectée. Les lignes directrices 05/2020 du CEPD rappellent que le consentement doit être spécifique à chaque finalité, avec un opt-in distinct par usage[7]. La Cour de justice de l'Union européenne (CJUE), dans son arrêt Planet49 (C-673/17), a jugé qu'une case précochée ne constitue pas un acte positif clair au sens de l'article 5§3 de la directive ePrivacy[8]. De surcroît, de nombreux bandeaux ont longtemps exigé davantage de clics pour refuser que pour accepter : la CNIL a sanctionné cette pratique à hauteur de 150 millions d'euros pour Google et 60 millions d'euros pour Facebook fin décembre 2021[9]. Cette asymétrie de conception est un indice que les autorités de contrôle retiennent régulièrement pour invalider le caractère libre du consentement, sans que cela constitue une règle automatique.

Une autre stratégie répandue consiste à raccourcir drastiquement les formulaires visibles pour maximiser le taux de conversion immédiat, puis à utiliser des services d'enrichissement de données en arrière-plan. Lorsqu'un visiteur soumet une simple adresse courriel, des bases de données tierces sont automatiquement interrogées pour déduire son poste, son secteur d'activité et son historique professionnel. Cette approche crée un circuit de collecte particulièrement opaque. Elle pose un problème au regard de l'article 14 du RGPD, qui oblige le responsable de traitement à informer la personne concernée lorsque les données n'ont pas été collectées directement auprès d'elle, le plus souvent dans un délai d'un mois[1]. De plus, justifier cet enrichissement silencieux par l'intérêt légitime est devenu plus périlleux depuis l'arrêt de la CJUE C-252/21 (Meta), qui a restreint l'usage de cette base légale pour l'agrégation de données comportementales entre services[10], un raisonnement transposable par analogie à l'enrichissement B2B non attendu par l'utilisateur, sans que la Cour ne l'ait tranché dans ce cas précis. L'enrichissement transforme ainsi un acte de qualification actif en un profilage subi.

Enfin, les centres de préférences (preference centers) et les questionnaires statiques interactifs sont apparus comme des alternatives plus respectueuses. Ils visent à récolter des « zero-party data », c'est-à-dire des données que le client partage de manière proactive et délibérée afin d'améliorer son expérience[11]. Le caractère volontaire de la démarche améliore la transparence de la collecte et le contrôle exercé par la personne sur les informations qu'elle fournit, mais ces données restent des données personnelles soumises aux mêmes exigences de finalité et de minimisation que toute autre donnée du RGPD. Ces solutions souffrent en outre d'une rigidité structurelle évidente. Le visiteur doit parcourir des menus complexes ou répondre à des arborescences de questions figées. L'effort cognitif demandé reste élevé, ce qui limite l'adoption par les utilisateurs et réduit l'efficacité globale de la qualification.

Trois architectures de collecte, une même grille d'analyse

Au-delà du contraste entre formulaire et conversation, trois architectures coexistent sur le marché B2B : les données demandées explicitement (formulaire), les données observées ou déduites (tracking comportemental), et les données demandées progressivement en contexte (conversation). Les comparer sur les mêmes dimensions permet de sortir d'une opposition binaire et de situer précisément où chaque architecture est structurellement plus ou moins exposée.

Cette lecture par dimensions montre que la conversation ne l'emporte pas sur tous les plans : elle déplace le risque de conformité plutôt que de le supprimer, du terrain de la collecte silencieuse vers celui du surplus déclaratif et de l'inférence. La section suivante détaille les conditions concrètes pour que ce déplacement reste favorable.

Le profilage progressif conversationnel comme réponse structurelle

L'émergence et la fiabilisation des intelligences artificielles génératives permettent de repenser intégralement la mécanique de qualification B2B. Le profilage progressif mené au travers d'une conversation déplace le curseur de la déduction comportementale opaque vers la déclaration explicite et contextuelle. Ce changement d'interface modifie profondément la nature juridique des données traitées.

Dans un modèle conversationnel, l'utilisateur exprime directement son besoin en langage naturel. Au lieu de déduire qu'un visiteur s'intéresse à la gestion de patrimoine parce qu'il a consulté trois articles spécifiques en moins de dix minutes, l'agent lui pose la question naturellement et adapte sa réponse en conséquence. La donnée source devient purement déclarative, ce qui ne supprime pas pour autant l'inférence : l'agent peut ensuite en déduire un profil (intention d'achat, niveau d'urgence, probabilité de conversion), de la même manière qu'un système de scoring classique. La différence structurelle est ailleurs : ces inférences se fondent sur des informations explicitement fournies par la personne plutôt que sur des comportements observés à son insu. Cette méthode respecte l'esprit du RGPD en renforçant le contrôle de la personne concernée sur les informations qu'elle choisit de divulguer, pas en éliminant le profilage lui-même.

La législation européenne encadre cette nouvelle forme d'interaction. L'article 50 du Règlement européen sur l'intelligence artificielle (AI Act), applicable à partir du 2 août 2026, impose des obligations de transparence pour les systèmes d'IA destinés à interagir avec des personnes physiques[12]. Sauf lorsque cette nature est déjà manifeste pour une personne raisonnablement informée, l'utilisateur doit être informé qu'il communique avec un système algorithmique, et non avec un opérateur humain. La loyauté de la collecte commence par cette information claire sur la nature de l'interlocuteur.

Le profilage conversationnel permet par ailleurs de solliciter chaque information au moment où elle devient nécessaire à l'échange, plutôt que de forcer l'acceptation globale et abstraite d'une politique de confidentialité avant même d'avoir apporté la moindre valeur. Le consentement n'est qu'une des bases légales possibles du RGPD : cette architecture facilite surtout la spécification claire de la finalité à chaque étape, une condition commune à plusieurs bases légales, pas seulement au consentement.

Bien conçu, ce modèle facilite également une minimisation mieux maîtrisée des données : l'agent ne sollicite que ce qui fait avancer l'échange, plutôt que de collecter par précaution. Cette propriété dépend cependant de la configuration retenue et de la politique de rétention appliquée aux transcriptions. Ce n'est pas une garantie automatique du seul fait d'employer une interface conversationnelle. Les bonnes pratiques couramment recommandées pour les agents conversationnels soulignent l'importance de purger les données dès la fin de la session pour les requêtes simples, et de limiter la durée de conservation à la finalité stricte du traitement pour les requêtes de support plus complexes[13].

Cette architecture a cependant un revers, rarement discuté : elle minimise mieux les questions posées, mais pas nécessairement les informations effectivement livrées. Un formulaire contraint la réponse à un champ prévisible ; une conversation en langage naturel n'a pas cette limite. Un prospect peut spontanément expliquer pourquoi il cherche une solution, par exemple en mentionnant l'absence prolongée d'un collaborateur, une réorganisation interne ou un litige avec un fournisseur, sans qu'aucune de ces informations n'ait été demandée ni ne soit nécessaire à la qualification commerciale. Un agent bien conçu doit donc être capable de ne pas retenir ce surplus déclaratif dans le profil final, sous peine de collecter, par la bande, plus de données qu'un formulaire structuré n'en aurait jamais capté.

L'implémentation de solutions technologiques telles que Gamaro illustre cette architecture. En remplaçant la classique recherche par arborescence de filtres par un agent conversationnel B2B qui affine sa compréhension tour après tour, le profilage s'ancre sur les données propriétaires de l'entreprise plutôt que sur une collecte tierce silencieuse. Le visiteur n'est plus une cible passive, mais un participant actif de sa propre qualification.

L'encadrement strict de la décision algorithmique et de la rétention

Si le recueil de l'information par la conversation améliore la phase de collecte, l'utilisation ultérieure de ce profilage requiert une vigilance juridique particulière. Lorsqu'un agent conversationnel évalue un prospect au fil de l'eau et décide, de manière totalement autonome, de lui refuser l'accès à un service, de bloquer la création de son compte ou de lui appliquer une tarification défavorable, une ligne rouge réglementaire peut être franchie.

L'article 22 du RGPD reconnaît à toute personne le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire, sous réserve des exceptions prévues au paragraphe 2 (nécessité contractuelle, autorisation légale, ou consentement explicite)[1]. Dans l'arrêt SCHUFA (C-634/21), la CJUE a jugé qu'un score de probabilité généré de manière automatisée peut constituer une décision au sens de cet article dès lors qu'un tiers s'appuie de manière déterminante sur ce score pour fonder son choix final[14].

Une disqualification commerciale n'est pas automatiquement « significative » au sens de l'article 22 : cela s'apprécie au cas par cas. Si elle l'est et qu'aucune des exceptions du paragraphe 2 ne s'applique, la décision entièrement automatisée est simplement interdite. Si une exception s'applique, l'article 22§3 impose alors des garanties minimales : le droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision. Dans les deux cas, faire intervenir un humain avant que la décision ne devienne définitive est ce qui permet, en pratique, de rester hors du champ strict de l'article 22 ou de satisfaire ses garanties. Cette intervention doit toutefois être réelle et significative : une validation humaine purement formelle de la recommandation algorithmique ne suffit pas, comme le précise le groupe de travail « Article 29 » dans ses lignes directrices sur les décisions individuelles automatisées, endossées par le CEPD[20]. Si l'agent est par ailleurs qualifié de système à haut risque au sens de l'AI Act, l'article 14 de ce règlement impose un contrôle humain additionnel : une obligation propre aux systèmes à haut risque, pas une règle générale pour tout agent conversationnel[15].

Enfin, la sécurité juridique d'un agent conversationnel dépend du traitement appliqué aux transcriptions des échanges. De nombreuses organisations souhaitent conserver l'historique des conversations pour réentraîner ou affiner leurs modèles linguistiques. L'opinion 28/2024 du CEPD rappelle que les modèles d'IA entraînés ou alimentés par des données personnelles ne sont pas présumés anonymes par défaut et doivent être évalués au cas par cas, les risques de mémorisation et de régurgitation des données de l'utilisateur étant documentés[16].

Le processus d'anonymisation des historiques de conversation doit être rigoureusement documenté et testé avant toute réutilisation analytique. Les lignes directrices 02/2026 du CEPD, adoptées le 7 juillet 2026 et toujours soumises à consultation publique à la date de rédaction de cet article (septembre 2026), proposent une grille d'évaluation combinée à trois critères pour qualifier une donnée d'anonyme : l'impossibilité d'isoler un individu (no record isolation), l'impossibilité de lier des bases de données entre elles (no linkage), et l'impossibilité d'inférer de nouvelles informations sensibles (no inference)[17]. Remplacer simplement le nom du prospect par des astérisques dans le journal de conversation ne suffit en tout état de cause pas à constituer une véritable anonymisation.

Le passage d'un profilage comportemental subi à une qualification conversationnelle transparente n'est pas qu'une évolution ergonomique pour les plateformes B2B. C'est un changement d'architecture de collecte : le profil inféré se fonde sur une donnée source déclarée plutôt que sur un comportement observé à l'insu de la personne, et la conformité devient une propriété de conception plutôt qu'une couche ajoutée après coup. Les règles applicables, elles, ne changent pas : ce changement d'architecture ne dispense d'aucune des obligations rappelées ici, ni du contrôle humain qu'elles imposent le cas échéant.

Sources

1. RGPD (Règlement UE 2016/679), texte consolidé, articles 4§4, 5§1(c), 14 et 22 : EUR-Lex

2. Directive 2002/58/CE (ePrivacy), texte consolidé, article 5§3 : EUR-Lex

3. CEPD, Lignes directrices 2/2023 sur le champ d'application technique de l'article 5(3) de la directive ePrivacy, version 2.0 (octobre 2024) : PDF officiel

4. CNIL, « Minimiser les données collectées » : cnil.fr

5. CEPD, Lignes directrices 3/2022 sur les dark patterns dans les interfaces des réseaux sociaux : PDF officiel

6. Article L34-5 du code des postes et des communications électroniques (prospection B2B) : Légifrance

7. CEPD, Lignes directrices 05/2020 sur le consentement au sens du RGPD : edpb.europa.eu

8. CJUE, arrêt Planet49, C-673/17 (1er octobre 2019) : communiqué officiel

9. CNIL, sanctions Google (150 M€) et Facebook (60 M€), décembre 2021 : cnil.fr

10. CJUE, arrêt Meta Platforms e.a., C-252/21 (4 juillet 2023) : communiqué officiel

11. Zero-party data et RGPD : présentation

12. AI Act (Règlement UE 2024/1689), article 50, obligations de transparence : artificialintelligenceact.eu

13. « Chatbot et RGPD : obligations de conformité » : donneespersonnelles.fr

14. CJUE, arrêt SCHUFA Holding, C-634/21 (7 décembre 2023) : InfoCuria

15. AI Act, article 14 (contrôle humain, systèmes à haut risque) : présentation

16. CEPD, Opinion 28/2024 sur l'IA et les données personnelles : PDF officiel

17. CEPD, Lignes directrices 02/2026 sur l'anonymisation, version 1.0 (7 juillet 2026, en consultation publique) : PDF officiel

18. CNIL, Recommandation relative aux pixels de suivi dans les courriels (délibération n° 2026-042, 12 mars/14 avril 2026) : cnil.fr

19. Garante per la protezione dei dati personali (Italie), lignes directrices sur les pixels de suivi (17 avril 2026) : garanteprivacy.it

20. Groupe de travail « Article 29 », Lignes directrices relatives à la prise de décision individuelle automatisée et au profilage (WP251rev.01, adoptées le 3 octobre 2017, révisées le 6 février 2018, endossées par le CEPD) : ec.europa.eu