RGPD et site IA-généré : qui est vraiment responsable ?

RGPD et site IA-généré : qui est responsable ?

L’éditeur du site (l’entreprise ou l’indépendant qui l’exploite) reste responsable du traitement des données personnelles, même si le code a été généré par une IA et le site hébergé par un tiers. Lovable, Vercel ou le modèle qui a produit le code agissent en sous-traitants au sens de l’article 28 du RGPD, jamais en responsables à votre place.

Un site monté en quelques prompts sur Lovable, hébergé sur Vercel, avec des composants générés par Claude : cette stack est devenue banale en 2026. Le problème arrive dès que ce site collecte un email via un formulaire, dépose un cookie analytics ou stocke une adresse de livraison. À ce moment précis, une chaîne d’acteurs entre en jeu, et un seul d’entre eux porte le risque juridique final : vous.

Qu’est-ce qu’un responsable de traitement, et pourquoi c’est presque toujours vous ?

Le responsable du traitement est la personne physique ou morale qui détermine les finalités et les moyens d’un traitement de données personnelles, indépendamment de qui a écrit le code ou configuré le serveur. Avant de confier un traitement à un prestataire, ce responsable doit s’assurer que le sous-traitant offre toutes les garanties nécessaires pour respecter le RGPD source : CNIL, rgpd-comment-bien-identifier-son-role.

Concrètement, si vous décidez de collecter des emails via un formulaire de contact, que vous activez un outil analytics ou que vous mettez en ligne une newsletter, c’est vous qui décidez de la finalité (prospection, statistiques, service client). Peu importe que Lovable ait généré le formulaire ou que Claude ait écrit la fonction de validation : la décision de collecter est la vôtre, donc la responsabilité l’est aussi. Ce point est souvent mal compris par les porteurs de projet qui pensent qu’un site “généré par IA” déplace le problème juridique vers l’outil.

Lovable, Vercel, Claude : qui fait quoi dans la chaîne RGPD ?

Un sous-traitant est un prestataire qui traite des données personnelles pour le compte du responsable du traitement, selon ses instructions documentées, sans en déterminer lui-même les finalités. Dans une stack Lovable/Vercel/Claude, chaque acteur occupe une case précise, et aucune de ces cases n’est “responsable à la place de l’éditeur”.

L’objet du traitement d’un sous-traitant correspond le plus souvent à son activité propre : routage d’emails, hébergement, maintenance, support source : CNIL, 6 bonnes pratiques. Cela vise directement Vercel en tant qu’hébergeur, mais pas Claude, qui a produit le code une fois, en amont, sans accéder ensuite aux données de vos visiteurs. Le chapitre IV du RGPD, articles 24 à 33, structure exactement cette distinction entre responsable, responsables conjoints et sous-traitants source : CNIL, Chapitre IV.

Un hébergeur comme Vercel peut-il être condamné à votre place ?

Non, et c’est écrit noir sur blanc dans les contrats. Le Data Processing Addendum de Vercel stipule qu’aucune des parties ne sera responsable des amendes RGPD infligées au titre de l’article 83 contre l’autre partie, en lien avec une violation propre à cette autre partie source : Vercel, DPA, mars 2026. Autrement dit, si vous manquez à une obligation qui vous incombe (base légale absente, absence de mentions RGPD, défaut de consentement cookies), Vercel ne paiera pas pour vous.

Cette clause n’est pas une échappatoire de géant américain, c’est simplement la logique du RGPD appliquée. Vercel s’engage de son côté à maintenir des mesures de sécurité appropriées et à notifier toute violation sans délai indu source : Vercel, Security & Compliance, juillet 2026, mais cet engagement porte sur son propre périmètre technique (l’infrastructure), pas sur vos choix de collecte de données. Le sujet de la propriété réelle de votre site rejoint directement cette question : un site que vous ne maîtrisez pas techniquement reste un site dont vous portez pourtant l’entière responsabilité juridique.

Faut-il un contrat (DPA) avec chaque prestataire de la stack ?

Un DPA (Data Processing Addendum) désigne le contrat qui encadre juridiquement la relation entre un responsable de traitement et son sous-traitant, conformément à l’article 28 du RGPD, avec des mentions obligatoires listées à l’article 28.3. Un contrat écrit est obligatoire dès qu’un sous-traitant manipule des données personnelles pour votre compte, qu’il s’agisse d’un hébergeur, d’un outil d’emailing ou d’un CRM source : CNIL, rgpd-comment-bien-identifier-son-role.

Dans une stack IA classique, cela signifie signer ou accepter le DPA de Vercel pour l’hébergement, et vérifier si Lovable propose lui-même un DPA distinct dès qu’il stocke des soumissions de formulaire. Un point technique mérite une attention particulière : le sous-traitant ne peut recruter un autre sous-traitant que sur autorisation écrite du responsable source : CNIL, 6 bonnes pratiques. Une chaîne Lovable → Vercel → services tiers d’analytics peut donc contenir un maillon non déclaré, invisible tant que personne ne l’a vérifié. C’est exactement ce type d’angle mort qu’un audit avant refonte avec l’IA seule permet de repérer avant qu’il ne devienne un problème.

Que dit la CNIL sur l’IA générative et les données personnelles ?

La CNIL a publié des recommandations spécifiques sur l’articulation entre IA et RGPD, en soulignant que le règlement permet le développement d’IA innovantes en Europe, à condition d’informer correctement les personnes concernées source : CNIL, IA et RGPD. Ce point vise surtout les cas où des données personnelles servent à entraîner un modèle, un sujet différent de “faire générer du code par une IA”.

Pour un site construit avec Lovable ou du code produit par Claude, l’enjeu principal n’est donc pas l’entraînement du modèle, mais la configuration du site final : cookies déposés par défaut, formulaires sans mention d’information, absence de base légale documentée. Ces sujets rejoignent la conformité RGPD générale déjà traitée en détail dans notre guide sur la conformité RGPD d’un site en 2026, et la question spécifique de l’accessibilité d’un site généré par IA suit la même logique : l’outil ne dispense d’aucune obligation légale.

Des sanctions ont-elles déjà visé des sous-traitants négligents ?

Oui, et l’exemple récent est instructif. La délibération CNIL SAN-2025-014, dans l’affaire Deezer / Mobius Solutions, a directement sanctionné un sous-traitant jugé très négligent, sans que la responsabilité retombe uniquement sur le responsable de traitement source : analyse SAN-2025-014, Deezer/Mobius. Cette décision confirme que la CNIL peut sanctionner un sous-traitant en direct, pas seulement le responsable qui l’a choisi.

Pour vous, cela ne change rien à votre propre exposition : vous restez responsable de vérifier que vos sous-traitants (hébergeur, plateforme no-code, service tiers) offrent des garanties suffisantes. Choisir un builder IA sans DPA clair, ou héberger sans vérifier les engagements de sécurité, expose à une double sanction potentielle, la vôtre et celle du prestataire défaillant.

Que devez-vous faire concrètement si votre site sort d’un builder IA ?

Quelques actions simples réduisent l’essentiel du risque :

• Identifiez chaque prestataire qui touche à une donnée personnelle (formulaire, analytics, emailing, hébergeur).
• Vérifiez l’existence d’un DPA pour chacun, en particulier Vercel et Lovable si des données transitent par leur infrastructure.
• Tenez un registre des traitements, même simplifié, listant finalité, données collectées et durée de conservation (article 30 du RGPD).
• Ajoutez les mentions d’information RGPD sur chaque formulaire, et un bandeau cookies conforme si des traceurs non essentiels sont déposés.
• Documentez votre analyse de qualification (responsable, responsable conjoint, sous-traitant) en cas de doute, comme le recommande la CNIL source : CNIL, rgpd-comment-bien-identifier-son-role.

Ce travail rejoint directement les limites déjà documentées du vibe coding pour un site pro : générer un site vite ne dispense pas de la couche de conformité, elle se rajoute après, souvent à la main. Le comparatif honnête Lovable, Bolt, v0 pointe d’ailleurs le même constat : ces outils excellent à produire une interface, pas un cadre juridique.

Trois constats à retenir : d’abord, aucun outil IA (Lovable, Claude) ni aucun hébergeur (Vercel) ne porte votre responsabilité de responsable de traitement, quel que soit le contrat signé. Ensuite, cette responsabilité se documente concrètement, par un registre, des DPA vérifiés et des mentions d’information à jour, pas par une simple confiance dans l’outil. Enfin, la jurisprudence 2025 montre que même les sous-traitants s’exposent désormais à des sanctions directes, ce qui rend le choix de chaque prestataire de votre stack IA aussi stratégique que juridique.