Assistant vocal IA au téléphone : ce que le RGPD et l’AI Act imposent à l’entreprise
Utiliser une intelligence artificielle pour répondre au téléphone est légal, à condition de respecter quelques règles : annoncer l’IA, informer les appelants, limiter la conservation, encadrer le prestataire. Le point, sans jargon.
Confier ses appels à un assistant vocal fondé sur l’intelligence artificielle soulève une question légitime : est-ce conforme au RGPD et au règlement européen sur l’IA (AI Act) ? La réponse est oui, à condition de respecter quelques principes simples. Voici ce que doit faire une entreprise, et ce que doit garantir son prestataire.
Qui est responsable de quoi ?
Lorsqu’un assistant vocal répond aux appels de votre entreprise :
- votre entreprise est responsable du traitement : c’est elle qui décide de traiter les appels, dans quel but et pendant combien de temps ;
- le prestataire de l’assistant est son sous-traitant : il traite les données pour le compte de l’entreprise et selon ses instructions.
L’article 28 du RGPD impose un contrat de sous-traitance entre les deux, précisant notamment la finalité, les mesures de sécurité, la liste des sous-traitants ultérieurs (hébergeur, opérateur téléphonique, fournisseur d’IA), l’aide apportée pour répondre aux droits des personnes et le sort des données en fin de contrat. Chez Décroche, ce contrat est accepté en ligne avant la mise en service et adapté aux choix de chaque client.
Obligation n° 1 : annoncer que l’appelant parle à une IA
Le règlement européen sur l’intelligence artificielle prévoit une obligation de transparence (article 50) : les personnes qui interagissent avec un système d’IA doivent en être informées, sauf si c’est évident. Au téléphone, ce n’est jamais évident.
En pratique, l’assistant doit le dire dès le début de l’appel, par exemple : « Bonjour, vous êtes bien chez [Entreprise]. Je suis l’assistant vocal, une intelligence artificielle. » Il ne doit jamais se faire passer pour une personne.
Obligation n° 2 : informer les appelants sur leurs données
Le RGPD (article 13) impose d’informer les personnes au moment où leurs données sont collectées. Au téléphone, on procède en deux niveaux :
- Une information courte dans l’accueil : l’appel est traité par une IA et l’échange est conservé par écrit pour le suivi de la demande.
- Une information complète accessible ailleurs : la politique de confidentialité de l’entreprise, sur son site, précisant la finalité, la base légale, la durée de conservation, les destinataires et les droits.
La base légale est généralement l’intérêt légitime de l’entreprise à traiter les demandes qu’elle reçoit, ou les mesures précontractuelles quand l’appelant demande un devis ou un rendez-vous.
Obligation n° 3 : limiter ce qui est conservé, et combien de temps
Un assistant vocal produit plusieurs types de données : le numéro appelant, la transcription de la conversation, un résumé, parfois un message vocal enregistré. Le principe de minimisation impose de ne garder que ce qui est utile, et de fixer une durée de conservation proportionnée.
Pour les enregistrements d’appels, la CNIL recommande de façon générale une conservation limitée (de l’ordre de quelques mois). Le plus simple est de choisir une durée courte, par exemple 90 jours, puis d’anonymiser automatiquement les appels plus anciens. Chez Décroche, cette durée est réglée par chaque client, et l’anonymisation se fait chaque nuit.
Obligation n° 4 : savoir où vont les données
Un assistant vocal fait intervenir plusieurs prestataires : l’hébergeur, l’opérateur qui achemine les appels, le fournisseur de l’intelligence artificielle (transcription et réponses), parfois un service de synthèse vocale. Vérifiez :
- où ils sont situés : un hébergement et une IA dans l’Union européenne évitent les transferts internationaux ;
- comment sont encadrés les transferts hors de l’Union, s’il y en a (clauses contractuelles types de la Commission européenne) ;
- qu’ils sont listés dans le contrat de sous-traitance, avec une information préalable en cas de changement.
Obligation n° 5 : permettre l’exercice des droits
Un appelant peut demander l’accès à ses données, leur effacement ou s’opposer au traitement. L’entreprise doit pouvoir retrouver ses appels (par son numéro), les exporter et les effacer. Le prestataire doit fournir ces outils et aider l’entreprise à répondre dans le délai d’un mois.
Ce que l’assistant ne doit pas faire
Pour rester dans un cadre simple, l’assistant :
- ne prend pas de décision produisant des effets juridiques pour l’appelant (accord de crédit, refus d’un service…) : il informe, oriente et transmet ;
- ne collecte pas de données sensibles inutiles (santé, opinions…) ; si votre activité y expose, encadrez-le par des consignes strictes ;
- n’est pas un service d’urgence et doit renvoyer vers le 15, le 17, le 18 ou le 112 si nécessaire.
Check-list de conformité
| À faire | Où |
|---|---|
| Annonce de l’IA en début d’appel | Message d’accueil de l’assistant |
| Information courte sur la conservation | Message d’accueil |
| Politique de confidentialité à jour | Site de l’entreprise |
| Contrat de sous-traitance (article 28) | Avec le prestataire |
| Durée de conservation fixée et appliquée | Réglages de l’assistant |
| Liste des sous-traitants et lieux de traitement | Contrat de sous-traitance |
| Outils d’export et d’effacement | Espace du prestataire |
| Inscription au registre des traitements | Registre de l’entreprise |
Vous découvrez le sujet ? Commencez par notre guide du standard téléphonique IA, puis consultez la politique de confidentialité de Décroche pour un exemple concret.
Questions fréquentes
Faut-il le consentement de l’appelant pour utiliser un assistant vocal IA ?
Pas nécessairement : la base légale est le plus souvent l’intérêt légitime de l’entreprise à traiter les appels qu’elle reçoit, à condition d’informer clairement l’appelant et de lui permettre de s’opposer.
L’AI Act interdit-il les assistants vocaux au téléphone ?
Non. Un assistant d’accueil téléphonique n’entre pas dans les pratiques interdites. Il est soumis à une obligation de transparence : l’appelant doit savoir qu’il parle à une intelligence artificielle.
Combien de temps garder les conversations ?
Le temps nécessaire au traitement des demandes, puis une durée limitée : 90 jours est un bon point de départ pour la plupart des entreprises, avec une anonymisation automatique ensuite.
Qui est responsable en cas de fuite de données ?
Le prestataire doit sécuriser les données et notifier rapidement l’entreprise en cas de violation ; l’entreprise, responsable du traitement, notifie la CNIL si nécessaire. Le contrat de sous-traitance précise ces délais.