Mettre une IA au téléphone soulève une vraie question juridique : on enregistre une voix, on transcrit un échange, on stocke un nom, un numéro, parfois une adresse. Tout ça relève du RGPD (Règlement Général sur la Protection des Données) et de la doctrine de la CNIL. Mal géré, c'est une amende qui peut atteindre 4% du chiffre d'affaires annuel.
Cet article fait le tour des obligations concrètes : ce qu'il faut dire à l'appelant, où héberger les données, combien de temps les garder, comment gérer une demande de suppression. Pas de jargon juridique inutile, juste ce qu'un pro doit savoir pour rester en règle quand il met en place un callbot ou un standard IA.
Quelles obligations RGPD pour une IA vocale ?
Une IA vocale qui décroche les appels doit respecter quatre obligations RGPD majeures : informer l'appelant dès le début de la conversation que l'appel est traité par une IA et enregistré, collecter seulement les données nécessaires (principe de minimisation), héberger les données dans l'UE avec un sous-traitant conforme, et permettre à tout moment la suppression sur demande de la personne. Sanctions en cas de manquement : jusqu'à 20 millions d'euros ou 4% du CA annuel mondial.
Les données traitées par une IA vocale
Quand une IA décroche un appel téléphonique, elle manipule plusieurs catégories de données personnelles :
- L'enregistrement audio de la conversation (la voix est une donnée biométrique potentielle si utilisée pour identifier la personne)
- La transcription textuelle de ce qui a été dit (équivalent texte de l'audio)
- L'identité déclarée : nom, prénom (souvent collectés en début d'appel)
- Les coordonnées : numéro de téléphone (déjà connu via l'appel entrant), email, adresse postale si demandée
- Le motif de l'appel : nature de la demande, niveau d'urgence, contexte personnel parfois sensible (santé, famille, finances)
- Métadonnées : date, heure, durée, numéro appelant, géolocalisation approximative liée à l'opérateur
Toutes ces données entrent dans le périmètre du RGPD. Le responsable de traitement, c'est le professionnel qui utilise l'IA (vous), pas le fournisseur du callbot (qui est sous-traitant au sens de l'article 28).
Obligation 1 : informer l'appelant dès le décroché
L'article 13 du RGPD impose d'informer la personne de plusieurs éléments dès que ses données sont collectées : qui collecte, pourquoi, sur quelle base légale, combien de temps, qui y aura accès, comment exercer ses droits. Pour un appel téléphonique, la recommandation CNIL 2022 sur les voicebots précise les attendus.
En pratique, le message de bienvenue doit comporter, dès les premières secondes :
- L'indication que l'appel est traité par une IA et non un humain (« Vous êtes en relation avec l'assistant vocal de [nom du pro] »)
- L'information que l'appel est enregistré et transcrit
- La finalité (« pour qualifier votre demande et organiser un rappel »)
- La possibilité de demander un humain ou de raccrocher (option implicite)
Ces mentions peuvent être brèves (10-15 secondes max) pour ne pas alourdir l'appel. L'information détaillée (durée, droits) renvoie à une politique de confidentialité accessible sur le site web du pro.
Obligation 2 : minimisation des données
Le RGPD interdit de collecter plus que nécessaire. Concrètement pour une IA vocale :
- Ne demandez pas la date de naissance si elle n'est pas indispensable
- Ne stockez pas l'enregistrement audio si la transcription suffit
- Ne conservez pas les conversations terminées une fois le RDV pris et le résumé envoyé
- Ne demandez pas de numéro de sécurité sociale, de RIB ou d'informations médicales détaillées par téléphone (basculer vers un échange sécurisé écrit ou en présentiel)
La CNIL a sanctionné plusieurs sociétés en 2023 et 2024 pour avoir collecté des données « par défaut » au-delà du strict besoin opérationnel.
Obligation 3 : hébergement et transferts
Les données collectées doivent être hébergées dans l'Union Européenne, ou dans un pays adéquat reconnu par la Commission européenne. Le transfert vers les États-Unis est devenu juridiquement risqué depuis l'arrêt Schrems II (2020) et reste sous contrainte malgré le Data Privacy Framework de 2023.
Pour une IA vocale, plusieurs maillons doivent être européens :
- L'hébergement principal (site, base de données, enregistrements)
- La transcription de ce que dit l'appelant
- La compréhension de la demande, idéalement par un fournisseur européen
- La voix de synthèse qui répond à l'appelant
- L'envoi des emails et SMS de notification
Accueil IA est hébergé en France et conçu pour la conformité RGPD. Le traitement des données et les éventuels transferts sont documentés dans le DPA (Data Processing Agreement) signé entre Accueil IA et chaque pro client.
Obligation 4 : durée de conservation
Le RGPD impose une durée limitée et proportionnée. La CNIL recommande pour les enregistrements téléphoniques :
| Type de donnée | Durée recommandée |
|---|---|
| Enregistrement audio brut | 1 à 6 mois maximum (souvent 1 mois) |
| Transcription textuelle | 6 mois à 1 an si utilité métier |
| Résumé structuré + RDV pris | 3 ans (durée commerciale standard) |
| Logs techniques (date, durée) | 1 an pour traçabilité technique |
Au-delà de ces durées, les données doivent être supprimées automatiquement ou anonymisées (suppression des éléments identifiants). Une purge automatique programmée est la bonne pratique. Accueil IA purge automatiquement les enregistrements audio après 30 jours et anonymise les transcriptions après 1 an, sauf demande explicite du pro pour conservation plus longue (avec justification documentée).
Obligation 5 : droits des personnes
Tout appelant peut exercer plusieurs droits sur les données qui le concernent :
- Droit d'accès : obtenir une copie des données stockées le concernant
- Droit de rectification : corriger une donnée erronée
- Droit à l'effacement : suppression (sauf obligation légale de conservation)
- Droit à la portabilité : récupérer ses données dans un format réutilisable
- Droit d'opposition : refuser certains traitements
Le pro client doit avoir un processus pour répondre à ces demandes dans le délai d'un mois. Une adresse mail dédiée (dpo@... ou rgpd@...) est la norme. L'outil callbot doit fournir une fonction d'export et de suppression rapide.
Sanctions et jurisprudence récente
Au-delà de la CNIL, un appelant peut aussi saisir la justice civile en cas de préjudice, par exemple pour atteinte à la vie privée.
Comment Accueil IA gère le RGPD
- Message d'information dans le greeting (« assistant vocal », « appel enregistré »)
- Hébergement en France, conforme RGPD
- Enregistrements et transcriptions conservés tant que le compte du professionnel est actif, supprimables à tout moment depuis son historique d'appels
- DPA fourni à chaque client pro (responsable / sous-traitant)
- Export et suppression par le pro depuis son dashboard, en 1 clic
- Logs d'accès auditable, conformité ISO 27001 visée 2026
Pour aller plus loin : la fiche CNIL voicebots, comment fonctionne techniquement un callbot, le clonage vocal et ses implications légales.
Pour entendre le greeting Accueil IA et vérifier qu'il intègre bien la mention RGPD, appelez le 09 72 10 55 19. Et pour tester, créez un compte gratuit.
FAQ RGPD et IA vocale
Faut-il prévenir l'appelant qu'il parle à une IA ?
Oui. L'article 13 du RGPD impose d'informer la personne dès la collecte : qui traite ses données, pourquoi, et que l'appel est enregistré. L'assistante doit se présenter comme une IA dès le décroché.
Peut-on enregistrer les appels ?
Oui, à condition d'en informer l'appelant au début de la conversation, de limiter la collecte au nécessaire et de fixer une durée de conservation proportionnée. Le professionnel reste responsable du traitement, le prestataire est sous-traitant.
Où les données doivent-elles être hébergées ?
Dans l'Union européenne ou dans un pays reconnu adéquat par la Commission européenne. Un transfert vers les États-Unis est juridiquement risqué depuis l'arrêt Schrems II.
Quels droits l'appelant peut-il exercer ?
Accès, rectification, effacement, opposition. Il doit pouvoir les exercer simplement, par exemple depuis l'espace client envoyé après l'appel ou par e-mail auprès du professionnel.
Comment Accueil IA respecte-t-il ces obligations ?
Annonce de l'assistante et de l'enregistrement dès le décroché, hébergement en France, collecte limitée aux champs choisis par le professionnel, conservation tant que son compte est actif avec suppression possible à tout moment depuis son historique, et accord de sous-traitance fourni à chaque client.