Standard téléphonique IA et RGPD : quelles questions poser avant de le déployer en agence ?

Le problème : un appel contient des données personnelles dès les premières secondes

Un appelant donne son nom, son numéro, parfois son adresse, la situation d'un bien ou d'un logement qu'il occupe. Si un standard téléphonique IA prend l'appel, ces informations sont recueillies, transcrites ou résumées, puis transmises. Le règlement général sur la protection des données (RGPD) s'applique à ce traitement comme à n'importe quel autre.

Ce guide ne donne pas de conseil juridique personnalisé. Il liste les questions qu'une agence doit se poser et poser à son prestataire, en s'appuyant sur des sources officielles. Pour une situation précise, rapprochez-vous de votre délégué à la protection des données ou d'un conseil.

Qui est responsable de quoi ?

Dans la plupart des configurations, l'agence décide pourquoi et comment les données des appelants sont utilisées : elle est responsable de traitement. Le prestataire qui fait fonctionner le standard pour son compte agit en général comme sous-traitant. L'article 28 du RGPD prévoit alors que le traitement soit encadré par un contrat (ou un autre acte juridique) qui fixe notamment l'objet, la durée, la nature et la finalité du traitement, les types de données, et l'obligation de ne traiter les données que sur instructions documentées du responsable.

Les huit questions à poser, une par une

Informer les appelants : ce que dit la CNIL

La CNIL rappelle que l'information doit être concise, transparente, compréhensible et aisément accessible. Pour une collecte directe, elle doit couvrir notamment l'identité du responsable de traitement, les finalités, la base légale, les destinataires (y compris les sous-traitants), la durée de conservation, les droits des personnes et le droit de saisir la CNIL, et, selon les cas, les transferts hors de l'Union européenne.

Au téléphone, la CNIL décrit, pour l'écoute et l'enregistrement des appels, une information à deux niveaux : une mention orale au début de l'appel, puis un renvoi vers un site ou une touche pour l'information complète, avec le droit d'opposition signalé avant la fin de la conversation. Cette page de la CNIL se présente elle-même comme ancienne et en cours de mise à jour : prenez-la comme un repère de bonne pratique et vérifiez la version en vigueur.

Enregistrer et conserver : limiter dès le départ

Pour l'enregistrement d'appels sur le lieu de travail, la CNIL indique que les enregistrements peuvent être conservés jusqu'à six mois au maximum, sauf texte ou justification particulière, et que les documents d'analyse peuvent l'être jusqu'à un an. Ces repères visent un contexte précis (le suivi de la qualité ou la formation) : la durée applicable à votre standard dépend de votre finalité, que vous devez définir et documenter.

• Définir la finalité avant de décider d'enregistrer : traiter la demande, prouver un accord, former l'équipe ne mènent pas aux mêmes durées.
• Ne conserver que le nécessaire : un résumé et les coordonnées suffisent souvent, sans l'enregistrement audio.
• Prévoir la suppression à l'échéance, et pouvoir la constater.
• Limiter les accès aux personnes concernées par la finalité, avec une traçabilité.

Sous-traitants et transferts : poser les bonnes questions

Le RGPD (article 28) impose un contrat avec le sous-traitant et interdit à celui-ci de recourir à un sous-traitant ultérieur sans l'autorisation écrite préalable, spécifique ou générale, du responsable de traitement. Les transferts de données vers des pays tiers relèvent du chapitre V du règlement (articles 44 à 50). La CNIL a publié un guide du sous-traitant qui sert de référence pratique.

• Quelles sociétés interviennent dans le traitement d'un appel (téléphonie, reconnaissance vocale, modèle de langage, hébergement) ?
• Où les données sont-elles traitées et hébergées ?
• Un transfert hors de l'Union européenne est-il prévu, et sur quelle base ?
• Comment êtes-vous informé d'un changement de sous-traitant ?
• Que deviennent les données à la fin du contrat ?

Dire à l'appelant qu'il parle à une IA

L'article 50 du règlement européen sur l'intelligence artificielle (AI Act) prévoit que les systèmes d'IA destinés à interagir directement avec des personnes soient conçus de façon que ces personnes soient informées de cette interaction, sauf si cela ressort clairement du contexte. L'article est applicable depuis le 2 août 2026. Concrètement, un standard IA gagne à le dire dès l'accueil.

Cette obligation s'ajoute à l'information RGPD, elle ne la remplace pas. Les lignes directrices d'application peuvent évoluer : vérifiez le texte en vigueur.

Questions fréquentes

Un standard IA est-il conforme au RGPD par nature ?

Non. La conformité dépend de l'usage : finalités, information, durées, contrat, sécurité, droits. Aucun outil ne l'assure à lui seul.

Faut-il enregistrer les appels ?

Pas nécessairement. L'enregistrement est un choix qui se justifie par une finalité et se documente. Un résumé transmis à l'équipe suffit souvent.

Faut-il un contrat avec le prestataire ?

Oui, lorsqu'il agit comme sous-traitant : l'article 28 du RGPD exige un contrat ou un autre acte juridique qui encadre le traitement.

Ce guide remplace-t-il l'avis d'un juriste ?

Non. Il aide à préparer les bonnes questions, pas à décider à la place de votre délégué à la protection des données ou de votre conseil.