L’essentiel
Quand une IA répond à un appel client, deux règles s’appliquent dès la première phrase : dire à l’appelant qu’il parle à une IA (règlement européen sur l’IA, article 50) et l’informer de l’usage de ses données (RGPD, article 13). Viennent ensuite dix points : une base légale par finalité, des questions limitées au nécessaire, une durée de conservation, un contrat de sous-traitance (article 28), des transferts hors UE encadrés, le registre, l’AIPD si le risque est élevé, les droits des personnes, la sécurité et la gestion des violations. Vous restez responsable ; le prestataire doit vous fournir de quoi le prouver.
« J’ai le droit d’utiliser une IA pour répondre au téléphone ? » C’est souvent la première question d’un dirigeant à qui l’on présente un agent vocal IA, avant le prix et avant la voix. La réponse est oui. Mais un appel contient par nature des données personnelles : le numéro, le nom, la demande, parfois une information sensible. Dès qu’une IA traite ce flux, le RGPD s’applique en entier.
Cette checklist est opérationnelle : elle suit l’ordre dans lequel les questions se posent quand on déploie un agent vocal ou un callbot, avant de signer, avant d’activer la ligne, puis en service. Deux sujets voisins ont leur propre article : l’obligation de dire que c’est une IA (l’article 50 de l’AI Act, appliqué au téléphone) et l’enregistrement audio des appels.
Qui est responsable de quoi
Le RGPD distingue celui qui décide pourquoi et comment les données sont traitées (le responsable du traitement) de celui qui les traite pour son compte (le sous-traitant). Pour les appels de vos clients, l’entreprise qui installe l’agent est responsable du traitement ; l’éditeur de l’agent vocal est son sous-traitant, et il a lui-même des sous-traitants (téléphonie, modèle de langage, hébergement, e-mail).
À votre charge (responsable du traitement)
- Choisir les finalités et la base légale
- Informer l’appelant, dès le début de l’appel
- Décider des questions que pose l’agent
- Inscrire le traitement à votre registre
- Répondre aux demandes d’accès, d’effacement, d’opposition
- Notifier une violation à la CNIL sous 72 heures
À la charge du prestataire (sous-traitant)
- Ne traiter les données que sur vos instructions
- Fournir un contrat conforme à l’article 28
- Lister ses sous-traitants et leur localisation
- Encadrer les transferts hors de l’Union européenne
- Sécuriser les données et vous alerter en cas de violation
- Vous aider à répondre aux droits des personnes
Aucun prestataire ne rend une entreprise « conforme » par abonnement. Il peut vous fournir un contrat, une documentation et des réglages ; la base légale, l’information de vos appelants et votre registre restent de votre fait.
Avant de signer : 4 points à vérifier chez le prestataire
- 1. Un contrat de sous-traitance conforme à l’article 28Le texte exige un contrat qui définit l’objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes. Le sous-traitant ne traite les données « que sur instruction documentée » du responsable, y compris pour les transferts hors de l’Union. Demandez ce DPA avant de signer, pas après.
- 2. La liste des sous-traitants ultérieurs et les transfertsOù sont stockées les données, et quels prestataires y accèdent depuis l’extérieur de l’Union ? Un transfert vers un pays tiers repose sur une décision d’adéquation (article 45, par exemple le cadre UE-États-Unis pour les entreprises certifiées) ou sur des garanties appropriées comme les clauses contractuelles types de la Commission (article 46). « Données stockées dans l’UE » ne signifie pas que rien n’en sort : posez la question.
- 3. Les mesures de sécuritéL’article 32 demande des mesures adaptées au risque : chiffrement en transit et au repos, contrôle des accès, cloisonnement entre clients, sauvegardes. Demandez une description écrite, et vérifiez qui, chez le prestataire, peut lire vos transcriptions.
- 4. La conservation et l’usage des conversationsCombien de temps l’audio (s’il est conservé), les transcriptions et les résumés sont gardés, et s’ils servent à entraîner des modèles. Une durée fixe avec suppression automatique, et un engagement écrit de non-entraînement, sont les deux réponses à obtenir.
Avant d’activer la ligne : 5 points chez vous
5. Une base légale par finalité
L’article 6 du RGPD prévoit six bases légales. Pour un agent vocal, deux couvrent l’essentiel, et le consentement n’est pas la base par défaut :
| Ce que fait l’agent | Base légale la plus courante | Point d’attention |
|---|---|---|
| Prendre un rendez-vous, un devis, une commande à la demande de l’appelant | Mesures précontractuelles prises à la demande de la personne (art. 6, 1, b) | Ne demander que ce qui sert au rendez-vous |
| Prendre un message, filtrer le démarchage, router l’appel | Intérêt légitime (art. 6, 1, f) | Mettre en balance avec les droits de l’appelant ; droit d’opposition (art. 21) |
| Enregistrer l’audio de l’appel | Selon la finalité (preuve, formation, qualité) | Information dédiée et durée propre : voir notre article sur l’enregistrement |
| Recueillir des données de santé, d’opinion, de condamnation pénale | Régimes particuliers (art. 9 et 10) | À éviter par réglage : l’agent ne pose pas ces questions |
6. Minimiser ce que l’agent demande
Le principe de minimisation (article 5) se règle dans le script de l’agent : un nom, un numéro de rappel, l’objet de la demande, un créneau. Pas de date de naissance, pas de numéro de sécurité sociale, pas de récit détaillé d’une situation médicale ou judiciaire. Un agent qui pose moins de questions est aussi plus rapide pour l’appelant.
7. Informer l’appelant au début de l’appel
L’article 13 impose de fournir l’information « au moment où les données en question sont obtenues » : identité du responsable, finalités et base légale, destinataires, transferts hors UE, durée de conservation, droits. Au téléphone, tout dire est impossible. La CNIL recommande, dans sa fiche sur l’écoute et l’enregistrement des appels (en cours de mise à jour), une information en deux temps : une mention orale en début de conversation, puis un renvoi vers une information complète. Le modèle plus bas suit cette logique.
8. Inscrire le traitement au registre
L’article 30 dispense les structures de moins de 250 personnes de registre, sauf si le traitement n’est pas occasionnel, comporte un risque ou porte sur des données sensibles. La gestion quotidienne des appels n’est pas occasionnelle : inscrivez-la. La CNIL propose un modèle de registre simplifié ; une fiche « gestion des appels entrants par agent vocal IA » suffit, avec finalités, données, destinataires, sous-traitants, durées et mesures de sécurité.
9. Vérifier si une AIPD est nécessaire
L’analyse d’impact (article 35) est obligatoire quand le traitement est « susceptible d’engendrer un risque élevé ». La CNIL retient, avec les lignes directrices européennes, qu’elle s’impose dès que le traitement remplit au moins deux de neuf critères, parmi lesquels les données sensibles, les personnes vulnérables, la collecte à grande échelle et l’usage d’une technologie innovante. Un artisan qui prend des rendez-vous n’y est généralement pas tenu ; un établissement qui reçoit des patients ou des personnes en difficulté doit se poser la question sérieusement, et la documenter dans les deux cas.
Un agent vocal IA, dossier de conformité compris
Annonce IA dans la phrase d’accueil, contrat de sous-traitance en ligne, données stockées dans l’Union européenne, aucun audio conservé. Mise en place en 10 minutes, satisfait ou remboursé pendant 30 jours.
Choisir ma formuleModèle de message d’information de l’appelant
Le message tient en deux étages. À l’oral, ce qui doit être entendu avant que l’appelant ne parle de lui ; à l’écrit, tout ce que l’article 13 demande. Adaptez les crochets à votre activité.
« Bonjour, vous êtes bien chez [entreprise]. Je suis l’assistante IA de [entreprise]. Je note votre demande pour la transmettre à notre équipe ; vos informations sont utilisées uniquement pour vous répondre. Le détail est sur [adresse du site]/confidentialite. Que puis-je faire pour vous ? »
Cette annonce couvre l’article 50 de l’AI Act (l’appelant sait qu’il parle à une IA), la finalité et le renvoi vers l’information complète. Si vous enregistrez l’audio, ajoutez-le et indiquez comment s’y opposer. Si l’agent peut transférer vers une personne, dites-le : « si vous préférez parler à un conseiller, dites-le-moi ».
À l’écrit, sur la page de confidentialité vers laquelle renvoie le message, une rubrique « Appels téléphoniques » reprend :
- l’identité et les coordonnées de l’entreprise, et du délégué à la protection des données s’il y en a un ;
- les finalités (traiter la demande, prendre rendez-vous, rappeler) et leur base légale ;
- les destinataires : votre équipe et le prestataire de l’agent vocal, avec ses sous-traitants ;
- les transferts hors de l’Union européenne et les garanties appliquées ;
- la durée de conservation des transcriptions, résumés et, le cas échéant, enregistrements ;
- les droits d’accès, de rectification, d’effacement, d’opposition, et le droit de saisir la CNIL ;
- l’adresse à laquelle exercer ces droits.
Une fois en service : 3 points à tenir
10. Fixer et appliquer la durée de conservation
Le RGPD ne fixe pas de chiffre : la durée dépend de la finalité (article 5). Pour les enregistrements audio, la fiche de la CNIL retient jusqu’à six mois au maximum, et un an pour les documents d’analyse. Pour les transcriptions et fiches d’appel, fixez une durée, écrivez-la au registre, et vérifiez que la suppression est automatique, y compris dans les e-mails de compte rendu que vous recevez.
11. Répondre aux droits des personnes
Accès, rectification, effacement, opposition : l’article 12 donne un mois à compter de la demande, prolongeable de deux mois si elle est complexe. Il faut donc pouvoir retrouver un appel par numéro, l’exporter et le supprimer sans passer par le support du prestataire.
12. Savoir gérer une violation de données
En cas de violation, l’article 33 impose de notifier la CNIL « si possible, 72 heures au plus tard » après en avoir pris connaissance, sauf risque improbable. Votre prestataire doit vous prévenir assez tôt pour tenir ce délai : vérifiez le sien dans le contrat, et notez qui fait quoi chez vous.
Ce que prévoit le RGPD en cas de manquement
L’article 83 du RGPD fixe deux plafonds d’amende administrative, le montant le plus élevé étant retenu. Ce sont des maximums : l’autorité tient compte de la gravité, de la durée, de la taille de l’entreprise et des mesures prises.
Le texte ne prévoit aucune exemption de taille : une TPE est soumise aux mêmes règles qu’un groupe, et la CNIL peut rendre ses sanctions publiques. Pour une profession tenue au secret, cabinet médical ou d’avocats, le dommage d’image pèse souvent plus que l’amende : voir l’accueil téléphonique d’un cabinet d’avocats.
Ce que fait Sylen, et ce qui reste à votre charge
Sylen est un agent vocal IA qui décroche le téléphone des TPE, PME et professions libérales. Voici, point par point, ce que nous fournissons, sur la base de nos documents publics.
| Point | Ce que fait Sylen | Ce qui reste à votre charge |
|---|---|---|
| Annonce IA | La phrase d’accueil, que vous personnalisez, mentionne explicitement le caractère IA, conformément à notre charte IA | Compléter la phrase avec la mention de vos données et le lien vers votre page |
| Contrat de sous-traitance | DPA conforme à l’article 28, en ligne sur notre page DPA | L’accepter et le classer avec votre registre |
| Stockage et transferts | Données stockées dans l’Union européenne ; les sous-traitants situés hors de l’Union (téléphonie, modèle vocal, e-mails) sont listés dans notre politique de confidentialité et encadrés par les clauses contractuelles types | Mentionner ces transferts dans votre information |
| Audio et transcriptions | Aucun enregistrement audio conservé ; transcriptions supprimées au bout de douze mois ; conversations non utilisées pour entraîner des modèles (notre fournisseur de modèle peut les garder jusqu’à 30 jours pour la lutte contre les abus) | Supprimer les comptes rendus reçus par e-mail selon votre propre durée |
| Droits des personnes | Export de vos données et accès aux appels depuis votre espace client, suppression sur demande | Répondre à l’appelant dans le délai d’un mois |
| Violations | Notification au client sous 72 heures au plus | Notifier la CNIL si nécessaire |
| Registre et AIPD | Description des traitements et des mesures de sécurité dans le DPA | Tenir votre registre, décider de l’AIPD |
Sylen n’est pas conçu pour héberger des données de santé : pour un cabinet médical, l’agent ne fait ni diagnostic ni conseil médical et renvoie vers le 15 en cas d’urgence vitale. Les formules commencent à 49 € HT par mois, 100 minutes incluses, sans engagement : voir les offres. Pour situer l’agent dans un standard complet, lignes et renvois compris, lisez notre guide du standard téléphonique IA. Vous pouvez entendre la phrase d’accueil sur la ligne de démonstration : 01 62 04 55 66.
Qui peut vous aider à tenir cette conformité
La conformité RGPD et IA d’un agent vocal ne s’achète pas en une fois : elle se tient. Quatre ressources se partagent le travail.
- La CNIL, sans frais : modèle de registre simplifié, questions-réponses pour les TPE et PME, liste des traitements soumis à AIPD.
- Un délégué à la protection des données, interne ou externalisé, si vous en avez désigné un : il doit être consulté pour l’AIPD (article 35).
- Un avocat ou un conseil pour les cas sensibles : santé, données judiciaires, profilage, transferts complexes.
- Le prestataire de l’agent vocal, pour sa part : contrat, liste des sous-traitants tenue à jour, documentation de sécurité, outils d’export et de suppression. C’est à lui de vous signaler un changement de sous-traitant ; c’est à vous de mettre votre registre à jour.
Votre ligne répond, vos appelants sont informés
L’agent s’annonce comme IA, prend rendez-vous dans votre agenda et vous envoie une fiche après chaque appel. Satisfait ou remboursé : si Sylen ne vous convient pas, votre premier mois vous est remboursé.
Choisir ma formuleQuestions fréquentes
Faut-il le consentement de l’appelant pour utiliser un agent vocal IA ?
Pas en principe. L’AI Act impose d’informer l’appelant qu’il parle à une IA, pas de recueillir son accord. Côté RGPD, la prise de rendez-vous repose généralement sur les mesures précontractuelles demandées par la personne, et la prise de message sur l’intérêt légitime. Le consentement redevient un sujet si vous enregistrez l’audio pour une finalité qui l’exige, ou si vous traitez des données sensibles.
La voix de l’appelant est-elle une donnée biométrique ?
Pas automatiquement. L’article 4 du RGPD définit les données biométriques comme celles issues d’un « traitement technique spécifique » qui permettent ou confirment l’identification unique d’une personne. Un agent qui transcrit une demande n’identifie pas l’appelant par sa voix. Un système de reconnaissance du locuteur, lui, traite des données biométriques et relève de l’article 9.
Les données peuvent-elles sortir de l’Union européenne ?
Oui, si le transfert est encadré : décision d’adéquation (article 45) ou garanties appropriées comme les clauses contractuelles types (article 46), et si l’appelant en est informé. Chez Sylen, les données sont stockées dans l’Union européenne ; certains sous-traitants situés hors de l’Union, listés dans notre politique de confidentialité, interviennent sous clauses contractuelles types.
Une TPE doit-elle faire une AIPD pour un agent vocal ?
Rarement pour un usage courant (rendez-vous, messages, routage). Elle devient nécessaire si le traitement remplit au moins deux des neuf critères retenus par la CNIL, par exemple des données sensibles et des personnes vulnérables. Dans tous les cas, notez au registre pourquoi vous en avez fait une, ou non.
Combien de temps garder les transcriptions d’appels ?
Le RGPD ne fixe pas de durée : elle dépend de la finalité. Pour l’audio, la CNIL retient jusqu’à six mois au maximum. Pour les transcriptions, choisissez une durée justifiée par votre activité, écrivez-la et appliquez-la. Chez Sylen, les transcriptions sont supprimées automatiquement au bout de douze mois et aucun audio n’est conservé.
Quelle règle respecter quand une IA prend un appel client ?
Dire dès la première phrase que l’appelant parle à une IA, l’informer de l’usage de ses données et de l’endroit où trouver le détail, ne lui demander que ce qui sert à sa demande, et lui permettre d’exercer ses droits ensuite. Le reste de la checklist se règle en amont, avec le prestataire et dans votre registre.
Textes et sources
- Règlement (UE) 2016/679 (RGPD), articles 4, 5, 6, 9, 10, 12, 13, 21, 28, 30, 32, 33, 35, 45, 46 et 83, EUR-Lex, lu le 2 octobre 2026.
- Règlement (UE) 2024/1689 sur l’intelligence artificielle, article 50 : voir notre article dédié.
- CNIL, L’écoute et l’enregistrement des appels sur le lieu de travail (page signalée en cours de mise à jour).
- CNIL, Ce qu’il faut savoir sur l’analyse d’impact (AIPD).
- CNIL, Le registre des activités de traitement.
