IA vocale et RGPD : la checklist en 14 points
Base légale, information de l'appelant, durée de conservation, sous-traitance, transferts hors UE. Ce qu'un contrôle CNIL regarde en premier.
Un agent vocal traite des données personnelles à chaque appel : la voix, le numéro, le contenu de la conversation, parfois des données de santé. Le RGPD s'applique intégralement, et vous êtes responsable de traitement — l'éditeur n'est que sous-traitant.
Quatorze points à vérifier, regroupés en cinq blocs, avec la référence de l'article correspondant. Ceci n'est pas un conseil juridique.
Bloc 1 — Licéité du traitement (points 1 à 3)
| # | Point à vérifier | Référence |
|---|---|---|
| 1 | Une base légale est identifiée pour chaque finalité : exécution du contrat pour la prise de rendez-vous, intérêt légitime ou consentement pour la prospection | RGPD art. 6 |
| 2 | Les finalités sont déterminées et limitées : l'enregistrement ne sert pas à tout | RGPD art. 5.1.b |
| 3 | Les données collectées sont minimisées : l'agent ne demande pas ce dont il n'a pas besoin | RGPD art. 5.1.c |
Le point 3 a une traduction concrète et souvent négligée : un agent qui demande la date de naissance « pour la fiche » alors que rien ne l'exige collecte une donnée sans base. Relisez le script de votre agent avec cette question en tête.
Bloc 2 — Information des personnes (points 4 à 6)
| # | Point à vérifier | Référence |
|---|---|---|
| 4 | L'appelant est informé de l'enregistrement avant que celui-ci ne serve | RGPD art. 13 |
| 5 | L'appelant est informé qu'il parle à un système d'IA | AI Act art. 50 |
| 6 | Une information complète est accessible : politique de confidentialité mentionnant le traitement des appels | RGPD art. 12 et 13 |
Les points 4 et 5 sont deux obligations distinctes qui se cumulent : l'une vient du RGPD, l'autre de l'AI Act. Un agent qui annonce l'enregistrement mais pas sa nature d'IA ne satisfait que la moitié du besoin.
Bloc 3 — Conservation et sécurité (points 7 à 10)
| # | Point à vérifier | Référence |
|---|---|---|
| 7 | Une durée de conservation est définie, justifiée et documentée pour les enregistrements | RGPD art. 5.1.e |
| 8 | L'effacement à l'échéance est effectif, pas seulement prévu | RGPD art. 5.1.e |
| 9 | Les accès sont restreints aux personnes qui en ont besoin | RGPD art. 32 |
| 10 | Les mesures de sécurité sont documentées : chiffrement, journalisation des accès | RGPD art. 32 |
Le point 8 est celui qui échoue le plus souvent en pratique. Une politique qui annonce « conservation six mois » sans mécanisme d'effacement automatique est une politique fausse — demandez à votre éditeur comment l'effacement est déclenché et vérifiez-le.
Bloc 4 — Sous-traitance et transferts (points 11 à 13)
| # | Point à vérifier | Référence |
|---|---|---|
| 11 | Un accord de sous-traitance est signé avec l'éditeur | RGPD art. 28 |
| 12 | La liste des sous-traitants ultérieurs est fournie : modèle, transcription, télécom, hébergement | RGPD art. 28.2 et 28.4 |
| 13 | Les transferts hors Union européenne sont identifiés et encadrés | RGPD chap. V, art. 44 et suivants |
Le point 12 est le plus révélateur de la maturité d'un éditeur. Un agent vocal repose nécessairement sur plusieurs prestataires — au minimum un modèle et un opérateur télécom. Un éditeur incapable de nommer ses sous-traitants ne maîtrise pas sa propre chaîne de traitement.
Le point 13 mérite une question directe : « le modèle que vous utilisez traite-t-il les données en Europe ? » La réponse conditionne l'encadrement à mettre en place, et elle doit être écrite.
Bloc 5 — Droits des personnes (point 14)
| # | Point à vérifier | Référence |
|---|---|---|
| 14 | Les demandes d'accès, de rectification, d'effacement et d'opposition peuvent être traitées, y compris sur un enregistrement d'appel | RGPD art. 15 à 21 |
En pratique, cela suppose de pouvoir retrouver tous les enregistrements liés à une personne à partir de son numéro, et de pouvoir les supprimer. Si votre éditeur ne sait pas faire cela, vous ne pourrez pas répondre à une demande d'effacement.
Le cas particulier des données de santé
Une transcription d'appel de cabinet médical, dentaire ou paramédical contient des données relevant des catégories particulières de l'article 9. Trois exigences s'ajoutent : une base légale spécifique, un hébergement approprié, et une durée de conservation particulièrement courte.
Le motif d'appel — « j'ai mal au dos », « pour un détartrage » — est déjà une donnée de santé. Cette qualification surprend souvent, et elle change le niveau d'exigence attendu sur l'ensemble des quatorze points.
Questions fréquentes
Suis-je responsable de traitement ou sous-traitant ?
Vous êtes responsable de traitement : c'est vous qui décidez des finalités et des moyens. L'éditeur de l'agent vocal est sous-traitant, et agit sur vos instructions. Cette répartition n'est pas négociable contractuellement — elle découle des rôles réels.
Combien de temps conserver les enregistrements ?
Le minimum utile à la finalité poursuivie. Pour corriger le paramétrage d'un agent, quelques semaines suffisent. Une conservation longue doit être justifiée par une finalité précise, pas par « au cas où ».
Faut-il une analyse d'impact ?
Elle est requise dans certains cas, notamment en présence de données sensibles à grande échelle. Un cabinet de santé qui enregistre systématiquement ses appels devrait sérieusement examiner la question avec son conseil ou son délégué à la protection des données.
L'appelant peut-il refuser l'enregistrement ?
Il doit au minimum pouvoir obtenir un traitement alternatif — être rappelé par un humain, par exemple. Un dispositif qui n'offre aucune alternative pose une difficulté sérieuse au regard de l'information et des droits des personnes.
Cet article suffit-il à être conforme ?
Non. C'est une grille de vérification, pas une analyse de votre situation. Le RGPD s'apprécie au regard de vos finalités réelles, de votre secteur et de votre organisation — faites valider votre cas.
Sources
- Règlement (UE) 2016/679 (RGPD) — texte intégral — articles 5, 6, 9, 12 à 21, 28, 32, 44 et suivants
- Règlement (UE) 2024/1689 (AI Act), article 50 — information sur la nature du système
- CNIL — Données de santé — exigences applicables aux catégories particulières
- CNIL — Analyse d'impact relative à la protection des données — cas dans lesquels elle est requise
Cet article est mis à jour quand les faits qu'il avance changent. Dernière vérification : 24 juillet 2026.
Dans la même série
Quatorze points.
Posez-les nous.
Notre DPA est public, en français, avec la liste de nos sous-traitants.
3 minutes d'installation · sans carte bancaire · remboursé 30 jours