Confier ses appels à une IA vocale soulève une question légitime : que deviennent les données que l'appelant confie au téléphone ? Nom, coordonnées, motif de l'appel et, dans certains secteurs, informations de santé sont autant de données personnelles au sens du RGPD. Bonne nouvelle : automatiser son accueil téléphonique est parfaitement compatible avec la conformité RGPD, à condition de choisir une solution qui intègre les bonnes garanties dès la conception. Voici les points à vérifier avant de déléguer.

Le RGPD s'applique dès le premier bonjour

Une IA vocale qui décroche traite des données personnelles au moment même où l'appelant parle : sa voix, son numéro, ce qu'il dit. Le RGPD impose alors les principes habituels, dont trois structurent tout le reste. La finalité doit être définie et limitée : les données collectées servent à traiter la demande, pas à autre chose. La minimisation exige de ne recueillir que le strict nécessaire. Et la durée de conservation doit être bornée : on ne garde pas indéfiniment les enregistrements et les transcriptions. Dans une logique de conformité RGPD au téléphone, l'entreprise reste responsable de traitement ; le fournisseur d'IA vocale agit comme sous-traitant, ce qui impose un contrat de sous-traitance en bonne et due forme.

Consentement et pré-annonce : la transparence d'abord

Le principe de loyauté interdit de faire croire à l'appelant qu'il parle à un humain s'il parle à une IA, et l'oblige à être informé si l'échange est enregistré. Concrètement, cela passe par une pré-annonce en début d'appel, claire et brève, indiquant la nature du service et, le cas échéant, l'enregistrement. L'appelant garde la possibilité de s'y opposer ou de demander un interlocuteur humain. Cette transparence n'est pas qu'une contrainte : elle installe la confiance et évite le sentiment de tromperie qui ruinerait la relation client.

La règle est simple : l'appelant doit toujours savoir à qui il parle et ce qu'il advient de ce qu'il dit.

Il faut aussi prévoir l'exercice des droits des personnes. Un appelant peut demander l'accès à ses données, leur rectification ou leur effacement. Une solution sérieuse offre un moyen de retrouver et de supprimer les données rattachées à un numéro donné, afin de répondre à ces demandes dans les délais légaux.

L'hébergement des données : la question de la résidence

C'est souvent le point le plus déterminant. Le RGPD encadre strictement le transfert de données personnelles hors de l'Union européenne. Pour éviter toute zone grise, la solution la plus robuste consiste à héberger et traiter les données en Europe. Cela vaut pour l'ensemble de la chaîne technique de l'IA vocale : la reconnaissance de la parole, le modèle de langage qui comprend la demande et la synthèse vocale qui répond. Chacun de ces maillons peut, selon le fournisseur choisi, envoyer des données vers des serveurs situés hors d'Europe. Vérifiez donc la résidence des données à chaque étape, et privilégiez les configurations où tout reste sur des infrastructures européennes.

Le cas de la santé : RGPD renforcé et HDS

Pour les professionnels de santé, les cabinets et surtout les sociétés d'ambulances et de transport sanitaire, une couche supplémentaire s'ajoute. Les informations relatives à la santé sont des données sensibles, protégées par le secret médical et par des exigences plus strictes. En France, leur hébergement impose une certification HDS (Hébergement de Données de Santé). Confier ses appels à une IA vocale dans ce contexte suppose donc que toute la chaîne de traitement s'appuie sur des services couverts par le périmètre HDS et hébergés en Europe. Ce n'est pas un détail : un standard qui capte un motif d'appel médical sans ce cadre expose l'entreprise à un risque réel.

Les bonnes pratiques à exiger

Avant de signer, quelques garde-fous concrets permettent de trancher rapidement. Exigez un contrat de sous-traitance conforme à l'article 28 du RGPD. Demandez où sont hébergées et traitées les données, à chaque étape technique. Vérifiez l'existence d'une pré-annonce configurable et d'un mécanisme d'exercice des droits. Assurez-vous que les durées de conservation sont paramétrables et documentées. Et pour la santé, réclamez la preuve du périmètre HDS. Une IA vocale bien conçue coche ces cases par défaut, sans que vous ayez à devenir juriste.

Déléguer ses appels à une IA n'est donc pas un renoncement à la conformité, c'est l'occasion de la renforcer : là où un accueil humain improvisé laisse peu de traces, une solution pensée pour le RGPD documente, borne et sécurise chaque échange. La conformité devient alors un argument de confiance, pas un frein.