« Et mes données, elles vont où, au juste ? » C'est souvent la première question qu'on me pose quand j'explique qu'une IA peut décrocher le téléphone à la place d'une équipe. Et je la trouve saine, cette question. Parce qu'un appelant qui parle, il confie beaucoup : son nom, son numéro, la raison de son appel, et parfois — dans le soin notamment — des informations sur sa santé. Tout ça, ce sont des données personnelles au sens du RGPD. La bonne nouvelle, celle que j'aime donner, c'est qu'automatiser son accueil et respecter le RGPD ne s'opposent pas du tout, à condition de choisir une solution pensée pour ça dès le départ. Voyons ensemble ce qu'il faut vérifier avant de se lancer.

Le RGPD commence dès le premier bonjour

Dès qu'une IA décroche, elle traite des données : la voix, le numéro, les mots prononcés. Le RGPD pose alors ses principes, et trois d'entre eux tiennent tout le reste. La finalité, d'abord : ce qu'on collecte sert à traiter la demande, un point c'est tout, pas à autre chose. La minimisation, ensuite : on ne recueille que le strict nécessaire, rien de superflu. Et la durée de conservation : on ne garde pas les enregistrements et les transcriptions jusqu'à la fin des temps. Un point important à avoir en tête : c'est vous, l'entreprise, qui restez responsable de traitement ; le fournisseur d'IA, lui, agit comme sous-traitant. D'où la nécessité d'un vrai contrat de sous-traitance, en bonne et due forme.

La transparence avant tout : dire les choses

Mettez-vous à la place de l'appelant une seconde. Ce qu'il déteste, c'est d'être mené en bateau. Le principe de loyauté interdit justement de lui faire croire qu'il parle à un humain si c'est une IA, et impose de le prévenir si l'échange est enregistré. En pratique, ça tient en une petite phrase d'accueil, claire et courte, qui annonce la nature du service et, le cas échéant, l'enregistrement. Et il garde toujours la main : il peut refuser, ou demander à parler à une vraie personne. Cette transparence, ce n'est pas une corvée réglementaire — c'est ce qui installe la confiance et évite le sentiment d'avoir été trompé, celui qui abîmerait toute la relation.

La règle tient en une ligne : l'appelant doit toujours savoir à qui il parle, et ce que devient ce qu'il dit.

Il faut aussi penser aux droits des personnes. Quelqu'un peut vouloir accéder à ses données, les corriger ou les faire effacer. Une solution sérieuse permet de retrouver et de supprimer facilement ce qui est rattaché à un numéro donné, pour répondre à ces demandes dans les délais prévus par la loi. Rien de sorcier, mais il faut que ce soit prévu.

Où dorment vos données : la question de la résidence

C'est souvent le point qui fait toute la différence. Le RGPD encadre strictement l'envoi de données hors de l'Union européenne. Pour rester au clair, la solution la plus solide, c'est d'héberger et de traiter les données en Europe, tout simplement. Et attention, ça vaut pour toute la chaîne technique de l'IA vocale : la reconnaissance de la parole, le modèle qui comprend la demande, et la synthèse qui répond. Chacun de ces maillons peut, selon le fournisseur, expédier des données vers des serveurs hors d'Europe sans que ça se voie. Mon conseil : vérifiez la résidence à chaque étape, et privilégiez les configurations où tout reste sur des infrastructures européennes.

La santé : un cran d'exigence en plus, le HDS

Pour les professionnels de santé, les cabinets et surtout les sociétés d'ambulances, il y a une couche supplémentaire. Les informations de santé sont des données sensibles, protégées par le secret médical et par des règles plus strictes. En France, les héberger impose une certification HDS (Hébergement de Données de Santé). Confier ses appels à une IA dans ce cadre suppose donc que toute la chaîne s'appuie sur des services couverts par le périmètre HDS et hébergés en Europe. Ce n'est vraiment pas un détail : un standard qui capte un motif d'appel médical sans ce cadre expose l'entreprise à un risque bien réel. Et là-dessus, on ne bricole pas.

Ce qu'il faut exiger avant de signer

Pas besoin d'être juriste pour trancher, quelques garde-fous concrets suffisent. Réclamez un contrat de sous-traitance conforme à l'article 28 du RGPD. Demandez noir sur blanc où sont hébergées et traitées les données, à chaque étape. Vérifiez qu'il existe une phrase d'accueil configurable et un moyen d'exercer les droits. Assurez-vous que les durées de conservation sont paramétrables et documentées. Et pour la santé, exigez la preuve du périmètre HDS. Une IA vocale bien conçue coche ces cases toute seule, par défaut.

Alors non, déléguer ses appels à une IA, ce n'est pas tourner le dos à la conformité — c'est plutôt l'occasion de la renforcer. Là où un accueil humain improvisé laisse peu de traces, une solution pensée pour le RGPD documente, encadre et sécurise chaque échange. Et du coup, la conformité cesse d'être un frein pour devenir un vrai argument de confiance. C'est plutôt une belle nouvelle, vous ne trouvez pas ?