Agent vocal IA et RGPD : les règles à respecter en 2026

Une entreprise peut confier son accueil téléphonique à un agent vocal IA, à condition de respecter deux textes : le RGPD pour les données personnelles des appelants, et le règlement européen sur l'intelligence artificielle (AI Act) pour la transparence. L'appelant doit savoir qu'il parle à une IA et que la conversation est transcrite, pouvoir s'y opposer, et vos données doivent rester encadrées par un contrat et des durées de conservation.

Voici chaque obligation, avec le texte qui la fonde et la façon de l'appliquer. Ces repères ne remplacent pas l'avis de votre délégué à la protection des données ou de votre avocat.

Qui est responsable de quoi

Vous, responsable du traitement

Au sens du RGPD, votre entreprise décide pourquoi et comment les appels sont traités : vous êtes responsable du traitement. Vous choisissez ce que l'agent demande, à qui il envoie les messages et combien de temps vous gardez les transcriptions. L'information des appelants et la réponse à leurs demandes vous reviennent.

Le fournisseur, sous-traitant et fournisseur du système d'IA

Le prestataire qui fait tourner l'agent traite les données pour votre compte : c'est un sous-traitant, au sens de l'article 28 du RGPD. Pour l'AI Act, il est aussi le fournisseur du système d'IA. Il lui revient de concevoir le système pour que les personnes sachent qu'elles parlent à une IA, selon la FAQ de la Commission européenne sur l'article 50 (consultée le 25 octobre 2026). En pratique, vérifiez que cette annonce figure dans le produit et que vous ne pouvez pas la supprimer par erreur.

Dire à l'appelant qu'il parle à une IA

Ce que dit l'article 50

L'article 50 du règlement (UE) 2024/1689 impose que les systèmes d'IA destinés à interagir directement avec des personnes physiques les informent qu'elles échangent avec une IA, sauf si c'est évident vu les circonstances. L'information doit être claire et reconnaissable, au plus tard au moment de la première interaction.

Cette règle s'applique depuis le 2 août 2026, d'après le calendrier officiel de mise en œuvre publié par la Commission (consulté le 25 octobre 2026). Ce calendrier intègre les modifications de l'omnibus numérique sur l'IA : le délai supplémentaire jusqu'au 2 décembre 2026 vise le marquage des contenus générés (article 50, paragraphe 2), pas l'annonce faite à l'appelant.

Une voix de synthèse réussie ressemble à une voix humaine : l'exception « c'est évident » ne vous couvre pas, et la Commission demande de l'interpréter de façon restrictive.

Le message d'accueil, en pratique

Quelques mots suffisent, placés en tout début d'appel :

« Bonjour, vous êtes bien chez Menuiserie des Aravis. Je suis l'assistant virtuel de l'entreprise, une intelligence artificielle. Je peux prendre votre demande ou vous passer un conseiller. »

Cet exemple fictif annonce l'IA, nomme l'entreprise et ouvre la porte à un humain. Si l'appelant demande à parler à quelqu'un, l'agent transfère ou prend un message pour un rappel. Notre générateur de message de répondeur vous aide à rédiger une annonce courte.

Les sanctions prévues

L'article 99 du règlement prévoit, pour un manquement aux obligations de l'article 50, une amende pouvant aller jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Pour les PME et les start-up, c'est le montant le plus bas des deux qui sert de plafond, selon le texte de l'article 99 (consulté le 25 octobre 2026).

Informer sur l'enregistrement et la transcription

L'agent transcrit la conversation pour la comprendre, puis produit un compte rendu. Vous traitez donc des données personnelles : nom, numéro, objet de la demande, parfois une adresse.

Le message oral en début d'appel

La CNIL recommande une information en deux temps pour les appels enregistrés, dans sa fiche sur l'écoute et l'enregistrement des appels. Le premier temps est oral : il annonce le dispositif, sa finalité et la possibilité de s'y opposer.

Vous pouvez regrouper cette mention avec l'annonce de l'IA : « Cet appel est transcrit pour transmettre votre demande à la bonne personne. Vous pouvez vous y opposer en le disant. »

La page d'information sur votre site

Le second temps renvoie vers une information complète, par exemple une page de votre site. La CNIL y attend :

• l'identité du responsable du traitement, donc votre entreprise ;
• les finalités et la base légale, souvent l'intérêt légitime à répondre aux demandes ;
• les destinataires des données, y compris le prestataire de l'agent ;
• la durée de conservation ;
• les droits de l'appelant (accès, rectification, opposition) et la possibilité de saisir la CNIL.

Le droit d'opposition

L'appelant doit pouvoir s'opposer avant la fin de l'appel. Prévoyez la suite dans les consignes : transfert vers une personne, ou message pris sans conserver la transcription.

Si vous enregistrez aussi les conversations de vos salariés, la même fiche de la CNIL rappelle qu'il faut informer et consulter les représentants du personnel avant la mise en place.

Fixer les durées de conservation

Les repères de la CNIL

La CNIL retient six mois au plus pour un enregistrement sonore, sauf texte imposant une autre durée, et un an au plus pour les documents d'analyse comme les comptes rendus. Elle conseille d'exploiter les enregistrements dans les jours qui suivent, puis de les supprimer. La page date de 2009 et la CNIL la signale comme en cours de mise à jour (vérifié le 25 octobre 2026) : suivez ses évolutions.

Un réglage type

Vous pouvez choisir plus court. Exemple de réglage pour une petite entreprise :

• transcriptions complètes : 30 jours, le temps de traiter les demandes et d'ajuster les consignes ;
• comptes rendus d'appel : 12 mois, pour retrouver un historique client ;
• suppression automatique à l'échéance, sans action de votre part.

Chez OvyrIA, vous choisissez ces durées lors de la mise en service, et la plateforme supprime les données à l'échéance.

Encadrer le prestataire par contrat

Le contrat de l'article 28

L'article 28 du RGPD exige un contrat qui fixe l'objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes. Le sous-traitant s'y engage notamment à :

• ne traiter les données que sur vos instructions écrites, y compris pour un éventuel transfert hors de l'Union ;
• soumettre son personnel à la confidentialité et appliquer les mesures de sécurité de l'article 32 ;
• vous aider à répondre aux demandes des personnes et à gérer une violation de données ;
• supprimer ou restituer les données en fin de contrat, à votre choix ;
• vous donner les moyens de vérifier sa conformité, audits compris.

Les sous-traitants ultérieurs

Un agent vocal combine plusieurs services (transcription, modèle de langage, synthèse vocale), et chacun est un sous-traitant ultérieur. Le guide du sous-traitant de la CNIL rappelle que votre prestataire doit obtenir votre autorisation écrite, vous prévenir de tout changement et rester responsable de ses propres sous-traitants. Demandez la liste nominative.

Savoir où vont les données

Le circuit d'un appel

Pour chaque brique, demandez le service et le pays. Chez OvyrIA :

• serveur vocal : Paris ;
• transcription : Gladia, à Paris ;
• compréhension et réponse : modèle de langage Mistral AI, traité en France ;
• synthèse vocale : Microsoft Azure, région France Centre.

La page agent vocal IA français détaille ces choix. Si un fournisseur ne sait pas répondre aussi précisément, considérez que vos données peuvent sortir de l'Union européenne.

Le cas des données de santé

Un cabinet médical ou paramédical reçoit des appels qui contiennent des données de santé. Leur hébergement pour le compte d'un tiers relève de la certification HDS gérée par l'Agence du numérique en santé. Le ministère de la Santé a précisé que le référentiel HDS impose notamment de stocker ces données dans l'Espace économique européen, dans sa réponse publiée au Journal officiel du 12 décembre 2023. OvyrIA propose une option HDS à 55 € HT par mois, présentée avec l'offre santé OvyrIA Care.

Registre et analyse d'impact

L'article 30 du RGPD dispense les structures de moins de 250 salariés de tenir un registre des traitements, sauf si le traitement n'est pas occasionnel, présente un risque ou porte sur des données sensibles. Un accueil téléphonique fonctionne tous les jours : inscrivez-le au registre.

L'article 35 impose une analyse d'impact quand un traitement, notamment par une nouvelle technologie, présente un risque élevé pour les personnes. Un cabinet de santé ou un service qui traite de gros volumes doit se poser la question avec son délégué à la protection des données.

La liste de contrôle

1. L'agent annonce qu'il est une IA dès la première phrase.
2. Il annonce la transcription et explique comment s'y opposer.
3. L'appelant peut demander un humain à tout moment.
4. Une page d'information complète figure sur votre site.
5. Les durées de conservation sont réglées, avec suppression automatique.
6. Un contrat de sous-traitance article 28 est signé.
7. Vous connaissez chaque sous-traitant ultérieur et son pays.
8. Le traitement figure à votre registre.
9. Pour la santé : l'hébergement est certifié HDS.

Les termes techniques de cette liste sont définis dans le glossaire.

Questions fréquentes

Un agent vocal IA est-il légal en France ?

Oui. Aucun texte n'interdit à une entreprise de faire décrocher une IA. Vous devez annoncer l'IA dès le début de l'appel (AI Act, article 50), informer l'appelant du traitement de ses données et lui permettre de s'y opposer (RGPD), et encadrer votre prestataire par un contrat.

Faut-il le consentement de l'appelant pour transcrire l'appel ?

Le consentement n'est pas la seule base légale possible. Pour répondre à une demande d'appel, l'intérêt légitime de l'entreprise convient en général, à condition d'informer l'appelant et de respecter son droit d'opposition pendant l'appel. Un cabinet de santé doit vérifier sa base légale avec son délégué à la protection des données.

Combien de temps garder les transcriptions et les comptes rendus ?

La CNIL retient six mois au plus pour un enregistrement et un an au plus pour un document d'analyse. Vous pouvez choisir plus court. Le plus sûr consiste à régler une suppression automatique dès la mise en service.

Que risque une PME qui n'annonce pas l'IA ?

L'article 99 de l'AI Act prévoit jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour ce manquement, le plus bas des deux pour une PME. Le risque le plus immédiat reste la perte de confiance d'un client qui découvre seul qu'il parlait à une machine.