Assistant téléphonique IA et RGPD : quelles exigences les entreprises doivent-elles respecter

Dès qu’un assistant téléphonique IA prend des appels, il traite des données à caractère personnel – au moins le numéro de téléphone et le contenu de l’appel. Le RGPD s’applique alors dans toute sa portée. Les quatre points qui, en pratique, déterminent la licéité : Base juridique, transparence, sous-traitance et lieu de traitement.

1. Clarifier la base juridique

Pour le traitement d’une demande formulée par l’appelant lui-même, il s’agit généralement de la négociation ou exécution d’un contraten tenant compte, à titre complémentaire, de l’intérêt légitime à une joignabilité efficace. En revanche, si l’entretien est enregistré, des exigences plus strictes s’appliquent – un enregistrement sans consentement est en règle générale interdit.

En pratique, cela signifie qu’un assistant qui consigne l’échange de manière structurée, au lieu d’enregistrer la conversation, est nettement plus simple à exploiter du point de vue de la protection des données.

2. Transparence envers les appelants

Les appelants doivent pouvoir reconnaître qu’ils s’adressent à un système automatisé. Cela découle à la fois du principe de transparence du RGPD et des obligations de signalement applicables aux systèmes d’IA. Une indication claire au début de l’appel est la solution la plus simple — et, d’expérience, ne pose pas de problème d’acceptation tant que le système fonctionne ensuite de manière fiable.

• Indication au début de l’appel qu’un assistant numérique répond
• Possibilité d’accéder à tout moment à un être humain
• Compléter les informations sur la protection des données sur le site web, y compris la finalité et la durée de conservation

3. Contrat de sous-traitance

Si l’assistant est exploité par un prestataire de services, un contrat de sous-traitance (AVV) conformément à l’art. 28 du RGPD est nécessaire. Celui-ci définit la finalité, l’étendue, les mesures techniques et organisationnelles ainsi que les éventuels sous-traitants ultérieurs. Sans AVV, l’utilisation n’est pas conforme au droit.

4. Où les données sont-elles traitées ?

Le lieu de traitement est le point sur lequel les offres se distinguent le plus nettement. Un traitement au sein de l’UE évite les exigences supplémentaires relatives aux transferts vers des pays tiers. Si un modèle est exploité en dehors de l’UE, il faut une base de transfert solide et un examen au cas par cas.

Une règle empirique pratique : moins le système enregistre de données et plus la durée de conservation est courte, plus l’ensemble est simple. La minimisation des données n’est pas seulement une obligation légale ici, elle permet aussi de réduire les efforts.

Exemple : ordre de vérification avant le déploiement

Une procédure typique : on définit d’abord quelles données l’assistant a réellement besoin pour accomplir sa tâche – en général le nom, le numéro de rappel et la demande. Tout le reste est exclu. Ensuite, la durée de conservation et le concept de suppression sont fixés, le AVV est conclu et les informations sur la protection des données sont adaptées. Ce n’est qu’ensuite que le système passe en phase de test.

Quelles exigences du RGPD s’appliquent aux assistants téléphoniques IA ? La checklist

• Base juridique définie pour chaque traitement (p. ex. préparation d’un contrat, intérêt légitime, consentement en cas d’enregistrement)
• Obligations d’information remplies : annonce au début, informations détaillées dans la déclaration de confidentialité
• Contrat de sous-traitance avec le prestataire et la liste des sous-traitants
• Lieu de traitement connu – idéalement l’Allemagne ou l’UE
• Minimisation des données : uniquement nom, numéro de rappel, demande – ce qui n’est pas nécessaire n’est pas collecté
• Délais de suppressiondéfinis et mis en œuvre techniquement pour les procès-verbaux et les transcriptions
• registre des activités de traitement complété
• analyse d'impact relative à la protection des données vérifiée, en particulier pour les données sensibles telles que les informations de santé
• droits des personnes concernées (information, suppression) est organisé de manière sécurisée

EU AI Act : ce qui s’applique en plus

En plus du RGPD, le EU AI Act impose des obligations aux entreprises qui utilisent l’IA. Pour les assistants téléphoniques, deux points sont pertinents : les personnes doivent pouvoir reconnaître qu’elles interagissent avec un système d’IA (obligation de transparence), et les entreprises doivent, depuis février 2025, veiller à une compétence suffisante en IA veiller à ce que les collaborateurs qui travaillent avec le système soient formés. Une courte formation sur le fonctionnement, les limites et la protection des données suffit généralement. Plus : obligation de signaler l’utilisation de l’IA.

Secteurs particuliers

Toute personne qui traite des données de santé — par exemple dans des cabinets médicaux ou des services de soins — doit mettre en place des mesures de protection renforcées et devrait réaliser une analyse d’impact relative à la protection des données. Pour les professions soumises au secret professionnel, comme les cabinets d’avocats, s’ajoutent des obligations de confidentialité. Exemples de secteurs : cabinet médical et service de soins.

Voici comment nous procédons chez bettersorted

Notre assistant téléphonique IA fonctionne exclusivement sur des serveurs en Allemagne, avec un contrat de sous-traitance conformément à l’art. 28 du RGPD. Les transcriptions servent à la documentation et sont supprimées après des délais définis ; les appelants sont informés au début qu’un assistant numérique parle. Le fonctionnement technique de l’assistant est expliqué par Comment fonctionne un assistant téléphonique IA ?.

Questions fréquentes sur l’assistant téléphonique IA et le RGPD

Dois-je informer les appelants qu’une IA répond ?

Oui. Les appelants doivent pouvoir reconnaître qu’ils parlent à un système automatisé. Une brève indication au début de l’appel suffit, ainsi que la possibilité d’être transféré à un humain.

L’assistant peut-il enregistrer les conversations ?

Uniquement avec le consentement effectif des personnes appelantes. Il est nettement plus simple d’utiliser un assistant qui consigne l’échange de manière structurée, plutôt que de conserver l’enregistrement — la question ne se pose alors pas avec cette acuité.

Ai-je besoin d’un contrat de sous-traitance ?

Oui, dès qu’un prestataire traite les données pour votre compte. Le contrat de sous-traitance au sens de l’art. 28 RGPD est une condition préalable à une exploitation conforme au droit.

Le traitement doit-il avoir lieu dans l’UE ?

Ce n’est pas obligatoire, mais cela simplifie considérablement les choses, car les exigences supplémentaires liées aux transferts vers des pays tiers ne s’appliquent pas. Nous définissons donc expressément le lieu de traitement avant le déploiement.

Quelles exigences du RGPD s’appliquent aux assistants téléphoniques IA ?

Une base juridique pour le traitement, une information transparente des appelants, y compris une mention de l’IA, un contrat de sous-traitance, la connaissance du lieu de traitement, la minimisation des données, des délais de suppression définis et le respect des droits des personnes concernées.

Ai-je besoin d’une analyse d’impact relative à la protection des données ?

Pas dans tous les cas. Elle est indiquée lorsque le traitement est susceptible d’entraîner un risque élevé, par exemple en cas de données de santé ou de traitement étendu d’informations sensibles. Vos délégués à la protection des données aident à l’évaluation.

Étape suivante

Le fonctionnement de l’assistant en exploitation est présenté sur la page produit Assistant téléphonique IA. Les questions de protection des données sont clarifiées dans le cadre de la mise en place – celle-ci est éligible à hauteur de 80 % via INQA-Coaching .

État : septembre 2026. Cet article constitue une orientation générale et ne remplace pas un conseil juridique au cas par cas.