Deux textes, et seulement deux
Quand une IA répond à vos appels, deux textes européens s’appliquent, et ils se complètent sans se recouper.
Le règlement sur l’intelligence artificielle, dit AI Act, règlement (UE) 2024/1689, s’intéresse au système d’IA lui-même : ce qu’il a le droit de faire, et ce que les personnes doivent savoir quand elles y sont confrontées. Il est entré en vigueur le 1er août 2024 et s’applique par étapes. Les pratiques interdites le sont depuis le 2 février 2025. Les obligations de transparence, celles qui vous concernent, s’appliquent à partir du 2 août 2026.
Le RGPD s’intéresse aux données : le nom, le numéro, le motif d’appel, l’enregistrement éventuel de la voix. Il s’applique depuis 2018, à tout le monde, IA ou pas. Il ne change pas parce que la secrétaire est un programme ; il s’applique simplement à un traitement de plus.
Aucun de ces textes n’interdit à une TPE de confier son téléphone à une IA. Ils fixent des conditions, et elles sont raisonnables.
L’AI Act : dire que c’est une IA
L’obligation de transparence
L’article 50 du règlement demande que les systèmes d’IA conçus pour interagir directement avec des personnes soient faits de manière que ces personnes soient informées qu’elles interagissent avec une IA, sauf si c’est évident pour une personne normalement attentive compte tenu des circonstances. Au téléphone, rien n’est évident : une voix de synthèse d’aujourd’hui peut passer pour une voix humaine. L’agent doit donc le dire, clairement, au début de l’appel.
Cette obligation pèse d’abord sur le fournisseur du système, qui doit le concevoir ainsi. Elle vous concerne aussi, comme utilisateur : choisissez un agent qui s’annonce, et ne le paramétrez jamais pour qu’il se fasse passer pour un humain. Une phrase suffit, par exemple : « Cabinet Martin, bonjour, je suis l’assistante vocale du cabinet, je peux prendre votre rendez-vous ou un message. »
Ce qui est interdit
L’article 5 interdit certaines pratiques, dont la manipulation par des techniques subliminales ou trompeuses, et l’exploitation des vulnérabilités liées à l’âge ou au handicap pour fausser un comportement. Pour un agent de secrétariat, la règle pratique est simple : l’agent informe, propose, prend rendez-vous ; il ne presse pas, il n’insiste pas, il ne joue pas sur la peur ou l’urgence pour obtenir quelque chose. Le ton que vous lui donnez compte.
Haut risque ou pas ?
Le règlement réserve ses obligations les plus lourdes aux systèmes « à haut risque », listés dans ses annexes : recrutement, octroi de crédit, éducation, gestion d’infrastructures critiques, justice, migration, entre autres. Un agent qui prend des rendez-vous et des messages pour un artisan, un cabinet ou un commerce n’y figure pas. Vous n’avez donc ni évaluation de conformité, ni enregistrement dans une base européenne à prévoir. Restez attentif si vous lui confiez autre chose, par exemple une présélection de candidats par téléphone : là, on change de catégorie.
Le RGPD : vos données, vos obligations
Qui est qui
Vous, l’entreprise dont le téléphone sonne, êtes responsable du traitement : vous décidez pourquoi et comment les appels sont traités. Le prestataire de l’agent vocal est votre sous-traitant : il traite les données pour votre compte, selon vos instructions. Cette répartition entraîne deux conséquences : vous devez pouvoir justifier chaque traitement, et vous devez avoir avec le prestataire un contrat qui l’engage, prévu à l’article 28 du RGPD. Ce contrat, souvent appelé accord de traitement des données, doit exister avant le premier appel. Demandez-le, lisez-le, gardez-le.
La base légale
Répondre à un appel, noter des coordonnées, prendre un rendez-vous : ces traitements reposent sur l’exécution du contrat avec le client, ou sur votre intérêt légitime à gérer votre activité. Vous n’avez pas besoin de demander le consentement de l’appelant pour lui répondre. Le consentement redevient nécessaire pour des usages qui sortent de la demande : envoyer des offres commerciales, par exemple.
L’information des appelants
C’est l’obligation la plus visible. Les personnes doivent savoir qui traite leurs données, pourquoi, sur quelle base, qui les reçoit, combien de temps elles sont gardées, et quels sont leurs droits. Au téléphone, la CNIL admet une information en deux temps : une mention courte pendant l’appel, et le détail sur un support accessible, votre site par exemple. Concrètement :
- l’agent indique en début d’appel qu’il est une IA et, si c’est le cas, que la conversation est enregistrée ou transcrite ;
- une page de votre site décrit le traitement : finalité, prestataire, lieu d’hébergement, durée de conservation, droits et contact ;
- votre répondeur, pour les lignes qui en gardent un, renvoie vers cette page.
La durée de conservation
Les données ne se gardent pas « au cas où ». Fixez une durée pour chaque type de donnée : le récapitulatif d’un appel, le rendez-vous dans l’agenda, l’enregistrement audio s’il existe. La bonne durée est celle qui sert la finalité : traiter la demande, honorer le rendez-vous, gérer une réclamation. La CNIL publie des repères sur les durées, et votre registre des traitements doit mentionner celle que vous avez retenue. Votre prestataire doit l’appliquer, ou vous permettre de l’appliquer.
L’enregistrement des conversations
Transcrire un appel pour en tirer un récapitulatif et conserver l’audio sont deux choses différentes. L’enregistrement audio n’est pas obligatoire pour qu’un agent fonctionne. Si vous le pratiquez, par exemple pour vérifier la qualité des réponses au début, la CNIL impose d’en informer les personnes, de leur permettre de s’y opposer, de limiter la durée de conservation et de restreindre l’accès aux enregistrements. Si vous n’en avez pas besoin, désactivez-le : c’est le réglage le plus simple à défendre.
Les droits des personnes
Un appelant peut demander ce que vous détenez sur lui, en demander la correction ou la suppression, s’opposer à certains traitements. Prévoyez comment vous répondrez : où sont les récapitulatifs, qui peut les supprimer, dans quel délai. Un mois est le délai de référence pour répondre.
La sécurité et l’hébergement
Vous devez protéger les données, et choisir un sous-traitant qui les protège. Demandez où elles sont hébergées, par qui, et comment elles sont chiffrées. Un hébergement en France ou dans l’Union européenne évite les questions de transfert hors UE, qui demandent sinon des garanties particulières. Si des sous-traitants de votre prestataire, par exemple un fournisseur de modèle de langage, sont situés hors UE, le contrat doit le dire et l’encadrer.
Le cas particulier des données de santé
Un cabinet médical, dentaire, de kinésithérapie ou d’orthophonie fait entrer, dès la prise de rendez-vous, des informations qui touchent à la santé : le motif de consultation, parfois le nom d’un praticien spécialisé. Ces données sont « sensibles » au sens du RGPD, et leur hébergement pour le compte d’un professionnel de santé est réservé, en France, aux hébergeurs certifiés HDS. Avant tout autre critère, vérifiez que votre prestataire héberge chez un tel hébergeur, et demandez-lui de l’écrire dans le contrat.
Trois règles de bon sens complètent la certification :
- l’agent prend le rendez-vous et les informations pratiques, jamais un avis médical ;
- il ne confirme à un tiers ni qu’une personne est patiente du cabinet, ni le motif d’une consultation ;
- le praticien garde le dernier mot sur ce qui est noté et transmis.
Le guide « secrétaire médicale ou IA » détaille l’organisation d’un cabinet avec un agent vocal, et le guide complet du secrétariat téléphonique IA replace tout cela dans la mise en place.
Le secret professionnel
Avocats, notaires, experts-comptables, professionnels de santé : le secret professionnel ne s’arrête pas à l’accueil téléphonique. L’agent doit être réglé pour ne jamais confirmer l’existence d’un dossier, d’un client ou d’un rendez-vous à quelqu’un d’autre que la personne concernée, et pour prendre un message plutôt que de répondre quand il a un doute. Ce réglage se fait dans la fiche d’activité, et il se teste : appelez en vous faisant passer pour un tiers, et vérifiez ce que l’agent répond.
La liste de contrôle, en dix points
- L’agent s’annonce comme une IA au début de chaque appel.
- Il n’est jamais réglé pour se faire passer pour un humain.
- Votre site comporte une page d’information sur le traitement des appels, avec le nom du prestataire.
- Un contrat de sous-traitance conforme à l’article 28 est signé avec le prestataire.
- Vous savez où les données sont hébergées, et par qui.
- Les durées de conservation sont fixées, écrites et appliquées.
- L’enregistrement audio est désactivé, ou encadré s’il est activé.
- Le traitement figure dans votre registre des activités de traitement.
- Vous savez comment répondre à une demande d’accès ou de suppression.
- Pour la santé : hébergement certifié HDS, pas d’avis médical, pas de confirmation à un tiers.
Ce que fait Sayelo
Nous avons conçu l’agent pour que ces règles soient respectées par défaut : l’IA est annoncée en début de chaque appel, les données sont hébergées en France chez un hébergeur certifié HDS, un accord de traitement des données est fourni à chaque client, et Sayelo est un opérateur déclaré auprès de l’ARCEP. Le réglage du secret, des durées et de l’enregistrement reste entre vos mains, parce que c’est votre traitement. La page sécurité et RGPD décrit le détail, et le guide technique explique par où passent les données pendant un appel.
