Assistant téléphonique IA et RGPD : ce que les entreprises doivent prendre en compte
La base juridique, dans la plupart des cas commerciaux, est l’intérêt légitime au sens de l’art. 6, paragraphe 1, lettre f du RGPD avec une mise en balance documentée ; pour les appels dans le cadre d’une relation contractuelle en cours, la lettre b ; pour l’enregistrement ou l’entraînement par IA, exclusivement le consentement. Cela inclut un contrat de sous-traitance au sens de l’art. 28, qui désigne également les sous-traitants pour la reconnaissance vocale, le modèle de langage, la synthèse vocale et la téléphonie, une information au début de la conversation indiquant que l’appelant parle à une IA (art. 13 RGPD et EU AI Act), et à tout moment la possibilité d’être mis en relation avec une personne. Cela maintient le cas en dehors de l’art. 22. Techniquement, c’est le concept de suppression qui prévaut : supprimer l’audio immédiatement après la transcription, conserver les transcriptions 30 à 90 jours, traitement sur des serveurs de l’UE, inscription au registre des activités de traitement.
Inhaltsverzeichnis
Un assistant téléphonique IA peut faire économiser à votre cabinet 30 heures de gestion d’appels par mois. Ou, après 90 jours, provoquer une amende DSGVO qui engloutit d’un coup 3 ans de gain d’efficacité. La différence ne tient pas aux fonctionnalités techniques, mais à trois documents et à un contrat de sous-traitance bien rédigé.
Ce guide montre exactement ce que vous devez avoir avant le Go-live : quelle annonce, quels emplacements de stockage sont sûrs, ce qui doit figurer dans le registre des activités de traitement, et dans quels cas l’autorité régionale de protection des données devient un enfer vivant.
Pourquoi la DSGVO est particulièrement importante pour la téléphonie IA
Un assistant téléphonique IA traite à chaque appel une multitude de données à caractère personnel :
- Voix et empreintes vocales de l’appelant
- Numéro de téléphone (souvent lié à un nom clair)
- Contenu des conversations – du nom aux adresses en passant par des données de santé
- Métadonnées comme l’heure de l’appel, la durée et la fréquence
- Transcriptions des conversations
De plus : la voix d’une personne est une donnée biométrique au sens de l’art. 9 DSGVO dès qu’elle sert à une identification unique. Même si vous n’utilisez pas la biométrie vocale, la reconnaissance vocale (Speech-to-Text) produit des transcriptions contenant des données personnelles.
Le risque est réel : les autorités de protection des données en Allemagne et dans l’UE ont de plus en plus les applications IA dans leur ligne de mire. Les amendes prévues par l’art. 83 DSGVO peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel.
Les bases juridiques pertinentes
Art. 6 DSGVO : licéité du traitement
Pour l’utilisation d’un assistant téléphonique IA, vous avez besoin d’une base juridique. En pratique, trois variantes sont possibles :
| Base juridique | Cas d’application | Condition |
|---|---|---|
| Art. 6 Abs. 1 lit. b - Exécution du contrat | Des clients existants appellent pour exécuter un contrat (prise de rendez-vous, statut de commande) | Lien direct avec la relation contractuelle |
| Art. 6 Abs. 1 lit. f - Intérêt légitime | Appels entrants non connus, qualification de prospects, demandes générales | Documenter la mise en balance des intérêts, garantir le droit d’opposition |
| Art. 6 Abs. 1 lit. a - Consentement | Enregistrement de la conversation, utilisation pour l’entraînement de l’IA | Libre, informé, révocable |
Conseil pratique : pour la plupart des scénarios commerciaux, l’intérêt légitime (lit. f) suffit. Documentez néanmoins systématiquement la mise en balance des intérêts.
Art. 13 DSGVO : obligations d’information
Les appelants doivent savoir qu’ils parlent à une IA et comment leurs données sont traitées. C’est en pratique l’un des plus grands défis, car au téléphone vous ne pouvez pas lire un long avis de confidentialité.
Informations minimales au début de l’appel :
- Que l’appelant parle à un système IA
- Nom du responsable (votre entreprise)
- Finalité du traitement des données
- Indication vers des informations complémentaires (site web, politique de confidentialité)
Annonce d’exemple :
«Bienvenue chez [Entreprise]. Vous parlez à notre assistant téléphonique IA. Cet appel est traité pour la prise en charge de votre demande. Pour plus d’informations sur la protection des données, rendez-vous sur [entreprise].de/datenschutz. Comment puis-je vous aider ?»
Art. 22 DSGVO : décisions individuelles automatisées
Si votre assistant téléphonique IA prend des décisions ayant des effets juridiques ou affectant considérablement l’appelant, l’art. 22 DSGVO s’applique. Cela concerne par exemple :
- Refus automatique de demandes
- Vérifications de solvabilité au téléphone
- Classement en catégories de risque
Recommandation : assurez-vous que l’appelant puisse à tout moment demander un interlocuteur humain. Ainsi, vous évitez les exigences strictes de l’art. 22.
Contrat de sous-traitance (AVV)
Si vous utilisez un service d’assistant téléphonique IA externe, il s’agit en règle générale d’un traitement pour le compte selon l’art. 28 DSGVO. Cela signifie : vous devez avoir un AVV.
Que doit couvrir l’AVV ?
| Domaine réglementaire | Contenu |
|---|---|
| Objet et durée | Quelles données sont traitées et pendant combien de temps ? |
| Nature et finalité | Réception des appels, transcription, redirection |
| Catégories de données | Données vocales, numéros de téléphone, contenu des conversations, métadonnées |
| Personnes concernées | Appelants, clients, prospects |
| Sous-traitants | STT-Provider (p. ex. Deepgram, Whisper), fournisseurs LLM, TTS-Provider |
| Mesures techniques et organisationnelles | Chiffrement, contrôles d’accès, politiques de suppression |
| Pouvoir d’instruction | Le responsable détermine ce qu’il advient des données |
Surveiller les sous-traitants
Un assistant téléphonique IA utilise typiquement plusieurs services :
- Speech-to-Text (STT) : Deepgram, Google Speech, Azure Speech, Whisper
- Large Language Model (LLM) : OpenAI, Anthropic, Mistral, modèles propriétaires
- Text-to-Speech (TTS) : ElevenLabs, Azure TTS, Google TTS
- Infrastructure téléphonique : Twilio, Vonage, sipgate
Pour chaque sous-traitant, l’AVV doit préciser quelles données sont transmises et quelles garanties sont fournies.
Serveur situé dans l’UE : obligation ou option ?
Le cadre juridique
La DSGVO n’interdit pas en soi la transmission de données personnelles vers des pays tiers sans niveau de protection adéquat — mais elle impose des exigences élevées :
- UE/EEE : pas de problème, libre circulation des données
- Décision d’adéquation (p. ex. EU-US Data Privacy Framework) : transfert possible, mais politiquement controversé
- Clauses contractuelles types (SCC) : garanties supplémentaires et évaluation d’impact sur le transfert nécessaires
Recommandation pratique
Pour la téléphonie IA, nous recommandons fortement des serveurs situés dans l’UE :
- Les données vocales sont particulièrement sensibles – elles contiennent des informations biométriques
- Latence : des serveurs dans l’UE réduisent la latence pour les appels en temps réel
- Sécurité juridique : pas de risque lié à l’évolution des décisions d’adéquation
- Confiance des clients : «Les données restent en Allemagne/UE» est un argument commercial
Bonne nouvelle : de nombreux fournisseurs proposent désormais de l’hébergement dans l’UE – d’Azure et AWS à Francfort jusqu’à des acteurs européens spécialisés comme Hetzner ou OVH.
Obligations d’information : informer correctement l’appelant
Au téléphone
Le défi : au téléphone vous avez quelques secondes seulement avant que l’appelant ne raccroche, mais vous devez tout de même informer.
Bonnes pratiques :
- Annonce courte au début : indication IA + renvoi vers le site web
- Possibilité d’opt-out : «Appuyez sur 1 pour parler à un collaborateur»
- Aucun enregistrement caché : si la conversation est enregistrée, en informer au préalable
Dans la politique de confidentialité
Votre politique de confidentialité sur le site web doit contenir une section dédiée à l’assistant téléphonique IA :
- Quelles données sont traitées ?
- Base juridique du traitement
- Quels services IA sont utilisés ?
- Où les données sont-elles stockées ?
- Combien de temps les données sont-elles conservées ?
- Droits des personnes concernées (accès, suppression, opposition)
EU AI Act – obligations de transparence supplémentaires
Depuis l’entrée en vigueur de l’EU AI Act (applicable depuis 2024, déploiement par étapes) : les utilisateurs doivent être informés qu’ils interagissent avec un système IA. Ceci concerne particulièrement les assistants téléphoniques IA et recoupe les obligations d’information de la DSGVO.
Durées de conservation et concepts de suppression
Principe : minimisation des données
Conservez uniquement ce dont vous avez besoin et seulement aussi longtemps que nécessaire.
| Type de données | Durée de conservation recommandée | Justification |
|---|---|---|
| Enregistrement audio | Supprimer immédiatement après la transcription | Nécessaire uniquement pour le processus STT |
| Transcription | 30-90 jours | Pour post-traitement et assurance qualité |
| Résumé/résultat | Selon finalité commerciale | p. ex. rendez-vous dans le calendrier, lead dans le CRM |
| Métadonnées | 6-12 mois | Pour reporting et optimisation |
| Données d’entraînement IA | Uniquement avec consentement | Art. 6 Abs. 1 lit. a DSGVO |
Mettre en place la suppression automatique
Ne comptez pas sur la suppression manuelle. Mettez en œuvre :
- Tâches de suppression automatiques pour les fichiers audio après traitement STT
- Politiques de conservation dans votre CRM/système de tickets
- Audits réguliers des données conservées
- Journalisation des suppressions comme preuve de conformité
Checklist en 10 points pour une téléphonie IA conforme à la DSGVO
Utilisez cette checklist pour déployer votre assistant téléphonique IA en conformité avec la protection des données :
1. Documenter la base juridique
Consignez par écrit sur quelle base juridique (Art. 6 DSGVO) vous traitez les données. En cas d’intérêt légitime : réaliser une mise en balance.
2. Vérifier la nécessité d’une analyse d’impact (DSFA)
En cas de surveillance systématique ou de traitement de catégories particulières de données, une DSFA selon l’art. 35 DSGVO est obligatoire. La téléphonie IA peut relever de cette exigence.
3. Signer un AVV avec le fournisseur
Vérifiez si votre fournisseur d’assistant téléphonique IA propose un AVV conforme à la DSGVO. Portez attention aux sous-traitants.
4. Garantir un hébergement dans l’UE
Assurez-vous que les données vocales sont traitées sur des serveurs de l’UE. Vérifiez également les sous-traitants.
5. Assurer la transparence au téléphone
Informez les appelants au début de l’appel qu’ils parlent à une IA et où ils trouvent des informations supplémentaires.
6. Proposer un opt-out
Permettez aux appelants d’être mis en relation avec un humain.
7. Mettre à jour la politique de confidentialité
Ajoutez une section dédiée à l’assistant téléphonique IA avec toutes les informations pertinentes.
8. Mettre en place un concept de suppression
Définissez des durées de conservation pour audio, transcriptions, résumés et métadonnées. Automatisez la suppression.
9. Garantir la sécurité technique
Chiffrement des transmissions (TLS), contrôles d’accès, journalisation et audits de sécurité réguliers.
10. Mettre à jour le registre des activités de traitement
Inscrivez l’assistant téléphonique IA dans votre registre des traitements (Art. 30 DSGVO).
Erreurs fréquentes et comment les éviter
Erreur 1 : absence d’étiquetage IA
Problème : l’appelant ignore qu’il parle à une IA. Solution : annonce claire au début de l’appel. À partir de 2025 également obligatoire par l’EU AI Act.
Erreur 2 : conservation indéfinie des fichiers audio
Problème : les conversations enregistrées restent des mois sur des serveurs. Solution : supprimer l’audio immédiatement après transcription. Conserver les transcriptions selon des délais définis.
Erreur 3 : utilisation d’un fournisseur américain sans garanties
Problème : les données vocales sont envoyées vers des serveurs US sans SCC ou décision d’adéquation. Solution : privilégier des fournisseurs UE ou au minimum garantir Data Privacy Framework et SCC.
Erreur 4 : pas d’option d’opt-out
Problème : les appelants ne peuvent pas passer à un interlocuteur humain. Solution : toujours prévoir une redirection vers un collaborateur humain.
Erreur 5 : politique de confidentialité non mise à jour
Problème : la téléphonie IA est utilisée mais non mentionnée dans la politique de confidentialité. Solution : ajouter une section dédiée avec toutes les informations pertinentes.
Conclusion : la conformité DSGVO comme avantage concurrentiel
La téléphonie IA conforme à la DSGVO n’est pas de la magie, mais elle demande une planification rigoureuse. Les entreprises qui intègrent la protection des données dès le départ tirent plusieurs bénéfices :
- Sécurité juridique : pas de risque d’amende, pas de mises en demeure
- Confiance des clients : la transparence crée la confiance
- Avantage concurrentiel : «Made in Germany / DSGVO-konform» est un vrai argument de vente
- Pérennité : une mise en place propre aujourd’hui assure la conformité au regard de l’EU AI Act
La clé est la combinaison d’une rigueur juridique et d’une excellence technique. Choisissez un KI-Telefonassistent qui considère la conformité DSGVO comme un critère de qualité plutôt qu’un obstacle.
Ressources complémentaires :
- En savoir plus sur notre KI-Telefonlösung avec hébergement dans l’UE
- Lire comment la Prozessautomatisierung optimise l’ensemble de votre flux de travail
Vous avez des questions sur la mise en œuvre conforme à la DSGVO d’un assistant téléphonique IA ? Nous vous conseillons volontiers – de la base juridique à la mise en œuvre technique.