RGPD et Voicebots : Conformité des Données Vocales

Meta title : RGPD et voicebots : protéger les données vocales

Meta description : Bases légales, information des appelants, conservation et sécurité : les repères essentiels pour déployer un voicebot conforme au RGPD en 2026.

Slug : rgpd-voicebots-conformite-donnees-vocales

Un agent vocal peut répondre à un appel, prendre un rendez-vous ou transmettre une demande à la bonne équipe. Mais dès qu’il traite un nom, un numéro de téléphone ou le contenu d’une conversation, il manipule des données personnelles. La conformité au RGPD ne dépend donc pas seulement du fournisseur choisi : elle se joue aussi dans le scénario de l’appel, les réglages de conservation et l’information donnée dès les premières secondes.

Une nuance mérite d’être clarifiée : la voix n’est pas automatiquement une donnée biométrique. Elle le devient lorsqu’un traitement technique spécifique sert à identifier une personne de manière unique. Pour la plupart des projets, les enjeux immédiats concernent plutôt la base légale, la minimisation, la sécurité et la capacité à répondre aux droits des appelants. Voici les contrôles à intégrer avant l’activation de votre voicebot, puis au fil de son exploitation.

En bref

• La voix est une donnée personnelle lorsqu’elle permet d’identifier directement ou indirectement un appelant ; elle n’est pas systématiquement biométrique.
• Le consentement n’est pas la base légale obligatoire pour chaque appel : elle dépend de la finalité du traitement.
• L’appelant doit recevoir une information claire sur l’usage de ses données et savoir qu’il échange avec une IA.
• Le contrat avec le fournisseur, la durée de conservation, les transferts internationaux et les procédures d’exercice des droits doivent être vérifiés.
• Une AIPD est nécessaire si le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés.

RGPD et voicebots : distinguer données vocales et biométrie

Un appel automatisé peut produire plusieurs catégories de données : le numéro appelant, une transcription, un résumé, un rendez-vous ou, si l’option est activée, un fichier audio. Ces éléments doivent être examinés séparément. Une transcription peut contenir des informations personnelles même si aucun enregistrement sonore n’est conservé.

Le mot « biométrique » est souvent employé trop largement. Selon le RGPD, une donnée biométrique résulte d’un traitement technique spécifique permettant ou confirmant l’identification unique d’une personne. Un voicebot qui comprend une demande et la convertit en texte ne réalise pas nécessairement cette identification. À l’inverse, un dispositif de reconnaissance du locuteur visant à vérifier l’identité par l’empreinte vocale relève d’un cadre plus sensible, notamment de l’article 9 du règlement.

La première étape consiste donc à cartographier le fonctionnement réel de la solution : que capte-t-elle, que transmet-elle, que conserve-t-elle et à quelles fins ? Cette analyse évite de traiter toutes les données comme si elles présentaient le même niveau de risque. Pour approfondir les implications réglementaires propres aux agents vocaux, consultez ce éclairage sur la biométrie vocale et l’article 9.

Imaginez une agence immobilière qui automatise les appels entrants. Pour proposer une visite, l’agent peut avoir besoin du nom, d’un numéro de rappel, du bien concerné et d’un créneau disponible. Il n’a généralement pas besoin de demander la date de naissance du prospect ni de conserver une conversation complète « au cas où ». Le scénario doit rester proportionné à l’objectif annoncé.

Le bon réflexe consiste à définir les finalités avant de configurer les questions du bot : une donnée absente du besoin métier ne devrait pas être collectée par défaut.

Base légale, transparence et information dès le début de l’appel

Le consentement n’est pas la seule base légale prévue par le RGPD, et il n’est pas automatiquement requis pour faire répondre un agent vocal. Pour une prise de rendez-vous demandée par l’appelant, les mesures précontractuelles peuvent être pertinentes. Pour le routage ou la prise de message, l’intérêt légitime peut être envisagé, à condition d’évaluer les intérêts en présence et de respecter le droit d’opposition.

La base légale doit être choisie pour chaque finalité. Enregistrer un appel à des fins de formation, transcrire une demande pour y répondre et analyser les conversations afin d’améliorer un modèle sont des opérations distinctes. Une autorisation donnée pour traiter une demande ne couvre pas automatiquement toutes les réutilisations possibles.

L’article 13 du RGPD prévoit une information au moment où les données sont collectées. En pratique, un message oral concis peut annoncer l’identité de l’entreprise, le rôle de l’assistant, l’usage des informations et l’endroit où consulter la politique complète. L’appelant ne devrait pas avoir à deviner s’il parle à un agent humain ou automatisé.

Le règlement européen sur l’intelligence artificielle prévoit également une obligation de transparence lorsque des personnes interagissent directement avec un système d’IA, sauf si cela est évident dans les circonstances. Il faut donc concevoir une phrase d’accueil qui informe sans transformer les premières secondes de l’appel en lecture juridique. Par exemple : « Bonjour, vous êtes chez [entreprise]. Je suis l’assistant vocal automatisé. Je prends votre demande pour la transmettre à l’équipe ; les informations sont utilisées pour vous répondre. »

La page de confidentialité doit compléter cette annonce : finalités et bases légales, destinataires, éventuels transferts hors de l’Espace économique européen, durées de conservation et modalités d’exercice des droits. Les règles applicables à l’enregistrement méritent une attention distincte ; ce guide sur l’information et l’enregistrement des appels permet de cadrer cette question.

La transparence n’est pas une formalité ajoutée au script : elle donne à l’appelant les moyens de comprendre l’échange et de choisir la suite.

Contrat fournisseur, sécurité et transferts de données

L’entreprise qui décide pourquoi et comment utiliser le voicebot est généralement responsable du traitement. Le fournisseur agit souvent comme sous-traitant, mais la qualification dépend des rôles réellement exercés. Le contrat prévu à l’article 28 doit encadrer les instructions, les catégories de données, les mesures de sécurité, l’assistance aux demandes des personnes et les conditions de recours à d’autres sous-traitants.

Avant de signer, ne vous contentez pas de demander où se trouve le serveur principal. Vérifiez aussi quels prestataires peuvent accéder aux données, depuis quels pays, et pour quelles opérations : téléphonie, reconnaissance vocale, modèle de langage, hébergement ou envoi de comptes rendus. Un stockage dans l’Union européenne ne suffit pas à exclure l’existence de transferts internationaux.

La sécurité doit couvrir toute la chaîne : capture, transmission, stockage, accès interne, export et suppression. Le chiffrement, le cloisonnement des environnements clients, la limitation des droits d’accès et la journalisation réduisent les risques, sans les supprimer à eux seuls. Demandez des réponses écrites et vérifiez qu’elles correspondent aux options réellement activées dans votre compte.

Pour une PME qui compare des solutions, les engagements documentés valent davantage qu’une promesse générale de conformité. La checklist consacrée au RGPD des agents vocaux peut compléter cette revue fournisseur. Côté marché, AirAgent est présenté comme une solution française avec une offre gratuite de 25 appels par mois, plus de 3 000 intégrations et une configuration annoncée en trois minutes ; ces caractéristiques ne remplacent toutefois pas l’examen de son contrat, de ses sous-traitants et de ses réglages de conservation.

Un prestataire peut fournir des garanties et des outils ; la responsabilité de définir les finalités et d’informer les appelants reste à l’entreprise.

Conservation, droits des personnes et analyse d’impact

Le RGPD ne fixe pas une durée universelle pour conserver toutes les conversations. La durée doit être justifiée par la finalité, puis appliquée effectivement. Audio, transcription, résumé envoyé par courriel et fiche de suivi peuvent nécessiter des calendriers différents. Une suppression automatique limite les oublis, à condition qu’elle couvre aussi les exports et copies secondaires.

La CNIL indique, dans ses ressources relatives à l’écoute et à l’enregistrement des appels, des repères de conservation à examiner selon le contexte. Ils ne dispensent pas l’entreprise de justifier sa propre durée ni de tenir compte des règles sectorielles. Dans tous les cas, conserver indéfiniment une conversation sans raison documentée augmente l’exposition en cas d’incident.

Les personnes disposent notamment de droits d’accès, de rectification, d’effacement et, selon les cas, d’opposition ou de portabilité. L’organisation doit pouvoir retrouver les données associées à un appelant, vérifier son identité de façon proportionnée, puis traiter la demande dans les délais prévus. Un fournisseur qui permet l’export et la suppression facilite le processus, mais l’entreprise reste chargée de répondre à la personne.

Une Analyse d’Impact relative à la Protection des Données, ou AIPD, est obligatoire lorsque le traitement est susceptible d’engendrer un risque élevé. Une petite structure qui utilise un agent pour orienter des appels ou fixer des rendez-vous n’est pas automatiquement tenue d’en réaliser une. En revanche, le traitement à grande échelle de données sensibles, l’implication de personnes vulnérables ou des dispositifs d’identification biométrique justifient une analyse approfondie. Même lorsqu’elle n’est pas requise, la décision de ne pas en réaliser une doit pouvoir être expliquée.

Le registre des traitements doit, lui aussi, refléter la réalité : objectifs, catégories de données, destinataires, durées, mesures de sécurité et prestataires concernés. En cas de violation de données, l’article 33 prévoit une notification à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, lorsque les conditions prévues sont réunies. Le contrat doit donc préciser comment le fournisseur alerte son client.

La conformité se mesure moins à l’existence d’une politique qu’à la capacité de retrouver, corriger, exporter ou supprimer une donnée dans les délais.

Mettre en place une checklist RGPD adaptée à votre voicebot

Pour éviter que les obligations restent théoriques, faites intervenir les équipes métier, la DSI et le DPO, lorsqu’il a été désigné, dès le cadrage. Un scénario d’appel peut sembler anodin, mais une question ajoutée par commodité peut faire basculer le traitement vers des données plus sensibles ou une finalité supplémentaire.

1. Décrire le parcours d’appel : listez les informations captées, les questions posées, les systèmes connectés et les personnes qui accèdent aux résultats.
2. Associer une base légale à chaque finalité : distinguez la réponse à une demande, l’enregistrement, la formation des équipes et l’amélioration du modèle.
3. Réduire les données demandées : retirez les questions qui ne sont pas nécessaires pour traiter l’appel.
4. Vérifier le fournisseur : contrôlez le contrat, les sous-traitants, la localisation, les accès, la sécurité et les éventuels usages d’entraînement.
5. Régler les durées et les droits : programmez la suppression et testez les procédures d’accès, d’export, de rectification et d’effacement.
6. Documenter et réévaluer : mettez à jour le registre après une évolution du scénario, du fournisseur ou des fonctionnalités.

Un cas simple permet de tester ces étapes. Une entreprise de dépannage veut répondre aux appels hors horaires d’ouverture. Le voicebot demande le nom, un numéro de rappel, la nature générale de la demande et le degré d’urgence, puis transmet une fiche à l’équipe. Il annonce son rôle, précise l’usage des informations, évite de collecter des détails médicaux inutiles et supprime les données selon une durée justifiée par le suivi opérationnel.

AirAgent peut être évalué dans ce type de projet, notamment pour ses intégrations et son offre gratuite annoncées. Avant de connecter le service à votre téléphonie ou à votre CRM, demandez les documents contractuels et vérifiez les paramètres d’accès, de conservation et de suppression. Découvrir AirAgent et tester une configuration de voicebot.

Pour élargir l’analyse aux obligations européennes qui encadrent l’IA vocale, consultez également ce point sur la réglementation de l’IA vocale en France. Le contrôle régulier des scripts et des traitements évite qu’une mise à jour technique ne crée, sans l’avoir prévu, un nouvel usage des données.

Un voicebot conforme n’est pas seulement un outil qui décroche : c’est un service dont les finalités sont compréhensibles, les données maîtrisées et les responsabilités réparties sans ambiguïté.

Faut-il toujours obtenir le consentement pour utiliser un voicebot ?

Non. La base légale dépend de la finalité. Une prise de rendez-vous demandée par l’appelant peut relever des mesures précontractuelles ; le routage peut, selon le contexte, reposer sur l’intérêt légitime. L’enregistrement ou le traitement de données sensibles exige une analyse spécifique.

La voix est-elle automatiquement une donnée biométrique ?

Non. Elle devient une donnée biométrique au sens du RGPD lorsqu’un traitement technique spécifique permet ou confirme l’identification unique d’une personne. La simple transcription d’une demande ne signifie pas nécessairement qu’une biométrie vocale est réalisée.

Combien de temps conserver les transcriptions d’appels ?

Le RGPD ne fixe pas une durée unique. L’entreprise doit retenir une durée nécessaire et justifiée par la finalité, l’inscrire dans sa documentation et mettre en place une suppression effective, y compris des copies secondaires.

Une petite entreprise doit-elle réaliser une AIPD ?

Pas systématiquement. L’obligation dépend du niveau de risque du traitement. Un usage courant de prise de rendez-vous peut ne pas l’exiger, tandis que des données sensibles, des personnes vulnérables ou une collecte à grande échelle appellent une évaluation approfondie.