Assistant téléphonique IA et RGPD : ce qui est autorisé (2026)

Vous connaissez le calcul. Environ 30 % des appels vers les PME restent sans réponse, et chaque appel manqué vaut entre 80 et 150 euros de chiffre d’affaires perdu. Un agent téléphonique IA qui décroche à chaque fois (aux heures de pointe, hors horaires, le week-end) ressemble à la solution évidente. Et pourtant beaucoup de dirigeants hésitent, non à cause du prix ou de la technologie, mais à cause d’une inquiétude précise : « Est-ce seulement autorisé par le RGPD, et puis-je être sanctionné ? »

Cet article répond directement à cette question, et plus en profondeur que ne le font en général les explicatifs purement juridiques ou les pages produit. La version courte d’emblée : oui, un agent téléphonique IA est globalement conforme au RGPD et autorisé en Allemagne, en Autriche et en Suisse. La conformité n’est pas une propriété du logiciel : elle découle de votre paramétrage, de la base légale retenue, de votre transparence, du lieu d’hébergement et du consentement recueilli pour l’enregistrement.

L’essentiel en bref :

• Une base légale au titre de l’article 6 du RGPD est nécessaire : généralement l’exécution d’un contrat ou l’intérêt légitime, et le consentement pour l’enregistrement.
• Vous devez signaler l’IA comme une IA. L’obligation de transparence de l’article 50 du règlement européen sur l’IA s’applique à partir du 2 août 2026.
• Un contrat de sous-traitance au titre de l’article 28 est obligatoire dès qu’un prestataire externe traite des données pour votre compte.
• L’hébergement dans l’UE supprime entièrement le problème du transfert vers un pays tiers : la voie la plus simple vers la conformité.
• Le consentement n’est requis que pour l’enregistrement ou la transcription intégrale, pas pour le traitement en direct.
• Pas de décision contraignante entièrement automatisée : l’agent ne doit pas conclure seul un contrat qui engage (article 22).

Un avertissement, en évidence et tôt : cet article est une orientation bien documentée, pas un conseil juridique pour votre cas précis. En cas de doute, consultez votre délégué à la protection des données ou un avocat. Ce qu’il vous apporte et que les sites juridiques et les pages produit omettent : des scripts d’accueil et de consentement prêts à copier, une liste de mise en service et un catalogue neutre d’évaluation des prestataires. Vous pouvez aussi créer un agent gratuitement et tester vous-même une configuration conforme hébergée dans l’UE, sans carte bancaire.

Un agent téléphonique IA est-il conforme au RGPD ? La réponse courte et la longue

Oui. Un agent téléphonique IA traite des données personnelles (la voix, le nom, la demande et le numéro de l’appelant) de façon conforme au RGPD, dès lors qu’il existe une base légale, que l’appelant est informé de manière transparente, qu’un contrat de sous-traitance est en place et que les données sont traitées avec minimisation et à l’intérieur de l’UE.

Il faut ici dissiper une confusion fréquente. « Conforme au RGPD » n’est pas un label apposé sur un logiciel. Exactement le même logiciel peut être exploité de manière conforme ou non conforme, selon votre configuration et celle de votre prestataire. La conformité est un résultat, pas une fonctionnalité.

Il vaut aussi la peine de fixer les responsabilités. Vous, l’entreprise qui déploie l’agent, êtes le « responsable du traitement » au sens de l’article 4, point 7, du RGPD. Le prestataire d’IA agit comme votre « sous-traitant ». C’est précisément cette relation qui impose un contrat de sous-traitance, point sur lequel nous revenons en détail plus bas.

Quand le RGPD s’applique-t-il aux systèmes d’IA ?

Dès l’instant où des données personnelles sont traitées. Pour un agent téléphonique, c’est pratiquement toujours : un numéro de téléphone est déjà une donnée personnelle, et la demande orale l’est le plus souvent aussi. Que le traitement soit fait par une « IA » ou par un « système automatisé » ne change rien à ce seuil : les règles sont les mêmes que pour tout autre outil qui touche à des données personnelles.

La suite de cet article parcourt les quatre leviers qui déterminent réellement la conformité : la base légale, la transparence et le règlement sur l’IA, l’enregistrement et le consentement, l’hébergement et les transferts hors UE. Prenez les sections qui suivent comme une carte. Si vous voulez en parallèle l’arrière-plan technique et sécuritaire, voyez notre aperçu sécurité.

Sur quelle base légale un agent téléphonique IA peut-il traiter des données ? (Article 6 du RGPD)

Tout traitement de données personnelles nécessite une base légale au titre de l’article 6, paragraphe 1, du RGPD. Pour un agent téléphonique d’accueil, trois sont pertinentes en pratique.

• Exécution d’un contrat ou mesures précontractuelles (art. 6.1.b) : pour les demandes entrantes comme prendre un rendez-vous ou préparer un devis. L’appelant veut quelque chose qui mène à un contrat ou l’exécute, le traitement est donc justifié.
• Intérêt légitime (art. 6.1.f) : pour la joignabilité générale et la qualité de service, par exemple prendre une demande de rappel. Cela suppose une mise en balance entre votre intérêt et les droits de l’appelant, qu’il convient de documenter.
• Consentement (art. 6.1.a) : obligatoire pour l’enregistrement ou la transcription et pour tout appel sortant de prospection.

Une correspondance simple aide à éviter les pièges classiques :

Il existe aussi une catégorie particulière à signaler. L’article 9 du RGPD couvre les données sensibles : santé, religion, appartenance syndicale. Un cabinet médical, par exemple, peut recueillir des informations de santé, et il vous faut alors en plus une exception au titre de l’article 9, paragraphe 2. Plus loin, les spécificités sectorielles.

Un point controversé mérite une réponse nette, car les explicatifs juridiques et les sites de prestataires se croisent souvent sans se rencontrer. Un enregistrement vocal n’est pas automatiquement une donnée biométrique au sens de l’article 4, point 14. Il ne devient une donnée de l’article 9 que lorsque la voix est traitée délibérément pour identifier de manière unique une personne : empreinte vocale, authentification du locuteur. Comprendre simplement ce que veut l’appelant (transcription sans intention d’identifier) ne déclenche pas, en règle générale, l’article 9.

L’enseignement pratique : si vous n’utilisez ni empreinte vocale ni authentification du locuteur, vous n’avez pas besoin d’un consentement au titre de l’article 9 pour le traitement de la parole en tant que tel. Vous pouvez en revanche avoir besoin d’un consentement pour enregistrer, mais c’est une question distincte avec une base distincte. Quelle que soit la base retenue, documentez-la ; le principe de responsabilité attend que vous puissiez exposer votre raisonnement.

Dois-je dire aux appelants qu’ils parlent à une IA ? (Art. 50 du règlement sur l’IA et art. 13 du RGPD)

Oui. Vous devez informer l’appelant, clairement et sans ambiguïté, au début de la conversation, qu’il parle à un système d’IA. Cela découle de l’obligation de transparence de l’article 50 du règlement européen sur l’IA, applicable à partir du 2 août 2026, et des obligations d’information des articles 13 et 14 du RGPD.

Qu’exige concrètement l’article 50 ? Que l’interaction avec une IA soit reconnaissable par une personne physique, et que le contenu vocal généré artificiellement ou synthétique soit signalé comme tel. En clair, cela répond à la question que beaucoup se posent : « Comment reconnaître une IA au téléphone ? » Vous la reconnaissez parce qu’un exploitant conforme vous le dit d’emblée.

Un mot contre l’alarmisme : un agent téléphonique ordinaire d’accueil ou de prise de rendez-vous n’est pas, en règle générale, un système à haut risque au sens du règlement sur l’IA. Seule l’obligation de transparence s’applique, pas le lourd régime des systèmes à haut risque. Les prestataires qui agitent des avertissements « haut risque » pour créer l’urgence exagèrent la situation.

Côté RGPD, l’information va un peu au-delà d’un simple « je suis une IA ». L’appelant doit aussi être orienté vers le traitement des données et l’endroit où trouver davantage d’informations : votre politique de confidentialité. Au téléphone, cela se règle par une brève annonce orale renvoyant au site, et un lien depuis votre page confidentialité.

Cela rejoint le droit d’atteindre un humain. Une solution sérieuse propose toujours un recours humain : « parler à un membre de l’équipe » à tout moment. C’est une bonne pratique en soi, et cela conforte aussi l’article 22 (traité plus bas). Comme exemple de la façon dont un exploitant conforme s’y prend : des plateformes comme Hanc.AI sont explicitement construites autour de l’article 50 et se présentent comme une IA au début de l’appel. Vous pouvez configurer vous-même ces annonces lorsque vous créez un rôle d’agent.

Un avant-goût des scripts prêts à copier qui suivent : « Bonjour, je suis l’assistant numérique de [Entreprise]. Je suis une IA et je serai ravi de vous aider. »

Enregistrement, transcription et consentement : quand cela devient-il risqué ?

Voici la distinction la plus importante, et celle que la plupart des explicatifs brouillent. Le traitement en direct (où l’IA comprend et répond sans stocker durablement l’audio) est bien plus facile à justifier qu’un enregistrement audio permanent ou une transcription intégrale. Ces derniers exigent en général un consentement actif.

Voyez cela comme un feu tricolore :

Le feu rouge n’est pas une exagération. En Allemagne, enregistrer secrètement une parole non destinée au public est une infraction pénale au titre du § 201 du code pénal : cela inclut l’enregistrement silencieux d’un appel et peut s’étendre aux transcriptions. La conséquence est simple : n’enregistrez jamais sans information et consentement préalables.

Il existe trois mécaniques de consentement au téléphone, et il vaut la peine de les voir toutes les trois, car personne ne les expose habituellement en entier :

1. Pression sur une touche (DTMF) : « Pour autoriser l’enregistrement, tapez 2. »
2. « Oui » oral en réponse à une question claire.
3. Consentement tacite : « restez en ligne si vous êtes d’accord ».

Réglons maintenant un vrai désaccord entre sources. Certains soutiennent que « restez en ligne » se défend ; d’autres estiment que cela ne suffit pas. La réponse honnête : le consentement tacite est juridiquement contesté et ne résiste pas à un contrôle. Le choix sûr par défaut est la confirmation active, un « oui » oral ou une touche, avec l’avantage supplémentaire d’être journalisable.

La minimisation des données est votre meilleure stratégie par défaut (art. 5.1.c). Ne conservez qu’un résumé ou une note structurée, pas une archive audio complète. Ce seul choix réduit à la fois votre risque et votre besoin de consentement. Et une limite : les appels sortants de prospection relèvent d’un sujet distinct et plus strict (consentement au titre du droit de la concurrence et du RGPD) et ne font pas l’objet de cet article centré sur l’accueil.

Scripts d’accueil et de consentement prêts à copier (modèles)

C’est la partie que les concurrents fournissent rarement : des blocs complets et utilisables plutôt qu’une phrase d’exemple. Adaptez-les à votre cas et à votre délégué à la protection des données.

Bloc 1 : Accueil avec annonce IA (art. 50), sans enregistrement. À utiliser lorsque vous traitez uniquement en direct.

« Bonjour, je suis l’assistant numérique de [Entreprise]. Je suis une IA et je peux vous aider à prendre rendez-vous ou répondre à vos questions. Que puis-je faire pour vous ? »

Bloc 2 : Accueil et information RGPD (art. 13), renvoyant à votre politique de confidentialité.

« Bonjour, je suis l’assistant IA de [Entreprise]. Pour vous aider, je traiterai les informations que vous me communiquerez. Vous trouverez plus de détails sur la protection des données sur [site]. Que puis-je faire pour vous ? »

Bloc 3 : Consentement actif à l’enregistrement (oui oral).

« Cet appel peut être enregistré pour traiter votre demande. Acceptez-vous l’enregistrement ? Répondez par oui ou non. » Si non : « Très bien, je n’enregistre pas. Que puis-je faire pour vous ? », et le traitement se poursuit uniquement en direct.

Bloc 4 : Consentement par touche DTMF.

« Si vous acceptez que cet appel soit enregistré, tapez 2 maintenant. Si vous préférez non, ne tapez simplement aucune touche et je vous aiderai sans enregistrement. » (Journalisez la touche avec un horodatage.)

Bloc 5 : Recours humain.

« Vous pouvez parler à un membre de l’équipe à tout moment : dites simplement “conseiller”. » (Conforte l’article 22 et la transparence.)

Trois accueils complets par secteur, puisque cela manque partout :

• Cabinet médical (données de santé, art. 9) : « Bonjour, je suis l’assistant numérique du [Cabinet]. Je suis une IA. Je peux prendre des rendez-vous et noter vos coordonnées. Merci de ne pas communiquer de diagnostic ni d’information de santé sensible : un membre de l’équipe s’en chargera personnellement. »
• Cabinet d’avocats (secret professionnel) : « Bonjour, vous êtes en relation avec l’assistant IA du [Cabinet]. Je suis une IA et je peux noter vos coordonnées et votre dossier dans ses grandes lignes. Pour les détails confidentiels, je vous mets en relation avec un membre de l’équipe. »
• Artisanat (prise de chantier / rappel) : « Bonjour, je suis l’assistant numérique de [Entreprise]. Je suis une IA. Je peux noter votre demande et organiser un rappel. Que pouvons-nous faire pour vous ? »

Si vous opérez en plusieurs langues, l’accueil et le consentement doivent être délivrés dans la langue de l’appelant : un consentement n’est valable que s’il est éclairé. Les solutions qui basculent de langue en cours d’appel et couvrent de nombreuses langues facilitent beaucoup les choses. Comme précédemment : ce sont des modèles, à adapter à votre cas et à votre délégué.

Contrat de sous-traitance et hébergement européen : le prestataire comme risque de confidentialité

Un contrat de sous-traitance au titre de l’article 28 du RGPD est obligatoire. Dès qu’un prestataire d’IA externe traite des données personnelles pour votre compte, vous devez en conclure un avec lui. Sans cela, le déploiement est formellement illicite, quelle que soit la qualité de la technologie.

Au minimum, ce contrat doit couvrir : l’objet et la finalité du traitement, l’obligation de n’agir que sur vos instructions, la confidentialité, les mesures techniques et organisationnelles, la gestion des sous-traitants ultérieurs, et l’effacement ou la restitution des données à la fin.

Ce point des sous-traitants ultérieurs est souvent escamoté. Un prestataire sérieux indique quels sous-traitants interviennent (téléphonie, modèle vocal, hébergement) et où ils se trouvent. Cela compte surtout lorsqu’un fournisseur de modèle américain figure dans la chaîne.

La voie de loin la plus simple est une localisation de serveurs dans l’UE ou en Allemagne. Si le traitement a lieu entièrement dans l’UE, le problème du pays tiers disparaît complètement. Il n’y a rien à évaluer ni à documenter sur les transferts, puisqu’il n’y en a pas.

Si un prestataire américain intervient, il vous faut un mécanisme de transfert : soit le cadre de protection des données UE-États-Unis (en place depuis juillet 2023), soit des clauses contractuelles types assorties d’une analyse d’impact du transfert. Sans l’un des deux, le transfert est exposé. Et il y a une question à poser par écrit à tout prestataire : mes données de conversation servent-elles à entraîner vos modèles d’IA ? Un prestataire conforme l’exclut contractuellement.

Comme référence positive : Hanc.AI est exploitée par Good Point GmbH (FN 618845t, Vienne, vérifiable sur firmenbuch.at), fait fonctionner son application et son infrastructure vocale en Allemagne et tient sa base de données principale à Francfort. Certains traitements d’IA annexes peuvent avoir lieu hors de l’UE ; la politique de confidentialité liste chaque sous-traitant et la manière dont les transferts sont encadrés, ce qui est la réponse à exiger de tout prestataire sur la question du pays tiers. La plateforme est conçue pour le RGPD et le règlement européen sur l’IA. Les détails techniques de sécurité (chiffrement, etc.) viennent ensuite ; vous pouvez aussi examiner les intégrations qui déterminent où circulent les données.

Minimisation, conservation et mesures de sécurité en pratique

La minimisation des données (art. 5.1.c) consiste à ne collecter que ce que la finalité exige. Un numéro de téléphone et la demande de l’appelant, oui. Une archive audio inutile, non. Lorsque c’est possible, masquez ou pseudonymisez les identifiants personnels.

Un plan d’effacement est la partie que la plupart des explicatifs survolent. Définissez des durées de conservation claires pour les données de conversation et de contact, et appliquez-les automatiquement, par exemple un effacement automatique au bout d’un nombre de jours fixé. Les durées varient par secteur et selon des obligations qui se superposent (fiscales, déontologiques) : fixez-les délibérément plutôt que par défaut.

Les mesures techniques concrètes qui distinguent un prestataire sérieux relèvent largement du standard du marché, et vous devriez pouvoir les vérifier : chiffrement au repos (par exemple AES-256) et en transit (TLS 1.3), contrôles d’accès, tâches d’effacement automatique et, lorsqu’elle existe, une attestation externe comme SOC 2.

Le meilleur réglage par défaut est « résumé plutôt qu’audio ». Une note de conversation structurée plutôt que l’audio brut réduit d’un coup le volume de données, le risque et le besoin de consentement. Et vérifiez les réglages d’usine : l’enregistrement est-il activé ou désactivé à la livraison ? La protection des données par défaut (art. 25) attend que le réglage minimisant les données soit le préréglage. Tout cela alimente directement la grille d’évaluation qui suit. Pour un tableau plus complet des garanties en place, voyez l’aperçu sécurité.

Grille : comment reconnaître un agent téléphonique IA conforme au RGPD

Quels systèmes d’IA sont conformes au RGPD ? Ceux qui passent les points ci-dessous. Les pages de prestataires se félicitent elles-mêmes ; presque personne ne propose de grille neutre. En voici une, à copier et à utiliser. Parcourez-la prestataire par prestataire :

1. La localisation des serveurs est-elle dans l’UE ou en Allemagne ?
2. Des données sont-elles transférées hors de l’UE, ou y a-t-il des sous-traitants américains ?
3. Un contrat de sous-traitance au titre de l’article 28 est-il disponible et prêt à signer ?
4. Les sous-traitants ultérieurs sont-ils communiqués ?
5. Les données de conversation servent-elles à entraîner des modèles, oui ou non ?
6. L’enregistrement est-il désactivé par défaut (protection par défaut) ?
7. Les durées de conservation sont-elles configurables ?
8. L’étiquetage IA de l’article 50 est-il pris en charge ?
9. Un recours humain est-il possible ?
10. Le chiffrement, et idéalement un certificat, est-il démontré ?
11. Le prestataire est-il juridiquement joignable (siège dans l’UE, vérifiable dans un registre public) ?

La réponse directe à « quels systèmes d’IA sont conformes au RGPD ? » : ceux qui satisfont ces points. Ce n’est pas le mot à la mode de la page d’accueil qui décide, ce sont l’hébergement, le contrat de sous-traitance, les réglages par défaut et l’exclusion contractuelle de l’usage pour entraînement.

À l’inverse, les signaux d’alerte : aucun contrat de sous-traitance proposé, hébergement exclusivement américain sans mécanisme de transfert, enregistrement activé par défaut, aucune réponse sur l’entraînement des modèles, et un prestataire juridiquement injoignable.

À titre d’exemple, voici ce que donne la grille pour Hanc.AI : hébergement en Allemagne (base de données principale à Francfort), sous-traitants listés dans la politique de confidentialité, appelants informés dès le début qu’ils parlent à une IA, exploitant vérifiable au registre du commerce. Pour le tableau complet et une idée de ce qu’il faut peser, la page tarifs et l’aperçu des fonctions complètent la vue d’achat.

Liste de mise en service : déployer un agent téléphonique IA en 8 étapes conformes

Une feuille de route réelle, étape par étape, avec le responsable de chacune, car la concurrence tend à rester abstraite.

1. Définir le cas d’usage et la base légale (art. 6). Responsable : direction / délégué à la protection des données.
2. Sélectionner un prestataire avec la grille d’évaluation et signer le contrat de sous-traitance (art. 28).
3. Construire le script d’accueil et de consentement à partir des modèles et intégrer l’étiquetage IA (art. 50).
4. Activer les réglages minimisant les données (résumé plutôt qu’audio, enregistrement uniquement avec consentement) et fixer les durées de conservation.
5. Mettre à jour la politique de confidentialité du site pour couvrir la téléphonie IA, et y renvoyer dans l’annonce orale.
6. Mettre à jour votre registre des activités de traitement et vérifier si une analyse d’impact est nécessaire (section suivante).
7. Mettre en place un processus pour les droits des personnes (accès, effacement, retrait doivent être praticables) et activer la journalisation des consentements.
8. Informer vos équipes, tester le recours humain, puis lancer, et ajuster de manière itérative.

Une note pratique : avec une configuration sans programmation, la partie technique se règle vite. Le soin se porte sur le dispositif de protection des données, pas sur la technologie. Vous pouvez créer un agent gratuitement, sans carte bancaire, et dérouler cette liste sur une configuration réelle hébergée en Allemagne.

Documentation et responsabilité : analyse d’impact, registre et journalisation probante du consentement

La responsabilité (art. 5.2) signifie que vous devez pouvoir démontrer la conformité : la base légale retenue, le contrat de sous-traitance, les consentements recueillis et le plan d’effacement, tous documentés.

Votre registre des activités de traitement (art. 30) doit mentionner la téléphonie IA comme activité, avec finalité, catégories de données, destinataires et durées de conservation.

Une analyse d’impact relative à la protection des données (art. 35) est déclenchée par certains facteurs : une technologie véritablement nouvelle, du profilage ou de l’analyse du ressenti, de la biométrie, ou une portée à grande échelle. Un simple assistant d’accueil sans profilage ni biométrie ne la déclenche généralement pas. Ajoutez de l’analyse du ressenti, des empreintes vocales ou une grande échelle, et elle peut l’être : une consultation préalable (art. 36) pouvant alors être requise.

Sur l’obligation de délégué : en Allemagne, le § 38 de la BDSG fixe un seuil au-delà duquel un délégué doit être désigné ; l’Autriche et la Suisse diffèrent, vérifiez donc votre propre juridiction.

Pour une journalisation probante du consentement : autre chose que personne ne modélise, enregistrez l’horodatage, la formulation de la question de consentement, la réponse (oui / touche) et l’identifiant de l’appel. C’est ainsi que le consentement devient prouvable (art. 7.1).

Rendez les droits des personnes réellement exerçables : accès y compris copie d’un éventuel enregistrement (art. 15), rectification des noms mal entendus (art. 16), effacement (art. 17), portabilité en JSON ou CSV (art. 20), retrait du consentement même en cours d’appel (art. 7.3) et opposition lorsque vous vous fondez sur l’intérêt légitime (art. 21).

Enfin, reliez à l’article 22 : aucune décision exclusivement automatisée produisant des effets juridiques. Un assistant IA ne doit pas, par exemple, conclure seul un contrat qui engage. Sécurisez cela par un recours humain et une validation humaine finale là où cela compte.

Amendes et sanctions : que coûte réellement un manquement au RGPD ?

Les concurrents restent vagues sur les conséquences. Les chiffres, eux, ne le sont pas. Le cadre des amendes du RGPD atteint 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, pour les manquements graves. Pour les manquements formels, comme l’absence de contrat de sous-traitance, jusqu’à 10 millions ou 2 %.

Il existe aussi une couche pénale. L’enregistrement audio secret au titre du § 201 du code pénal allemand est une infraction pénale (emprisonnement ou amende), et elle vise la personne, pas seulement l’entreprise.

Un cadrage réaliste pour les PME, sans alarmisme : les maximums existentiels visent les grands groupes. Pour une petite entreprise, ce sont plutôt les avertissements, les injonctions de l’autorité de contrôle, les demandes de dommages-intérêts (art. 82) et l’atteinte à la réputation qui comptent. Le risque est réel, et parfaitement évitable.

Les erreurs les plus fréquentes et évitables qui mènent à une procédure : contrat de sous-traitance manquant, enregistrement secret, absence d’étiquetage IA, transfert vers les États-Unis non réglé, et politique de confidentialité manquante. Le cadrage positif est l’honnête : avec une mise en œuvre correcte (voir la liste de mise en service), ce risque est entièrement maîtrisable. La conformité est une affaire d’heures de travail, pas un obstacle. Le détail vit sur la page confidentialité.

Cas particuliers sectoriels : santé, droit, services financiers et données des salariés

La profondeur sectorielle est là où la plupart des contenus s’arrêtent, et où se trouvent les vraies différences.

Cabinets médicaux. Les données de santé sont une catégorie particulière (art. 9) : exigences plus strictes, minimisation d’autant plus importante, et devoir de secret médical. L’IA peut prendre une demande et fixer des rendez-vous, mais elle devrait éviter de recueillir des détails diagnostiques sensibles. Nous traitons cela en profondeur dans le guide des cabinets médicaux, et il existe des configurations dédiées médecin.

Cabinets d’avocats et experts-comptables. Le secret professionnel et le § 203 du code pénal allemand (violation du secret) s’appliquent. Le prestataire doit être proprement lié comme auxiliaire tenu au secret via le contrat de sous-traitance et être hébergé dans l’UE ; les données clients ne partent pas vers un pays tiers. Voyez les pages avocats et experts-comptables.

Services financiers. Ici la logique peut s’inverser : MiFID II peut exiger que certains appels de conseil ou d’ordre soient enregistrés. La tension n’est pas protection des données contre enregistrement : l’enregistrement est l’obligation, dans un autre cadre juridique. Gardez les deux séparés.

Artisanat. Généralement le moins sensible : prise de chantier au titre de l’art. 6.1.b, rappels, ce qui en fait un bon secteur d’entrée. La configuration artisans est un point de départ à faible barrière.

Données des salariés. Souvent négligé : pour les rôles tournés vers l’interne (assistance interne, questions RH), le § 26 de la BDSG est pertinent. Informez les salariés de l’usage de l’IA et respectez la codécision là où un comité d’entreprise existe. Cela correspond aux rôles d’agent tournés vers l’interne.

Un dernier repère : à côté du RGPD, la réglementation allemande sur la protection des données dans les télécommunications et les télémédias (TDDDG) peut également s’appliquer. Bon à savoir, sans surcharger le tableau.

Panorama DACH : règles supplémentaires en Autriche (DSG) et en Suisse (nLPD)

Aucun concurrent n’offre une véritable couverture DACH ; voici donc la valeur ajoutée pour les lecteurs autrichiens et suisses.

Autriche. Le RGPD s’applique directement, complété par la loi autrichienne sur la protection des données (DSG). L’autorité de contrôle est la Datenschutzbehörde. Une protection pénale contre l’enregistrement secret existe de manière analogue, et l’étiquetage IA comme l’exigence de contrat de sous-traitance s’appliquent de la même façon.

Suisse. La Suisse n’est pas membre de l’UE. La loi révisée sur la protection des données (nLPD, en vigueur depuis le 1er septembre 2023) s’applique : principes similaires de transparence, de proportionnalité et de traitement sur mandat, mais avec sa terminologie propre et sans les plafonds d’amende du RGPD. Du point de vue de l’UE, les transferts vers la Suisse sont couverts par une décision d’adéquation.

La conséquence pratique : si vous êtes hébergé dans l’UE et conforme au RGPD, vous satisfaites généralement aussi la DSG autrichienne et vous êtes du bon côté pour la nLPD suisse. Un standard commun couvre tout l’espace DACH. Hanc.AI, par exemple, est conçue pour le RGPD et le règlement européen sur l’IA.

Une note sur le règlement sur l’IA : il s’applique directement dans toute l’UE, Autriche comprise. La Suisse s’y aligne sans y être directement tenue : la transparence reste néanmoins une bonne pratique. Pour les fondations techniques, voyez l’aperçu sécurité.

Questions fréquentes

Un agent téléphonique IA est-il conforme au RGPD ? Oui, lorsqu’il est correctement mis en œuvre. Cela suppose une base légale valable au titre de l’article 6, une information transparente de l’appelant, un contrat de sous-traitance, un hébergement dans l’UE et un consentement dès lors que vous enregistrez ou transcrivez. La conformité résulte de votre paramétrage, ce n’est pas une propriété figée du logiciel.

Dois-je dire aux appelants qu’ils parlent à une IA ? Oui. L’obligation de transparence de l’article 50 du règlement européen sur l’IA (à partir du 2 août 2026) et l’article 13 du RGPD imposent une information claire au début de l’appel. Une courte annonce orale identifiant l’agent comme une IA, avec renvoi à votre politique de confidentialité, suffit.

Quand le RGPD s’applique-t-il aux systèmes d’IA ? Dès que des données personnelles sont traitées, ce qui, pour des appels téléphoniques, est pratiquement toujours le cas. Un numéro de téléphone est déjà une donnée personnelle, et la demande orale l’est généralement aussi. L’étiquette « IA » ne change rien à ce seuil : les mêmes règles s’appliquent qu’à tout autre outil.

Quels systèmes d’IA sont conformes au RGPD ? Ceux qui hébergent dans l’UE, proposent un contrat de sous-traitance, appliquent par défaut des réglages qui minimisent les données et excluent contractuellement l’usage de vos données pour entraîner des modèles. Servez-vous de la grille ci-dessus : ce sont l’hébergement, le contrat, les réglages par défaut et l’exclusion d’entraînement qui décident, pas l’argument marketing.

Puis-je enregistrer les appels avec l’IA ? Uniquement avec un consentement préalable. L’enregistrement secret est une infraction pénale en Allemagne au titre du § 201 du code pénal. La voie sûre est un consentement actif, un « oui » oral ou une pression sur une touche, qui est en outre journalisable. Pour la plupart des usages d’accueil, un résumé plutôt que l’audio complet évite entièrement le problème.

La voix est-elle une donnée biométrique ? Pas automatiquement. Un enregistrement vocal devient une donnée biométrique au sens de l’article 9 uniquement lorsqu’il est traité délibérément pour identifier de manière unique une personne : empreinte vocale, authentification du locuteur. La simple transcription pour comprendre la demande, sans intention d’identifier, ne déclenche pas, en règle générale, l’article 9.

Ai-je besoin d’une analyse d’impact ? Un simple assistant d’accueil n’en a généralement pas besoin. Une analyse d’impact est déclenchée par des facteurs comme le profilage, l’analyse du ressenti, la biométrie ou une portée à grande échelle. Si votre configuration comporte cela, réalisez l’analyse et, le cas échéant, la consultation préalable de l’article 36.

Les prestataires américains sont-ils autorisés ? Uniquement avec un mécanisme de transfert : le cadre de protection des données UE-États-Unis, ou des clauses contractuelles types assorties d’une analyse d’impact du transfert. La voie la plus simple et la plus sûre reste un prestataire hébergé dans l’UE, qui supprime entièrement la question du pays tiers.

Conclusion : la téléphonie IA conforme est une question de comment, pas de si

Un agent téléphonique IA est autorisé et praticable en Allemagne, en Autriche et en Suisse. Ce qui tranche, c’est la mise en œuvre : une base légale solide, la transparence au titre de l’article 50, un contrat de sous-traitance, un hébergement européen, le consentement lorsque vous enregistrez, et la minimisation des données de bout en bout.

Pas d’emballement dans l’appel à l’action. Avec la liste de mise en service et le catalogue d’évaluation ci-dessus, vous pouvez atteindre la conformité en un temps raisonnable. Si vous voulez le voir en pratique, créez un agent gratuitement et testez vous-même, dans le navigateur, une configuration hébergée en Allemagne, sans carte bancaire ; les détails tarifaires sont sur la page tarifs.

Un dernier avertissement : ceci est une orientation, pas un conseil juridique. En cas de doute, faites intervenir votre délégué à la protection des données ou un avocat. Et un mot final sur la confiance : comme exemple d’exploitant vérifiable établi dans l’UE, Hanc.AI est gérée par Good Point GmbH à Vienne (FN 618845t), confirmable sur firmenbuch.at.

Articles liés

• Qu’est-ce qu’un agent téléphonique IA ? : le guide fondamental pour s’orienter.
• Combien coûte un agent téléphonique IA ? : le seul endroit avec des chiffres tarifaires concrets.
• Agents téléphoniques IA pour cabinets médicaux : l’analyse détaillée des configurations sensibles aux données de santé.
• Un agent téléphonique IA vaut-il le coup en petite entreprise ? : comment traiter les objections courantes.
• Service client IA 24/7 : une couverture permanente sans équipe de nuit.