IA au téléphone : ce que disent le RGPD, l'AI Act et les autres règles

Un agent vocal IA qui répond à la place d'un salarié est à la fois un système d'intelligence artificielle et un moyen de collecter des données personnelles : voix, nom, numéro, motif de l'appel. Deux textes européens jouent donc ensemble. Le RGPD s'intéresse à ce que devient l'information recueillie. L'AI Act s'intéresse à ce que sait l'appelant de son interlocuteur.

Autour de ces deux textes, le droit français ajoute des règles par situation : l'accès à une personne humaine pour certains services financiers, la sensibilité des données dans la santé, le démarchage quand l'agent appelle au lieu de recevoir, les obligations propres aux services publics. Aucune n'est propre à l'IA, et l'IA ne les écarte pas. Un artisan qui renvoie son téléphone vers un agent pendant un chantier garde les mêmes devoirs que s'il décrochait lui-même.

Ce dossier donne la carte et une méthode, chaque question ayant son guide ou son billet. Rien ici ne vaut avis juridique : en secteur réglementé ou en cas de doute, faites valider avec votre conseil ou votre DPO.

L'article 50 de l'AI Act demande que les systèmes d'IA destinés à interagir directement avec des personnes soient conçus pour que celles-ci sachent qu'elles parlent à une IA. L'information doit être claire et intervenir au plus tard lors de la première interaction, sauf si c'est évident pour une personne normalement avisée. Selon la Commission européenne, l'article s'applique depuis le 2 août 2026, et ses lignes directrices du 20 juillet 2026 prennent l'exemple d'un assistant vocal qui annonce son fonctionnement par IA au début de la session.

Le texte parle d'interaction avec des personnes, pas de téléphone : un chat relève a priori de la même logique, à confirmer avec votre conseil. Sur le fond, un appelant qui comprend en cours de route qu'il parlait à une machine se sent trompé, et c'est l'entreprise dont le nom figure sur la ligne qui en paie le prix.

Chez Alyas, l'IA est annoncée en début d'appel : l'agent se présente comme l'assistant IA de l'entreprise et ne se fait pas passer pour un humain. Cette annonce porte sur la nature de l'interlocuteur. L'information sur l'enregistrement est un autre sujet, traité ci-dessous et laissé à la charge de l'entreprise.

Un appel pris par un agent laisse plusieurs données : l'audio, la transcription, le résumé, les coordonnées, le numéro de l'appelant. Chacune est une donnée personnelle, avec sa finalité et sa durée de vie. Le RGPD veut que l'appelant soit informé de l'enregistrement et de sa finalité. La CNIL décrit une information en deux temps : une mention orale au début de la conversation, puis un renvoi vers une information complète, par exemple les mentions légales du site.

Ses fiches visent surtout les appels de salariés et ne traitent pas expressément le cas d'un agent IA. Le réflexe sûr est donc de partir de la finalité : on n'enregistre pas « au cas où ». Une fois la finalité écrite, le reste en découle : qui peut réécouter, pendant combien de temps, qui supprime et qui vérifie que la suppression a eu lieu.

Le guide sur l'enregistrement d'un appel détaille les finalités admises et le droit d'opposition. Le billet sur la conservation propose d'écrire la politique sur une page et rappelle les durées recommandées par la CNIL.

On entend souvent que parler à une personne serait un droit garanti face à un agent IA. Dans les textes consultés, il n'existe pas de droit général de ce type pour un service client. L'article 22 du RGPD vise les décisions fondées exclusivement sur un traitement automatisé et produisant des effets juridiques ou significatifs : un agent qui renseigne, prend un message ou propose un créneau n'en prend généralement pas. Le contrôle humain de l'article 14 de l'AI Act vise les systèmes à haut risque et s'exerce côté organisation.

Une règle sectorielle existe : l'article L222-5-1 du Code de la consommation, en vigueur depuis le 19 juin 2026. Pour les services financiers conclus à distance, lorsque le professionnel utilise des outils en ligne, le consommateur doit pouvoir s'adresser à une personne humaine. Quels services, quels outils, et un agent vocal en fait-il partie : la portée est à vérifier avec votre conseil avant de s'y fier dans un sens ou dans l'autre.

Même sans obligation, le bon usage est simple : une issue vers une personne, annoncée et tenue. Le billet sur le droit de parler à un humain reprend chaque texte.

Les données de santé sont des données sensibles au sens de l'article 9 du RGPD : leur traitement est interdit en principe, avec des exceptions encadrées. Un cabinet entre deux patients qui confie son téléphone à une secrétaire à distance ou à un agent IA reste responsable du traitement, le prestataire agissant comme sous-traitant. Avant de confier de tels appels à un outil, demandez au prestataire où et comment sont hébergés les enregistrements, et faites valider le choix par le délégué à la protection des données. Le billet sur les données de santé au téléphone et celui sur le télésecrétariat médical déroulent les points à contrôler : secret professionnel, minimisation, contrat de sous-traitance.

La sécurité pose un autre problème. Un appelant peut signaler un malaise, une fuite de gaz ou une menace à un cabinet, un dépanneur ou une agence. L'accueil n'est pas un service de secours : il oriente vers les numéros d'urgence indiqués par Service-public (le 15, le 17, le 18, le 112, et le 114 pour les personnes sourdes ou malentendantes) et n'improvise ni diagnostic ni manipulation technique. La consigne exacte relève du professionnel, qui la rédige, la valide et la date. Le billet sur les consignes de sécurité détaille la démarche.

Tout ce qui précède vise des appels reçus. Dès que l'agent appelle, un autre régime s'ouvre. Depuis le 11 août 2026, il est interdit de démarcher par téléphone un consommateur qui n'a pas exprimé préalablement son consentement, et le service Bloctel a cessé d'exister. C'est au professionnel de prouver qu'il a recueilli ce consentement.

La prospection auprès de professionnels obéit à une autre logique, fondée selon la CNIL sur l'information et la possibilité de s'opposer. Pour la prospection au moyen d'un automate d'appel, le Code de la consommation renvoie à l'article L34-5 du Code des postes et des communications électroniques : un agent vocal qui prospecte se juge donc à l'aune de ce texte. Un appel de service, comme la confirmation d'un rendez-vous pris par le client, n'a pas le même objet, mais tout dépend de ce que dit réellement l'appel.

Le guide sur le démarchage téléphonique détaille le consentement, les horaires, les secteurs fermés et les sanctions. Un outil ne rend jamais une campagne en règle d'office.

Une mairie ou une collectivité qui s'interroge sur un accueil automatisé a deux repères. Le principe de continuité du service public ne veut pas dire qu'un standard doit répondre hors de ses horaires d'ouverture : ses exigences varient selon l'activité. Les règles d'accessibilité téléphonique pour les personnes sourdes, malentendantes, sourdaveugles et aphasiques, elles, ont franchi un palier le 1er octobre 2026.

Un accueil automatisé peut aider sur les questions simples, il ne remplace ni ce dispositif ni l'agent qui instruit une demande. Le billet sur la continuité du service public donne les repères. Faites vérifier votre cas par votre conseil.

Le tableau ci-dessous sépare ce que l'outil doit rendre possible de ce qui reste du ressort de l'entreprise. C'est la répartition qui compte : un bon prestataire réduit le risque, il ne déplace pas la responsabilité.

L'ordre compte : on décide de l'usage avant de régler l'outil.

Avec Alyas, la mise en place suit le même fil. La création est assistée : vous indiquez l'adresse de votre site ou décrivez l'activité, Alyas prépare une fiche que vous vérifiez, et l'agent de chat se teste tout de suite, sans numéro de téléphone. Chaque appel est ensuite enregistré, transcrit et résumé dans l'espace client, où vous pouvez le réécouter : c'est le bon endroit pour contrôler l'annonce et ce que l'agent a recueilli. La durée maximale d'un appel est réglable, et un numéro de transfert est configuré par agent. L'essai est gratuit pendant 10 jours, sans carte bancaire.

1. Listez vos situations : appels reçus ou émis, sujets sensibles (santé, finance, service public), personne qui décroche aujourd'hui.
2. Faites annoncer l'IA dans la première phrase, puis vérifiez par un appel de test le texte, le moment et l'absence de toute prétention à être humain.
3. Décidez si vous enregistrez et pourquoi. Écoutez l'appel de test : si l'information sur l'enregistrement et sa finalité n'y figure pas, ajoutez-la ou renvoyez vers vos mentions légales.
4. Fixez une durée de conservation par donnée (audio, transcription, résumé, coordonnées), les personnes habilitées et celle qui contrôle la suppression.
5. Prévoyez la sortie vers une personne : transfert ou message, consigne de sécurité validée, liste de ce que l'agent ne traite pas.
6. Documentez : politique de confidentialité à jour, contrat avec le prestataire, relecture à chaque changement d'usage, avis du DPO ou du conseil pour un secteur réglementé.