Mis à jour le 24 septembre 2026
Lorsqu’une IA vocale répond au téléphone, vous traitez en général des données personnelles : nom, numéro de téléphone, préférences alimentaires, parfois enregistrement ou transcription. Le RGPD s’applique pleinement : il faut un cadre clair pour votre établissement et pour l’éditeur de la solution.
Quelles données sont concernées ?
- Identité et coordonnées communiquées à l’oral ou saisies par l’agent.
- Métadonnées d’appel (horodatage, durée, numéro appelant si disponible).
- Transcriptions ou enregistrements audio, si votre configuration les conserve.
- Données de réservation ou de commande reliées à une personne identifiable.
Base légale et transparence
La nécessité contractuelle (exécuter une réservation demandée par le client) ou l’intérêt légitime (gérer le service client) sont souvent invoquées, selon le cas — validez avec votre DPO ou conseil. L’essentiel est d’informer les personnes (politique de confidentialité, bandeau ou message vocal si requis) et de limiter les traitements au strict nécessaire.
Sous-traitance et localisation
L’éditeur de l’IA agit en général comme sous-traitant : contrat DPA, liste des sous-traitants, garanties en cas de transfert hors UE. Vérifiez où sont stockés les logs, les transcriptions et les backups. Chez VoxaOne, les engagements détaillés figurent dans nos documents légaux : Politique de confidentialité, DPA.
Durées de conservation
Définissez des durées proportionnées : par exemple conservation des transcriptions pour la résolution des litiges ou l’amélioration du service, puis suppression ou anonymisation. Ne conservez pas l’audio « pour toujours » sans justification documentée.
Droits des personnes
Accès, rectification, effacement, limitation, opposition, portabilité : votre process doit inclure les demandes issues des appels vocaux, pas seulement du site web. Prévoyez un point de contact unique (ex. page contact).
Informer l’appelant qu’il parle à une IA
Deux textes se complètent. Le RGPD impose d’informer la personne dont les données sont collectées : qui les traite, pourquoi, combien de temps, et comment exercer ses droits. Le règlement européen sur l’IA prévoit en plus que la personne sache qu’elle échange avec un système d’IA. Au téléphone, une phrase d’accueil courte couvre l’essentiel, avec un renvoi vers votre politique de confidentialité :
« Bonjour, vous êtes bien au restaurant […]. Je suis l’assistant vocal du restaurant [et cet appel est enregistré pour traiter votre demande]. Vous pouvez demander à parler à l’équipe à tout moment. »
Enregistrer les appels : ce qu’il faut savoir
L’enregistrement audio n’est pas indispensable pour prendre une réservation : une transcription ou un simple résumé suffisent souvent. Si vous enregistrez, la CNIL demande d’en informer l’appelant dès le début de l’appel et de lui permettre de s’y opposer, et recommande des durées de conservation courtes. Conservez le minimum : la réservation elle-même, plutôt que l’appel entier.
Les documents à demander à votre fournisseur
- Le contrat de sous-traitance (DPA) prévu par l’article 28 du RGPD.
- La liste des sous-traitants ultérieurs (hébergement, reconnaissance vocale, téléphonie) et leur localisation.
- Les garanties en cas de transfert hors de l’Union européenne.
- Les durées de conservation par type de donnée : audio, transcriptions, réservations.
- Les mesures de sécurité : chiffrement, contrôle des accès, journalisation.
- La procédure en cas de violation de données, et le délai sous lequel vous êtes prévenu.
Chez VoxaOne, le DPA est public et la page Sécurité décrit l’hébergement et les mesures de protection.
Questions fréquentes
Dois-je mettre à jour ma politique de confidentialité ?
Oui, si le téléphone n’y figurait pas : ajoutez la prise de réservation par assistant vocal, les données collectées, leur durée de conservation et le nom de votre prestataire en tant que sous-traitant.
Faut-il réaliser une analyse d’impact (AIPD) ?
Pas systématiquement. Une prise de réservation classique présente en général un risque limité ; une analyse d’impact devient nécessaire si vous croisez les appels avec d’autres données à grande échelle, ou si vous analysez la voix pour identifier les personnes. Faites le point avec votre conseil.
Un client peut-il demander la suppression de son appel ?
Oui : le droit à l’effacement couvre les enregistrements et les transcriptions comme les autres données, dans les conditions prévues par le RGPD. Votre fournisseur doit vous permettre de retrouver et de supprimer les données d’un appelant.
Ce guide est fourni à titre informatif et ne remplace pas un avis juridique personnalisé.