Pourquoi le sujet vous concerne directement
Quand un agent vocal répond à votre place, il traite des données personnelles pour votre compte : noms, numéros de téléphone, motifs d'appel, parfois des informations sensibles selon votre métier. Au sens du RGPD, vous êtes le responsable de traitement et le fournisseur de l'agent vocal est votre sous-traitant. Concrètement : c'est votre responsabilité qui est engagée vis-à-vis de vos clients, même si le traitement technique est délégué.
La bonne nouvelle : il n'est pas nécessaire d'être juriste pour faire un choix éclairé. Cinq questions bien posées suffisent à séparer les prestataires sérieux des autres.
Question 1 : « Avez-vous un contrat de sous-traitance (DPA) à me faire signer ? »
L'article 28 du RGPD impose un contrat écrit entre vous et tout sous-traitant qui manipule des données personnelles pour votre compte. Ce document, souvent appelé DPA (Data Processing Agreement), décrit ce que le prestataire fait des données, avec quels sous-traitants ultérieurs, et sous quelles garanties.
Signal d'alerte : un prestataire qui ne sait pas ce qu'est un DPA, ou qui « l'enverra plus tard ».
Question 2 : « Où sont traitées les données, et par quels sous-traitants ? »
Les technologies vocales font généralement appel à plusieurs briques (reconnaissance vocale, modèle de langage, synthèse vocale, téléphonie), qui peuvent être opérées par différents fournisseurs, parfois hors de l'Union européenne. Ce n'est pas illégal en soi : le RGPD encadre les transferts hors UE par des mécanismes précis, notamment les clauses contractuelles types (articles 44 à 46). Ce qui compte, c'est la transparence : un prestataire sérieux vous fournit la liste de ses sous-traitants et les garanties associées, par exemple des modes sans conservation des enregistrements chez les fournisseurs techniques.
Signal d'alerte : des réponses vagues, ou des promesses de localisation invérifiables et non écrites dans le contrat.
Question 3 : « Combien de temps les conversations sont-elles conservées, et puis-je les faire supprimer ? »
Le RGPD impose une durée de conservation limitée et proportionnée à la finalité (article 5). Pour des appels de prise de rendez-vous, quelques semaines de conservation des transcriptions suffisent largement, le temps de traiter les litiges éventuels. Vous devez aussi pouvoir répondre à une demande d'effacement d'un client (article 17).
Signal d'alerte : une conservation illimitée par défaut, ou l'impossibilité de supprimer un enregistrement à la demande.
Question 4 : « Comment l'appelant est-il informé ? »
Deux informations doivent être portées à la connaissance de l'appelant : le fait qu'il parle à une intelligence artificielle, c'est l'obligation de transparence de l'article 50 du règlement européen sur l'IA, applicable depuis le 2 août 2026, et le traitement de ses données (finalité, droits), conformément aux articles 12 à 14 du RGPD. En pratique, cela se traduit par une annonce claire en début d'appel et une politique de confidentialité accessible.
Signal d'alerte : un agent qui se fait passer pour un humain, ou dont l'annonce d'accueil peut être désactivée « pour faire plus naturel ».
Question 5 : « Que contient votre registre des traitements, et qu'attendez-vous de moi ? »
Un prestataire mature connaît ses obligations (article 30 : registre des traitements) et sait vous dire ce que vous devez faire de votre côté : mentionner le traitement dans votre propre documentation, informer vos clients, définir vos durées de conservation. S'il vous accompagne sur ces points plutôt que de vous laisser seul, c'est bon signe.
Signal d'alerte : un discours du type « ne vous inquiétez pas, tout est géré » sans aucun document à l'appui.
En résumé
Le RGPD n'est pas un obstacle à l'adoption d'un agent vocal, c'est un filtre de qualité. Un prestataire sérieux coche les cinq points suivants :
- Un DPA signé, fourni avant la mise en service et non « plus tard ».
- Des sous-traitants documentés, avec le lieu de traitement et les garanties associées, écrits dans le contrat.
- Une durée de conservation limitée, et la possibilité de supprimer un enregistrement à la demande.
- Une information claire de l'appelant dès le début de l'appel, qu'on ne peut pas désactiver.
- Un accompagnement de votre propre conformité : registre, mentions, durées de conservation, plutôt qu'un « ne vous inquiétez pas ».
Un prestataire capable de répondre précisément à ces cinq points traite votre relation client avec le sérieux qu'elle mérite.
Sources : RGPD, Règlement (UE) 2016/679, EUR-Lex ; Règlement (UE) 2024/1689 (AI Act), article 50, EUR-Lex ; CNIL, La sous-traitance
Vokio conçoit des agents vocaux spécialisés par métier pour les artisans et commerces de proximité : l'agent décroche à votre place, pose les rendez-vous dans votre agenda et vous envoie un résumé écrit de chaque appel. Pour tester avec vos propres questions : une ligne de démonstration répond en un appel.