RGPD et assistant vocal : ce qu'un artisan doit vérifier avant de signer

Confier ses appels à une IA soulève une question légitime : et les données de mes clients ? La question est d'autant plus sérieuse que c'est vous, l'artisan, qui êtes responsable de traitement aux yeux du RGPD : si votre prestataire fait n'importe quoi avec les données de vos appelants, c'est votre entreprise qui est en première ligne. Bonne nouvelle : le règlement encadre précisément le sujet, et les vérifications à faire tiennent en une liste courte. La voici, point par point.

Le RGPD ne s'applique pas qu'aux grands groupes : dès que votre entreprise collecte des noms, adresses et numéros de téléphone (ce que fait tout artisan), vous traitez des données personnelles. L'assistant vocal ne change pas la nature de l'obligation, il change le support : ce qui était noté sur un carnet passe par un prestataire technique, qui devient votre sous-traitant au sens du règlement. D'où l'importance de bien le choisir : sa conformité est la vôtre.

Dès le début de l'appel, votre client doit savoir deux choses : qu'il parle à une assistante vocale, et que ses informations sont collectées pour traiter sa demande. Une phrase d'annonce claire suffit (« vous êtes en ligne avec l'assistante de l'entreprise X, vos informations servent au traitement de votre demande »), mais elle est obligatoire. Méfiez-vous des prestataires qui proposent de faire passer l'IA pour un humain : outre le problème de confiance, c'est un défaut d'information caractérisé.

Les données collectées (nom, adresse, nature du problème, numéro) doivent servir uniquement au suivi de la demande du client : le rappeler, intervenir chez lui, assurer le suivi du chantier. Ni prospection pour des tiers, ni revente, ni enrichissement de bases marketing. C'est le principe de finalité, et il doit être écrit dans le contrat de votre prestataire, pas seulement promis à l'oral.

Les enregistrements et transcriptions ne peuvent pas être gardés « pour toujours, au cas où ». La durée doit être définie et proportionnée : le temps de traiter la demande et d'assurer le suivi commercial raisonnable, puis suppression ou anonymisation. Demandez le chiffre exact à votre prestataire ; « on ne sait pas trop » est une réponse disqualifiante.

Exigez que les enregistrements, transcriptions et résumés soient hébergés dans l'Union européenne, soumis au droit européen. C'est le cas chez L'IAgence, et cela doit figurer noir sur blanc dans les conditions de votre prestataire. Le sujet n'est pas théorique : des données hébergées hors UE peuvent relever de législations étrangères, avec des garanties moindres pour vos clients, et des complications pour vous en cas de contrôle.

Vos appelants gardent leurs droits RGPD : accès, rectification, effacement. Concrètement, si un client demande ce que vous savez de lui ou exige la suppression de ses données, votre prestataire doit pouvoir répondre vite. Et vous-même devez rester propriétaire des données de vos clients : si vous quittez le service, vous partez avec votre historique, et le prestataire efface sa copie. Vérifiez cette clause de réversibilité avant de signer, pas après.

Un prestataire sérieux répond à ces sept points sans se faire prier : chez L'IAgence, ces garanties font partie du contrat standard, et les appelants de notre propre ligne de démonstration sont informés en début d'appel, comme le seront les vôtres. Appelez-la pour entendre à quoi ressemble une annonce RGPD bien faite : deux secondes, et la conversation démarre.

Le RGPD prévoit des amendes proportionnées à la taille de l'entreprise, et la CNIL commence rarement par sanctionner un artisan de bonne foi : la première étape est en général une mise en demeure de se conformer. Mais le vrai risque pour une petite entreprise n'est pas l'amende, c'est la confiance : un client qui apprend que ses données ont fui ou servi à du démarchage ne revient pas, et le raconte. La conformité n'est pas une contrainte administrative, c'est une promesse commerciale : chez nous, vos informations servent à vous dépanner, point.

Marginalement. Si vous avez déjà une mention de protection des données sur vos devis et factures, ajoutez-y le traitement téléphonique : les demandes reçues par téléphone sont traitées par un prestataire hébergé dans l'UE, aux seules fins de suivi. Si vous n'avez rien, c'est l'occasion de créer trois lignes types, que votre prestataire sérieux vous fournira volontiers. L'essentiel de la conformité se joue dans l'annonce en début d'appel et dans le contrat du prestataire : vos documents ne font que refléter ce qui est déjà en place.

Un dernier conseil de méthode, qui vaut pour tous vos prestataires numériques : posez ces questions par e-mail, et exigez des réponses écrites. Pas par défiance, par hygiène : une garantie orale n'engage que le commercial qui l'a donnée, et les commerciaux changent. En cas de contrôle ou de litige, c'est vous, responsable de traitement, qui devrez prouver votre diligence ; un échange d'e-mails où le prestataire confirme l'hébergement UE, la durée de conservation et la finalité constitue exactement cette preuve. Le test est d'ailleurs révélateur en lui-même : un prestataire sérieux répond en quelques lignes claires, un prestataire flou noie la question dans du jargon ou renvoie vers des conditions générales introuvables. Dix minutes de rédaction, une réponse à archiver, et votre dossier RGPD est plus solide que celui de la plupart des grandes entreprises. C'est le niveau d'exigence normal pour celui qui parle à vos clients en votre nom.