Agent vocal IA : faut-il dire à l'appelant qu'il parle à une IA ? (AI Act et RGPD pour les PME)

Mardi, 18 h 40. Mme Lefèvre, 78 ans, appelle son salon de coiffure pour décaler un rendez-vous. Une voix posée lui répond, trouve un nouveau créneau et le lui confirme. Avant de raccrocher, elle demande : « Vous êtes une vraie personne ? »

Depuis le 2 août 2026, elle n'a plus à poser la question : la réponse doit lui être donnée dès le début de l'appel. C'est l'obligation de transparence de l'AI Act, le règlement européen sur l'intelligence artificielle. Le RGPD s'y ajoute dès que l'agent enregistre ou transcrit la conversation.

Ce guide porte sur les appels que vous recevez ; pour appeler des particuliers, voyez notre guide sur le démarchage téléphonique interdit depuis le 11 août 2026.

L'AI Act en deux minutes

L'AI Act, c'est le règlement (UE) 2024/1689. Entré en vigueur le 1er août 2024, il s'applique par étapes jusqu'en 2027. Comme tout règlement européen, il vaut directement en France.

Il classe les usages de l'IA selon leur risque. Certaines pratiques sont interdites ; d'autres, dites « à haut risque », sont très encadrées. Un agent qui décroche et prend des rendez-vous relève d'une catégorie plus légère : les obligations de transparence de l'article 50.

Un repère utile : le règlement classe à haut risque les systèmes qui trient les appels d'urgence ou les patients en urgence. Ce n'est pas le rôle d'un agent de prise de rendez-vous.

Une PME est-elle concernée ? Oui. Pour la Commission européenne, quiconque utilise un système d'IA dans son activité professionnelle en est le « déployeur », artisan à son compte compris. L'« omnibus numérique » du 27 juillet 2026 a décalé certaines échéances, pas l'article 50.

Annoncer l'IA : ce que dit l'article 50

L'article 50 pose la règle : un système d'IA destiné à dialoguer avec des personnes doit être conçu pour qu'elles sachent qu'elles parlent à une IA. L'information doit être claire, reconnaissable et donnée au plus tard lors de la première interaction. Elle doit aussi respecter les exigences d'accessibilité.

La Commission retient quatre critères cumulatifs : un système d'IA, un vrai échange dans les deux sens, un contact direct sans humain intermédiaire, une personne en face, particulier ou professionnel. Un agent vocal qui répond à vos clients coche les quatre cases, tout comme un chatbot sur votre site.

Une exception existe quand il est évident, pour une personne raisonnablement attentive, qu'elle parle à une machine. La Commission demande de l'interpréter de façon restrictive. Avec une voix de synthèse naturelle, mieux vaut considérer qu'elle ne s'applique pas.

Pour un chatbot, la même logique conduit à une mention visible dès le premier message ; une ligne dans les conditions générales y répond mal. Et si votre agent analysait l'humeur de l'appelant (« reconnaissance des émotions »), ce serait à vous d'en informer les personnes.

Fournisseur, déployeur : qui est responsable ?

L'AI Act distingue deux rôles. Le fournisseur développe le système et le met sur le marché sous son nom ; le déployeur l'utilise sous sa propre autorité. Avec Sparky, nous sommes le fournisseur et votre entreprise est le déployeur.

L'obligation d'annoncer l'IA pèse d'abord sur le fournisseur, même s'il s'appuie sur le modèle d'une autre entreprise. Mais c'est votre nom que l'appelant entend : vérifiez que l'annonce figure bien dans le message d'accueil. Le RGPD, lui, emploie d'autres mots.

Un contrat écrit avec votre prestataire est obligatoire, et la CNIL rappelle qu'un petit client ne peut pas se décharger de ses obligations sur un gros prestataire.

Côté sanctions, un manquement à l'article 50 peut coûter jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial. Pour une PME, c'est le montant le plus bas des deux qui sert de plafond, et les États doivent tenir compte de sa viabilité économique.

Qui contrôlera en France ? Le schéma annoncé en septembre 2025 confie les systèmes qui dialoguent avec le public à la DGCCRF et à l'Arcom. Il devait être confirmé par une loi ; nous n'avons pas pu vérifier que c'était fait à la date de ce guide.

RGPD : enregistrer et transcrire les appels

Une voix, un numéro, le motif d'un rendez-vous : ce sont des données personnelles. Une IA peut respecter le RGPD, mais cela se prépare. Les recommandations de la CNIL sur l'enregistrement des appels visent les salariés ; les appliquer à un agent IA est une transposition, mais elles donnent le bon cap :

• informer en deux temps : une mention orale en début d'appel (l'enregistrement, son but, le droit de s'y opposer), puis un renvoi vers l'information complète, sur votre site par exemple ;
• permettre l'opposition avant la fin de la conversation ;
• rester proportionné : la CNIL écarte l'enregistrement permanent et systématique. L'audio vous sert-il, ou le résumé suffit-il ?
• limiter la durée : 6 mois au plus pour les enregistrements, 1 an pour les documents d'analyse, sauf texte ou justification particulière.

Une autre réponse de la CNIL évoque un an pour l'audio : dans le doute, retenez la durée la plus courte. Pour les transcriptions, aucune durée propre n'est fixée : gardez-les le temps utile, plus longtemps pour une réclamation que pour un rendez-vous honoré.

Certains cas demandent plus de précautions. Un cabinet médical ou de kinésithérapie qui confie des données de santé à un prestataire doit passer par un hébergeur certifié HDS (hébergeur de données de santé). La CNIL rappelle aussi qu'un échange avec un robot ne peut pas, à lui seul, conduire à une décision importante pour la personne, comme un refus de crédit.

Demandez enfin où vos données sont traitées. Un transfert vers les États-Unis peut s'appuyer sur le « Data Privacy Framework », validé par le Tribunal de l'Union européenne en septembre 2025 ; un pourvoi a été formé, dont nous n'avons pas pu vérifier l'issue.

Un script d'accueil conforme en 15 secondes

Ce message réunit l'annonce de l'IA, l'information sur l'enregistrement et l'accès à un humain. Lu posément, il dure environ 15 secondes.

Chaque morceau a sa raison d'être :

• « je suis une intelligence artificielle » : l'annonce de l'article 50. À notre sens, un prénom reste possible si la nature de l'agent est dite clairement ;
• la phrase sur l'enregistrement : son but, le droit de le refuser et le renvoi vers l'information complète ;
• « dites “conseiller” » : une porte de sortie vers un humain.

Décidez aussi, avant la mise en service, ce que fait l'agent si l'appelant refuse l'enregistrement : poursuivre sans conserver l'audio, ou prendre un message pour que l'équipe rappelle.

Vos clients accepteront-ils de parler à une IA ?

C'est souvent la vraie inquiétude des gérants. Faute d'étude française fiable, nous n'avancerons pas de chiffre ; quelques principes de bon sens aident pourtant beaucoup.

• Annoncer l'IA tout de suite. Un client qui le découvre au bout de deux minutes se sent piégé ; celui qui le sait d'emblée adapte simplement sa façon de parler.
• Choisir une voix calme et un débit posé, surtout avec une clientèle âgée.
• Dire ce que l'agent sait faire : « je peux prendre, déplacer ou annuler un rendez-vous ».
• Toujours laisser une porte vers l'humain : transfert en direct si quelqu'un est disponible, sinon message et rappel.
• Écouter de vrais appels les premières semaines et corriger ce qui bloque.

Reprenons Mme Lefèvre. Prévenue dès le début, elle sait qu'elle peut demander un conseiller. La semaine suivante, pour une question sur une coloration, l'agent a d'ailleurs passé la main à Céline. Certains clients préféreront toujours un humain : raison de plus pour rendre le transfert facile.

Avec Sparky, l'agent passe la main à votre équipe quand la question sort de son cadre, et la prévient en lui transmettant la transcription de l'appel. Le parcours complet est décrit sur notre page comment fonctionne Sparky.

Check-list avant la mise en service

1. L'IA est annoncée dès la première phraseAu téléphone comme dans la fenêtre du chatbot, avant toute question.
2. L'enregistrement est annoncéSon but, le droit de le refuser, le renvoi vers votre page de confidentialité.
3. Les durées de conservation sont fixéesSix mois au plus pour l'audio, une durée justifiée pour les transcriptions et résumés.
4. Le contrat avec le prestataire est signéIl précise où sont traitées les données ; hébergeur HDS pour des données de santé.
5. Le passage à un humain est prévuUrgence, incompréhension répétée ou demande de l'appelant ; aucune décision importante laissée à l'agent seul.
6. Votre politique de confidentialité est à jourElle mentionne l'agent, les données traitées, les durées et les droits des appelants.

Vous hésitez sur votre message d'accueil ? L'appel découverte gratuit est le bon moment pour en parler.

Questions fréquentes

L'AI Act, c'est quoi ?

C'est le règlement européen (UE) 2024/1689 sur l'intelligence artificielle. Il classe les usages de l'IA selon leur niveau de risque : pratiques interdites, systèmes à haut risque très encadrés, et obligations de transparence pour les systèmes qui dialoguent avec le public. Il s'applique directement dans tous les pays de l'Union, par étapes.

Quand l'AI Act est-il entré en vigueur ?

Le règlement est entré en vigueur le 1er août 2024, mais ses obligations s'appliquent progressivement. La plupart des pratiques interdites le sont depuis le 2 février 2025, et l'obligation d'annoncer qu'on parle à une IA s'applique depuis le 2 août 2026. D'autres échéances courent jusqu'en 2027.

Une PME est-elle concernée par l'AI Act ?

Oui. Une entreprise qui utilise un agent vocal ou un chatbot dans son activité professionnelle en est le « déployeur », quelle que soit sa taille. Les PME bénéficient toutefois d'un plafond d'amende adapté : c'est le plus bas des deux montants prévus, somme fixe ou pourcentage du chiffre d'affaires, qui sert de plafond.

Une IA peut-elle être conforme au RGPD ?

Oui, à condition de préparer le dispositif : informer les appelants, notamment sur l'enregistrement, leur permettre de s'y opposer, limiter les durées de conservation et signer un contrat avec le prestataire. La CNIL rappelle qu'un échange avec un robot ne doit pas conduire à lui seul à une décision importante pour la personne. Pour des données de santé, un hébergeur certifié HDS est obligatoire.

Combien de temps peut-on garder l'enregistrement d'un appel ?

La CNIL recommande 6 mois au maximum pour les enregistrements et 1 an pour les documents d'analyse, sauf texte ou justification particulière. Ces recommandations visent les appels de salariés et s'appliquent par analogie à un agent IA. Pour les transcriptions, aucune durée spécifique n'est fixée : gardez-les le temps nécessaire à leur objectif.

Sources

1. Commission européenne, AI Act Service Desk, article 50 (obligations de transparence) : ai-act-service-desk.ec.europa.eu/en/ai-act/article-50
2. EUR-Lex, règlement (UE) 2024/1689 sur l'intelligence artificielle, texte officiel : eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202401689
3. Commission européenne, « Transparency obligations under Article 50 of the AI Act », FAQ mise à jour le 24 juillet 2026 : digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-a
4. Commission européenne, lignes directrices sur les obligations de transparence de l'IA : digital-strategy.ec.europa.eu/en/policies/guidelines-ai-transparency-o
5. Commission européenne, AI Act Service Desk, article 99 (sanctions) : ai-act-service-desk.ec.europa.eu/en/ai-act/article-99
6. Commission européenne, AI Act Service Desk, annexe III (systèmes à haut risque) : ai-act-service-desk.ec.europa.eu/en/ai-act/annex-3
7. CNIL, « Entrée en vigueur du règlement européen sur l'IA : les premières questions-réponses », mise à jour le 17 août 2026 : cnil.fr/fr/entree-en-vigueur-du-reglement-europeen-sur-lia-les-premier
8. Direction générale des entreprises, schéma de gouvernance du règlement IA en France, 9 septembre 2025 : entreprises.gouv.fr/priorites-et-actions/transition-numerique/soutenir
9. CNIL, « L'écoute et l'enregistrement des appels sur le lieu de travail » : cnil.fr/fr/lecoute-et-lenregistrement-des-appels-sur-le-lieu-de-travai
10. CNIL Direct, question sur la conservation des enregistrements téléphoniques : cnil.fr/fr/cnil-direct/question/269
11. CNIL, « Chatbots : les conseils de la CNIL pour respecter les droits des personnes » : cnil.fr/fr/chatbots-les-conseils-de-la-cnil-pour-respecter-les-droits-
12. CNIL, « Responsable du traitement, sous-traitants : comment bien identifier son rôle ? » : cnil.fr/fr/rgpd-comment-bien-identifier-son-role
13. Agence du numérique en santé, hébergement de données de santé (HDS) : esante.gouv.fr/ens/offre/hds
14. CNIL, « Transférer des données hors de l'UE » : cnil.fr/fr/transferer-des-donnees-hors-de-lue
15. EUR-Lex, arrêt du Tribunal de l'UE du 3 septembre 2025, Latombe contre Commission (T-553/23), et mention du pourvoi C-703/25 P : eur-lex.europa.eu/legal-content/FR/ALL/?uri=CELEX:62023TJ0553