L’essentiel en une minute
Un projet d’agent vocal IA doit cartographier les données traitées, leur finalité, les personnes qui y accèdent, leur durée de conservation et leur sécurité. L’information de l’appelant, la base juridique, les contrats et l’exercice des droits doivent être validés avec le responsable du traitement et, le cas échéant, son délégué à la protection des données.
Quelles données l’agent vocal traite-t-il ?
Le cadrage distingue la voix en direct, une éventuelle transcription, les coordonnées, le motif de l’appel, les informations métier consultées et le résultat transmis. Pour chaque donnée, indiquez si elle est indispensable, où elle circule, qui peut y accéder et quand elle est supprimée.
- Données prononcées volontairement par l’appelant.
- Données récupérées depuis un outil ou une base approuvée.
- Journal technique, transcription, enregistrement ou résumé éventuels.
- Données transmises à un collaborateur ou à un système tiers.
Comment informer l’appelant ?
L’information doit être compréhensible au moment utile et permettre d’identifier la nature automatisée de l’échange, l’identité du responsable, les finalités principales et l’accès aux informations complètes. Le contenu exact et le canal complémentaire doivent être validés pour le traitement concerné.
Quels points contractuels et techniques vérifier ?
Le projet doit identifier les rôles de responsable et de sous-traitant, les fournisseurs impliqués, les lieux de traitement, les conditions de sous-traitance, les accès, la journalisation, les sauvegardes et la gestion des incidents. Ces éléments doivent correspondre au fonctionnement réel, pas uniquement à la présentation commerciale.
- Instructions documentées et périmètre de chaque prestataire.
- Mesures de sécurité proportionnées aux données et aux risques.
- Durées de conservation et mécanismes de suppression.
- Procédure d’exercice des droits et traitement des incidents.
Quand faut-il approfondir l’analyse ?
Une analyse plus poussée est nécessaire lorsque le traitement porte sur des données sensibles, évalue des personnes, prend des décisions ayant un effet important, combine de nombreuses sources ou présente un risque élevé. Le DPO ou un conseil compétent doit confirmer la démarche adaptée au contexte.
Les points à clarifier avant d’avancer
Faut-il enregistrer tous les appels ?
Non. L’enregistrement doit répondre à une finalité définie et respecter les exigences applicables. Un agent vocal peut être conçu sans conservation systématique de l’audio ; le choix dépend du besoin et du cadre validé.
Une transcription est-elle une donnée personnelle ?
Elle peut l’être dès qu’elle se rapporte à une personne identifiée ou identifiable. Elle doit alors être intégrée à la cartographie du traitement, avec sa finalité, ses accès, sa conservation et sa sécurité.
Le présent guide remplace-t-il un avis juridique ?
Non. Il s’agit d’une checklist de cadrage opérationnel. Le responsable du traitement reste chargé de déterminer les obligations applicables et de les faire valider avec son DPO ou un conseil compétent.