Voicebot IA en français conforme au RGPD : quels fournisseurs ? (CNIL, AI Act, hébergement)

Ce qu’il faut vérifier

Que vérifier avant de choisir un voicebot IA conforme au RGPD ?

Huit questions à poser à chaque fournisseur. Chacune vient d’un texte précis, relié à sa source officielle.

1. 01

   Le voicebot annonce-t-il qu’il est une IA dès le début de l’appel ?

   L’article 50, paragraphe 1, du règlement (UE) 2024/1689 sur l’IA demande que les personnes soient « informées qu’elles interagissent avec un système d’IA », sauf si cela ressort clairement du contexte ; le paragraphe 5 précise que l’information est fournie « de manière claire et reconnaissable au plus tard au moment de la première interaction » (EUR-Lex, règlement IA, art. 50). Le règlement est applicable à partir du 2 août 2026 (art. 113) ; le règlement (UE) 2026/1744, dit omnibus numérique sur l’IA, a modifié d’autres points de l’article 50 mais pas cette obligation (EUR-Lex, règlement (UE) 2026/1744). Au téléphone, une voix de synthèse ne se reconnaît pas toujours : demandez à entendre la phrase d’ouverture en français.

2. 02

   Que dit l’information donnée à l’appelant ?

   L’article 13 du RGPD impose de fournir les informations « au moment où les données en question sont obtenues », notamment l’identité et les coordonnées du responsable du traitement, les finalités et la base juridique, et la durée de conservation (EUR-Lex, RGPD art. 13). Au téléphone, ce moment est le début de l’appel. En pratique, on donne une information courte à l’ouverture (qui traite les données, pourquoi, si l’appel est enregistré) et on renvoie au texte complet. Demandez si la phrase est paramétrable et qui la rédige.

3. 03

   Qui est responsable du traitement, qui est sous-traitant, et existe-t-il un contrat au titre de l’article 28 ?

   Le responsable du traitement « détermine les finalités et les moyens du traitement », le sous-traitant traite les données « pour le compte du responsable du traitement » (RGPD art. 4, points 7 et 8). En général, l’entreprise qui utilise le voicebot est responsable du traitement et le fournisseur est sous-traitant ; en marque blanche, c’est le plus souvent l’agence ou l’entreprise cliente qui décide pourquoi on appelle, mais la répartition dépend des faits et doit être écrite. L’article 28 exige un contrat au contenu précis (paragraphe 3) et l’autorisation écrite du responsable du traitement avant que le fournisseur recrute d’autres sous-traitants (paragraphe 2). Demandez le DPA et la liste des sous-traitants.

4. 04

   Où les données sont-elles traitées, étape par étape ?

   La voix de l’appelant passe par plusieurs étapes : téléphonie, transcription, modèle de langage, synthèse vocale, stockage. Si l’une d’elles a lieu hors de l’UE, le transfert doit respecter le chapitre V du RGPD (art. 44 et suivants, par exemple une décision d’adéquation ou des clauses types de protection des données), et l’information à l’appelant doit le mentionner (art. 13, paragraphe 1, point f) (EUR-Lex, RGPD). Demandez où se déroule chaque étape, pas seulement où se trouve le serveur principal.

5. 05

   Combien de temps les enregistrements et transcriptions sont-ils conservés ?

   Le principe de limitation de la conservation veut que les données soient conservées « pendant une durée n’excédant pas celle nécessaire au regard des finalités » (RGPD art. 5, paragraphe 1, point e). Le RGPD ne fixe pas de nombre de jours : c’est le responsable du traitement qui décide, l’indique dans l’information (art. 13, paragraphe 2, point a) et, dans la mesure du possible, dans son registre (art. 30). Vérifiez que la durée est paramétrable et que l’effacement est automatique.

6. 06

   Le voicebot traite-t-il des données de santé ou des empreintes vocales ?

   Les données concernant la santé sont une catégorie particulière (RGPD art. 9, paragraphe 1) : dans un cabinet ou une clinique, un appel en contient souvent. La voix devient une donnée biométrique lorsqu’elle résulte d’un « traitement technique spécifique » qui permet ou confirme l’identification unique de la personne (art. 4, point 14). Demandez au fournisseur si le voicebot crée des empreintes vocales pour reconnaître les appelants, et, pour la santé, où sont hébergées les données.

7. 07

   Faut-il une analyse d’impact (AIPD) ?

   L’article 35 du RGPD impose une analyse d’impact avant un traitement susceptible d’engendrer un risque élevé, « en particulier par le recours à de nouvelles technologies ». La CNIL a adopté une liste de quatorze types de traitements pour lesquels une AIPD est requise (délibération n° 2018-327), dont les traitements de données de santé mis en œuvre par les établissements de santé ou médico-sociaux et les traitements de données biométriques visant à identifier une personne de manière unique lorsque des personnes vulnérables sont concernées ; la liste n’est pas exhaustive (CNIL, liste des traitements soumis à AIPD). Le fournisseur, comme sous-traitant, doit vous aider dans cette analyse (RGPD art. 28, paragraphe 3, point f).

8. 08

   Le voicebot passe-t-il des appels de prospection sortants ?

   Depuis le 11 août 2026, il est interdit de démarcher par téléphone un consommateur qui n’a pas exprimé au préalable son consentement, et c’est au professionnel de prouver ce consentement (Code de la consommation, art. L223-1, dans sa rédaction issue de l’article 13 de la loi n° 2025-594 du 30 juin 2025) ; la loi s’appuyait auparavant sur la liste d’opposition Bloctel. Selon la CNIL, le consentement vaut au plus un an, sa preuve se conserve trois ans, et les appels ont lieu du lundi au vendredi, de 10 h à 13 h et de 14 h à 20 h, sauf accord du consommateur (CNIL, prospection par téléphone). Un voicebot qui appelle sans opérateur peut en outre relever de l’article L34-5 du Code des postes et des communications électroniques, qui interdit la prospection directe par système automatisé vers une personne physique sans son consentement préalable (Légifrance, CPCE art. L34-5).

Reste la vérification la plus simple : écouter le voicebot. Une démo en direct vous fait entendre comment il se présente, ce qu’il dit des données et comment il passe l’appel à une personne. Dans le tableau ci-dessous, la colonne « Démo en direct dans le navigateur » indique où c’est possible sans inscription.

Fournisseur par fournisseur

Que propose chaque fournisseur de voicebot IA ?

Sources des fournisseurs, lues le 11/10/2026 : en plus des pages liées dans les titres, politique de confidentialité d’AirAgent, mentions légales de Livoxia, documentation conformité de Retell, guide RGPD de Tala, tarifs de Fonio.

Comment avons-nous établi ce comparatif ?

Nous avons retenu les fournisseurs qui proposaient le 11 octobre 2026 un voicebot ou un agent vocal IA téléphonique en français, en partant de ceux qui reviennent le plus souvent dans les réponses des assistants IA à la question « voicebot IA en français conforme au RGPD : quels fournisseurs ? ». Nous avons lu leurs pages ce jour-là et repris uniquement ce que chaque fournisseur déclare : nous n’avons pas vérifié ces déclarations sur le terrain et nous ne notons ni ne jugeons les voix. Les textes de loi sont cités depuis EUR-Lex, Légifrance et le site de la CNIL. Si vous êtes fournisseur et souhaitez être ajouté ou corriger une donnée, écrivez à info@ainora.lt.