RGPD réceptionniste IA : contrat sous-traitant et questions à poser

En bref. Quand une réceptionniste IA décroche, la répartition des rôles (responsable du traitement, sous-traitant) dépend de la situation et se fait confirmer par votre conseil. Avant de signer, obtenez par écrit un contrat qui réponde à l’article 28 du RGPD, la liste des sous-traitants ultérieurs soumis à votre autorisation, les lieux de traitement et le fondement des transferts hors de l’Union, une durée de conservation par finalité et les moyens d’effacer et d’exporter les données.

Quand une IA décroche, qui est responsable du traitement et qui est sous-traitant ?

La répartition des rôles entre le cabinet et le fournisseur d’une réceptionniste IA (responsable du traitement, sous-traitant) dépend de la situation. Les données en jeu sont la voix, les transcriptions et les résumés des appels. Avant de signer, faites confirmer la qualification de chacun par la personne chargée de la protection des données au cabinet ou par votre conseil.

Cette répartition dit qui doit vérifier quoi. L’article 28 du RGPD prévoit que le responsable du traitement ne fait appel qu’à des sous-traitants présentant des garanties suffisantes. La vérification incombe donc au cabinet, et le moment utile se situe avant la signature.

Le règlement européen sur l’intelligence artificielle (AI Act, règlement (UE) 2024/1689) emploie d’autres mots. Son article 3 appelle « fournisseur » la personne ou l’organisme qui développe ou fait développer un système d’IA et le met sur le marché ou le met en service sous son propre nom ou sa propre marque. Il appelle « déployeur » la personne physique ou morale qui utilise sous sa propre autorité un système d’IA, sauf usage personnel à caractère non professionnel. La qualification de votre cabinet au regard de ces définitions se vérifie avec votre conseil.

Les deux textes ne se répondent pas toujours terme à terme. L’Autorité de protection des données (APD), l’autorité belge, estime elle-même que l’interaction entre le RGPD et l’AI Act est complexe. Si votre délégué à la protection des données doit traiter les deux volets, faites-lui lire aussi les obligations de l’AI Act qui pèsent sur l’entreprise utilisatrice.

Que doit contenir le contrat de sous-traitance prévu par l’article 28 du RGPD ?

L’article 28 exige un contrat qui fixe notamment l’objet, la durée, la nature et la finalité du traitement, et qui oblige le sous-traitant à ne traiter les données que sur instruction documentée. Demandez ce document, souvent appelé DPA (de l’anglais data processing agreement) ou annexe de traitement des données, avant toute signature commerciale.

Lisez-le avec les questions suivantes, et notez pour chacune la clause qui y répond.

1. Le contrat décrit-il l’objet propre à un accueil téléphonique : voix pendant l’appel, transcription, enregistrement audio, résumé, coordonnées laissées pour un rendez-vous ? Un texte générique sur des « données clients » ne suffit pas à savoir ce qui est traité.
2. Quelle est la durée du traitement, et que deviennent les données à la fin du contrat ? La réponse doit figurer dans le texte, pas dans un échange commercial.
3. La finalité décrite correspond-elle à vos usages réels (répondre, prendre rendez-vous, transmettre une demande) ? Si vous prévoyez un usage supplémentaire, il doit y apparaître.
4. Où sont écrites vos instructions documentées ? Le texte d’accueil, la base de connaissances et les consignes que vous donnez à l’assistante en font partie ; demandez que le contrat reconnaisse cette configuration comme instruction du cabinet.
5. Les données des appels servent-elles à une autre finalité que l’exécution du service, par exemple l’amélioration de modèles ou des statistiques internes ? Exigez une réponse écrite qui renvoie à une clause précise, qu’elle soit positive ou négative.

Erreur fréquente : signer les conditions générales en pensant qu’elles valent contrat de sous-traitance. Elles peuvent contenir les mentions de l’article 28, ou ne pas les contenir ; seule une lecture clause par clause permet de le savoir. Si elles renvoient à une annexe, obtenez cette annexe dans sa version datée.

Cette grille vaut pour tout prestataire qui reçoit vos appels, y compris un secrétariat humain externalisé. Elle offre une base commune pour comparer IA et télésecrétariat sur le terrain des données, en plus du service rendu.

Les sous-traitants ultérieurs : obtenir la liste et le droit d’autoriser

Exigez la liste écrite des sous-traitants ultérieurs, c’est-à-dire des prestataires auxquels votre fournisseur confie à son tour une partie du traitement, et une clause qui les soumet à votre autorisation écrite. L’article 28 du RGPD prévoit en effet que le sous-traitant ne recrute pas d’autre sous-traitant sans autorisation écrite du responsable.

La voix des appels traités par Léa est acheminée et traitée par des sous-traitants techniques, dont certains sont établis aux États-Unis. Ce constat ne tranche rien à lui seul ; il rend la liste indispensable.

Pour chaque ligne de cette liste, demandez quatre informations : le nom du prestataire, son rôle dans le traitement, son pays d’établissement et les catégories de données qu’il reçoit (audio, texte, numéro de téléphone, adresse e-mail). Une liste qui donne des noms sans rôle ni pays ne vous permet ni de remplir votre registre ni d’informer vos appelants.

Interrogez ensuite le fournisseur sur les changements. Comment serez-vous prévenu de l’arrivée d’un nouveau prestataire, et par quel canal ? De combien de temps disposerez-vous pour réagir ? Que se passe-t-il si le cabinet refuse : maintien de l’ancien prestataire, possibilité de résilier sans pénalité, ou rien de prévu ? Dans ce dernier cas, l’autorisation écrite n’a plus de portée pratique, et le point mérite d’être renégocié avant la signature.

Où la voix et les transcriptions sont-elles traitées, et sur quelle base sortent-elles de l’Union ?

Demandez le pays de traitement et de stockage pour chaque catégorie de données, puis, pour tout prestataire situé hors de l’Union, le fondement juridique du transfert. L’article 44 du RGPD ne permet un transfert de données personnelles vers un pays tiers que si les conditions du chapitre V du règlement sont respectées.

Posez la question catégorie par catégorie, car une même conversation passe par plusieurs étapes.

• La voix pendant l’appel : dans quels pays est-elle acheminée, convertie en texte et traitée par le modèle qui répond ?
• L’enregistrement audio, quand il existe : où est-il stocké, et qui peut y accéder ?
• La transcription écrite : où est-elle conservée, et transite-t-elle par un autre prestataire pour produire le résumé ?
• Le résumé et l’e-mail envoyé après l’appel : par quel service d’envoi passent-ils ?
• Les données de rendez-vous et les SMS de confirmation : quel prestataire les traite, et dans quel pays ?

Une mention générale sur la localisation de l’hébergement ne dit pas où la voix est traitée : demandez la réponse catégorie par catégorie. Pour Léa, la présence de sous-traitants établis aux États-Unis impose de traiter la question du chapitre V dans le dossier.

Pour chaque transfert, exigez par écrit le mécanisme du chapitre V que le fournisseur invoque et le document qui le matérialise. Posez aussi la question de l’éditeur lui-même : Assist-iA est édité par M&R TECH LTD, société de droit anglais et gallois établie au Royaume-Uni ; demandez comment ce point est traité au regard du chapitre V.

Reportez ensuite chaque transfert à deux endroits : dans l’information des appelants, puisque l’article 13 cite l’éventuel transfert hors de l’Union parmi les mentions à fournir, et dans votre registre de traitement.

Combien de temps garder enregistrements et transcriptions : règle belge, règle française

Aucun texte ne fixe une durée unique. Le RGPD (article 5, paragraphe 1, e) impose de conserver les données sous une forme identifiante pendant une durée n’excédant pas celle nécessaire aux finalités du traitement. En Belgique, la loi du 30 juillet 2018 et, en France, la fiche de la CNIL donnent des repères. Nommez donc d’abord la finalité de chaque enregistrement, puis appliquez la règle de votre pays.

En Belgique : deux finalités, deux durées

L’article 10/1 de la loi du 30 juillet 2018, inséré par la loi du 21 décembre 2021 et en vigueur depuis le 10 janvier 2022, distingue deux cas. Le § 1er autorise l’enregistrement comme preuve d’une transaction commerciale ou d’une autre communication professionnelle, à condition d’informer les parties au préalable ; ces données sont effacées au plus tard à la fin de la période pendant laquelle la transaction peut être contestée en justice. Le texte ne chiffre pas cette période : votre conseil juridique peut la déterminer pour votre situation. Le § 2 vise l’enregistrement destiné uniquement au contrôle de la qualité du service dans les centres d’appels.

En France : les repères de la CNIL

La fiche de la CNIL sur l’écoute et l’enregistrement des appels, datée du 5 mai 2009, est signalée par la CNIL elle-même comme obsolète et en cours de mise à jour. Elle reste le repère publié, avec une bonne pratique : écouter les enregistrements dans les jours qui suivent, rédiger les documents d’analyse, puis supprimer les enregistrements à bref délai.

Un cabinet comptable liégeois qui enregistre ses appels comme preuve d’une communication professionnelle relève du § 1er : il informe les appelants avant l’enregistrement et fait déterminer par son conseil la période de contestation en justice qui fixe la date d’effacement. Un cabinet lyonnais retient au plus six mois pour les enregistrements et un an pour les documents d’analyse, sauf texte ou justification particulière.

Après chaque appel traité par Léa, la plateforme conserve la transcription écrite et, quand il est disponible, l’enregistrement audio. Demandez par écrit si une durée de conservation peut être fixée au contrat ou si la purge repose sur le cabinet, appel par appel ; ne supposez aucun effacement automatique.

Effacer un appel, exporter ses données, sortir du contrat : ce qu’il faut tester

Testez trois gestes dans l’outil avant de signer : supprimer un enregistrement, retrouver un appel précis, exporter vos données. Un droit écrit au contrat mais impraticable dans l’interface ne vous aidera pas le jour où un appelant l’exerce.

Un appelant demande l’effacement de son enregistrement

Vérifiez que la suppression à l’unité existe et qu’elle laisse une trace. Sur la plateforme d’Assist-iA, un enregistrement peut être supprimé à l’unité au titre du RGPD, et l’opération est journalisée ; demandez si ce journal vous est accessible. Erreur fréquente : effacer l’audio en oubliant le reste. La transcription conservée sur la plateforme et le résumé reçu par e-mail contiennent eux aussi les propos de l’appelant. Demandez comment la transcription se supprime, et effacez l’e-mail dans la boîte de chaque destinataire.

Un appelant demande à accéder à ses données

Vous devez retrouver l’appel concerné. L’e-mail envoyé après chaque appel mentionne le numéro de l’appelant et la date, ce qui aide à le repérer ; vérifiez ensuite que vous pouvez consulter la transcription et récupérer l’enregistrement de cet appel précis.

Vous quittez le fournisseur

Le titulaire d’un compte peut exporter ses données (compte, appels, contacts, conversations) ; les enregistrements audio n’y figurent pas et s’obtiennent appel par appel. Si vous devez conserver une partie des enregistrements au-delà du contrat, prévoyez le temps de les récupérer un à un, ou décidez lesquels sont réellement utiles. Exigez enfin par écrit le sort des données chez le fournisseur et chez ses sous-traitants après la résiliation : suppression, restitution, délai, et la preuve que vous en recevrez.

Ce que le fournisseur doit vous donner pour remplir votre registre de traitement

Le registre des activités de traitement est tenu par le cabinet (article 30 du RGPD). Demandez au fournisseur les éléments qui permettent de rédiger la fiche « accueil téléphonique par IA ». Partez de ce que l’outil produit réellement, appel après appel.

Avec Léa, un résumé de deux ou trois phrases, les actions de suivi, le ton de l’appel (positif, neutre, négatif) et les sujets abordés sont produits automatiquement. Le titulaire du compte reçoit un e-mail avec le numéro de l’appelant, la durée, la date, ce résumé, une qualification de la demande, l’action suivante proposée et le lien vers l’enregistrement. Le détail de cette fiche produite après chaque appel sert aussi à décrire les catégories de données.

Profitez de cet exercice pour limiter la diffusion de l’e-mail de résumé. S’il part vers une boîte partagée lue par toute l’équipe, chaque lecteur devient destinataire des données à inscrire au registre.

Décidez aussi si une analyse d’impact s’impose. L’article 35 la prévoit avant un traitement susceptible d’engendrer un risque élevé, en particulier par le recours à de nouvelles technologies. Faites apprécier par votre conseil en protection des données si votre usage de l’assistante vocale entre dans ce cas, et documentez la conclusion.

Informer les appelants : qui rédige le texte et ce qu’il doit couvrir

L’information des appelants relève du cabinet, et c’est son texte d’accueil qui la porte. La plateforme n’ajoute d’elle-même aucune mention d’intelligence artificielle ni d’enregistrement : le texte configuré est prononcé tel quel, et ce qu’il annonce dépend entièrement de sa rédaction.

Vérifiez aussi ce que dit l’accueil quand aucun texte n’a été personnalisé. Configuré depuis le tableau de bord, l’accueil par défaut se présente comme « l’assistant IA » ; celui de l’assistante créée automatiquement à l’ouverture du compte (« Bonjour, vous avez contacté (nom de l’entreprise). Comment puis-je vous aider ? ») ne mentionne pas l’intelligence artificielle. Dans les deux cas, ni l’enregistrement ni sa finalité ne sont annoncés.

Le texte doit couvrir plusieurs exigences, de sources différentes.

• RGPD, article 13, valable dans toute l’Union : au moment de la collecte, l’identité et les coordonnées du responsable, les finalités et la base juridique, les destinataires, l’éventuel transfert hors de l’Union, la durée de conservation et les droits d’accès, de rectification, d’effacement, de limitation et d’opposition.
• Belgique, enregistrement de preuve : les parties sont informées, avant l’enregistrement, de l’enregistrement, de ses objectifs précis et de la durée de stockage.
• France, fiche CNIL : une mention orale en début de conversation (existence du dispositif, finalité, possibilité de s’y opposer), puis un renvoi vers une information complète, par exemple sur un site web ; le droit d’opposition est signalé avant la fin de la conversation.
• AI Act, article 50 : l’information sur l’interaction avec un système d’IA est fournie de manière claire et reconnaissable au plus tard au moment de la première interaction.

L’article 13 contient trop de mentions pour une phrase d’accueil. Pour rédiger cette notice, demandez au fournisseur la liste des destinataires et des transferts : vous ne pouvez pas l’inventer. Un guide dédié aide à rédiger les mentions d’accueil phrase par phrase.

Cabinets de santé : les questions supplémentaires en Belgique et en France

Un appel pour un rendez-vous médical peut contenir des données de santé (motif de consultation, symptôme évoqué), qui relèvent des catégories particulières de l’article 9 du RGPD, interdites par principe sauf exceptions. L’exception du point h) couvre notamment les diagnostics médicaux et la prise en charge sanitaire, et le paragraphe 3 exige alors que les données soient traitées par un professionnel de la santé soumis au secret professionnel, ou sous sa responsabilité, ou par une autre personne également soumise à une obligation de secret.

Ajoutez donc à la grille une question précise : par quel engagement écrit le fournisseur et chacun de ses sous-traitants sont-ils tenus à la confidentialité des propos des patients ? Une réponse orale ou une page commerciale ne remplace pas une clause.

Un cabinet dentaire à Bruxelles

Comme dans toute l’Union, l’article 35 du RGPD rend l’analyse d’impact notamment requise pour le traitement à grande échelle de données de santé : faites apprécier par votre délégué à la protection des données si votre volume d’appels entre dans ce cas, et documentez sa conclusion. Le régime « HDS » relève du code de la santé publique français.

Un cabinet de kinésithérapie à Lille

En France s’ajoute l’article L1111-8 du code de la santé publique : la prestation d’hébergement de données de santé recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social fait l’objet d’un contrat, et l’hébergeur sur support numérique est titulaire d’un certificat de conformité délivré par un organisme accrédité (régime dit « HDS »). Demandez si l’hébergeur dispose de ce certificat et réclamez-en la preuve ; ne le présumez pas.

Dans les deux pays, réduisez ce que l’assistante recueille. Dans le préréglage « médecin généraliste » de la plateforme, la consigne donnée à Léa lui interdit de donner un conseil médical, de poser un diagnostic ou de commenter un résultat ; son rôle est d’organiser le rendez-vous en appliquant les règles fixées par le cabinet. Il s’agit d’une consigne donnée à l’assistante, que vous complétez par les vôtres, par exemple ne demander qu’un motif succinct. La page consacrée à l’accueil IA d’un cabinet médical décrit ce cadre.

Avant de signer : les documents à avoir en main et l’ordre pour les obtenir

Bouclez la vérification en cinq étapes, et conservez chaque réponse écrite du fournisseur dans un dossier daté. Ce dossier vous aide à documenter que vous avez fait appel à un sous-traitant présentant des garanties suffisantes.

1. Désigner les rôles. Nommez qui pilote le dossier (dirigeant, référent chargé de la protection des données ou gestionnaire du cabinet) et qui valide la décision finale. Sans pilote, les questions restent en suspens pendant que la signature commerciale avance.
2. Envoyer la grille par écrit. Transmettez au fournisseur les questions des sections précédentes et exigez des réponses écrites, datées, que le contrat reprend ou auxquelles il renvoie. Une réponse donnée au téléphone par un commercial n’engage personne.
3. Réunir les pièces. Contrat de sous-traitance, liste des sous-traitants ultérieurs avec rôle et pays, fondement écrit de chaque transfert hors de l’Union, politique de conservation, description des mesures de sécurité ; pour un cabinet de santé en France, la preuve du certificat HDS de l’hébergeur.
4. Tester et rédiger. Supprimez un enregistrement de test, vérifiez la trace laissée, lancez un export. Rédigez ensuite le texte d’accueil et la notice d’information à partir des destinataires et transferts obtenus à l’étape 3. Pour entendre l’assistante conduire un appel, une démonstration personnalisée permet de poser vos questions sur votre propre cas.
5. Documenter. Mettez à jour le registre de traitement, rédigez ou complétez l’analyse d’impact si elle s’impose, puis archivez le dossier avec la version signée du contrat.

Un signal doit vous arrêter : un fournisseur qui revendique une « conformité RGPD » ou « AI Act » globale sans fournir les pièces de l’étape 3. Une telle affirmation ne remplace ni le contrat de l’article 28, ni la liste des sous-traitants, ni le fondement des transferts. Demandez les documents ; leur absence est une réponse.

Appelez la ligne découverte +32 460 25 96 64 ou demandez une démonstration personnalisée.

Questions fréquentes

Un fournisseur établi au Royaume-Uni peut-il être sous-traitant d’un cabinet belge ?

Le RGPD n’interdit pas ce choix : il exige des garanties suffisantes et un contrat conforme à l’article 28. Le Royaume-Uni étant hors de l’Union, la question des transferts se pose aussi : l’article 44 subordonne tout transfert vers un pays tiers au respect du chapitre V.

Faut-il un contrat de sous-traitance séparé des conditions générales ?

Le traitement par un sous-traitant doit être régi par un contrat (article 28 du RGPD). Ce contrat fixe notamment l’objet, la durée, la nature et la finalité du traitement, et le sous-traitant ne traite les données que sur instruction documentée. Vérifiez la présence de ces clauses une à une dans les documents proposés et conservez la version datée du document que vous acceptez.

Le cabinet peut-il désactiver l’enregistrement audio des appels ?

Posez la question au fournisseur et obtenez la réponse par écrit. Sur la plateforme qui fait fonctionner Léa, la transcription écrite de chaque appel est conservée, ainsi que l’enregistrement audio quand il est disponible, et un enregistrement peut être supprimé à l’unité. Si vous ne souhaitez pas conserver l’audio, demandez quelles options existent, comment la transcription est traitée, et qui procède à la suppression.

Qui répond à un appelant qui demande à écouter son enregistrement ?

Le responsable du traitement (qualité à confirmer pour votre cabinet) informe l’appelant de ses droits, dont le droit d’accès (article 13 du RGPD) ; vérifiez dans le contrat comment le fournisseur vous aide à répondre à une demande. En pratique, il faut retrouver l’appel, par exemple grâce au numéro et à la date figurant dans l’e-mail de résumé, puis récupérer la transcription de cet appel et, quand il est disponible, son enregistrement audio, qui s’obtient appel par appel. Testez ce parcours avant de signer, pour savoir combien de temps il prend et qui dans l’équipe sait le faire.

Les obligations de l’AI Act s’appliquent-elles déjà à un accueil par IA ?

Oui pour l’obligation d’information. Les obligations de l’article 50 du règlement (UE) 2024/1689 s’appliquent depuis le 2 août 2026, date que le règlement (UE) 2026/1744 n’a pas reportée. L’article 50, paragraphe 1, vise les fournisseurs : les personnes sont informées qu’elles interagissent avec un système d’IA, sauf si cela ressort clairement du contexte, au plus tard à la première interaction. Comme la plateforme n’ajoute aucune mention d’elle-même, c’est en pratique le texte d’accueil configuré qui porte cette information : ses mentions dépendent de sa rédaction, et l’accueil par défaut ne mentionne l’IA que dans certains cas.

Que faire si le fournisseur change de sous-traitant en cours de contrat ?

Le RGPD prévoit que le sous-traitant ne recrute pas d’autre sous-traitant sans autorisation écrite du responsable du traitement. Vérifiez donc que le contrat organise la notification des changements et votre droit de refuser. À réception d’un avis, examinez le rôle et le pays du nouveau prestataire, le fondement d’un éventuel transfert hors de l’Union, puis mettez à jour votre registre et la notice d’information des appelants.

Le résumé envoyé par e-mail est-il une donnée personnelle à protéger ?

Oui. L’e-mail envoyé après chaque appel contient le numéro de l’appelant, la date, la durée, un résumé de la conversation, une qualification de la demande et un lien vers l’enregistrement. Ces éléments permettent d’identifier la personne et décrivent sa demande. Limitez les destinataires, évitez les boîtes partagées sans nécessité, inscrivez ces destinataires au registre et pensez à supprimer ces e-mails quand un appelant demande l’effacement.

L’Autorité de protection des données a-t-elle publié des repères sur l’IA ?

Oui. L’autorité belge a publié le 19 septembre 2024 la brochure « Les systèmes d’intelligence artificielle et le RGPD », destinée notamment aux responsables du traitement et aux sous-traitants qui déploient des systèmes d’IA ; sa version française en ligne est datée de décembre 2024. Elle a publié le 13 avril 2026 une seconde brochure, « L’impact de l’intelligence artificielle sur la vie privée », destinée aux citoyens.

Sources

• Règlement (UE) 2016/679 (RGPD) : Texte des articles 5, 9, 13, 28, 30, 35 et 44 qui fondent chaque question de la grille.
• Règlement (UE) 2024/1689 (AI Act) : Définitions de fournisseur et de déployeur (article 3) et obligation d’information de l’article 50.
• Loi belge du 30 juillet 2018, texte consolidé (article 10/1) : Conditions d’information et durées de conservation des enregistrements de communications en Belgique.
• APD, brochure « Les systèmes d’intelligence artificielle et le RGPD » : Repères de l’autorité belge pour les responsables du traitement et sous-traitants qui déploient des systèmes d’IA.
• CNIL, « L’écoute et l’enregistrement des appels sur le lieu de travail » : Information en deux temps et repères de durée de conservation des enregistrements en France.
• Article L1111-8 du code de la santé publique : Régime français d’hébergement des données de santé (HDS) à vérifier pour un cabinet de santé en France.

Informations vérifiées le 12 octobre 2026 à partir des sources citées. Cet article est une information générale, pas un conseil juridique.