Enregistrer les conversations d'agent vocal IA en conformité RGPD : le mode d'emploi
Vous voulez enregistrer les appels pour améliorer l'agent — sans violer le RGPD. Voici la procédure exacte : annonce, durée, droit d'accès, sécurisation. Sans approximation.
Enregistrer les appels d'un agent vocal IA est légitime : ça permet d'améliorer le prompt, de tracer les décisions, et de résoudre les litiges. Mais c'est régulé. Voici la procédure qu'on applique chez VocazAI, vérifiée par un cabinet RGPD.
L'annonce — non négociable#
Première phrase de l'agent : « Cet appel est traité par un assistant vocal automatique et peut être enregistré à des fins d'amélioration. Pour parler à un humain, dites 'agent humain' à tout moment ». 6 secondes. Sans ça, l'enregistrement est illégal — quel que soit votre prompt.
La base légale#
- Intérêt légitime (amélioration du service) : OK pour 90 jours d'enregistrement.
- Consentement explicite : OK pour conservation longue durée.
- Obligation légale (litige commercial) : OK pour 5 ans côté contrat.
- Marketing : INTERDIT sans consentement séparé.
La durée de rétention#
Audio brut : 30 jours maximum pour l'amélioration produit. Transcription anonymisée (sans noms ni téléphones) : 1 an pour l'analyse statistique. Au-delà, vous supprimez. Documentez la suppression dans votre registre de traitement RGPD.
La sécurisation#
- Chiffrement au repos (AES-256 minimum).
- Accès journalisé — qui a écouté quoi, quand.
- Hébergement dans la zone UE explicitement.
- Sous-traitants avec DPA signé (le LLM, le STT).
Les droits de l'appelant#
Tout appelant peut demander : accès à sa transcription, copie audio, suppression. Vous devez répondre en 30 jours. Pratiquement : un endpoint admin qui filtre par numéro de téléphone et exporte ou supprime. VocazAI le fournit dans le dashboard par défaut.
Le piège que personne ne mentionne#
Si vous utilisez un LLM via API externe (OpenAI, Anthropic), le prompt système peut inclure des données identifiables (« Marie Dupont a un RDV le mardi »). Cette info traverse les frontières. Solution : nettoyer les données identifiables AVANT envoi au LLM, ou choisir un provider hébergé en UE (Mistral).
Pour démarrer conforme#
Annonce ✓, 30 jours audio ✓, transcription anonymisée ✓, accès via dashboard ✓, DPA Mistral signé ✓. C'est le setup VocazAI par défaut. Premier mois gratuit pour valider votre conformité avec notre DPO interne.