Aller au contenu principal
Audact
Explorer un workflow

RGPD

Le RGPD pour l’IA vocale et l’IA de chat : les obligations, et qui les porte.

En vigueur depuis le 25 mai 2018

Dernière révision : 8 octobre 2026

Le RGPD s’applique à toute organisation qui traite des données personnelles de personnes situées dans l’UE, quel que soit celui qui a conçu l’IA. Pour un agent vocal ou de chat, cela se résume à quatre choses : une base juridique pour chaque activité de traitement, une limite à ce que le système peut trancher seul, une information donnée au moment de la collecte, et la capacité d’effacer une personne sur demande. Audact intervient en tant que sous-traitant ; le client reste responsable du traitement tout au long.

Ce que la loi exige

Chaque activité de traitement (collecte, inférence, conservation) exige sa propre base juridique, et cette base doit être arrêtée avant le début du traitement.
Règlement (UE) 2016/679, art. 6, par. 1
Un enregistrement vocal, ou un contenu révélant la santé, les convictions ou l’orientation sexuelle, peut constituer une donnée de catégorie particulière. Il faut alors une base plus solide, comme le consentement explicite.
Règlement (UE) 2016/679, art. 9, par. 1 et art. 9, par. 2, point a)
Toute personne a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques ou l’affecte de manière significative de façon similaire. Lorsqu’une telle décision est permise, le responsable du traitement doit offrir une intervention humaine, le droit d’exprimer son point de vue et le droit de la contester.
Règlement (UE) 2016/679, art. 22, par. 1 et par. 3
L’information doit être donnée au moment de la collecte : qui est le responsable du traitement, les finalités, la base juridique, la durée de conservation, et si une prise de décision automatisée est en jeu.
Règlement (UE) 2016/679, art. 13 et 14
Une analyse d’impact relative à la protection des données (AIPD) est requise lorsque le traitement est susceptible d’engendrer un risque élevé, ce qu’est généralement une surveillance systématique recourant à une technologie nouvelle.
Règlement (UE) 2016/679, art. 35, par. 1 et par. 3
Un transfert hors de l’EEE exige un instrument du chapitre V : une décision d’adéquation, ou des clauses contractuelles types (SCC) étayées par une évaluation du pays de destination.
Règlement (UE) 2016/679, art. 44 à 46 · CJUE, C-311/18 (Schrems II)
Le palier supérieur d’amende est de 20 millions d’euros ou de 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Notez le sens : dans le règlement sur l’IA, le plafond applicable aux PME joue en sens inverse.
Règlement (UE) 2016/679, art. 83, par. 5

Ce qu’Audact fait à ce sujet

L’hébergement principal de l’application est à Francfort (AWS eu-central-1). Lorsqu’un sous-traitant ultérieur est détenu par une société américaine, le transfert s’effectue sous clauses contractuelles types et le registre des sous-traitants ultérieurs le nomme.
Opérationnel aujourd’hui
Une région de secours en Irlande (eu-west-1) est en cours de mise en place.
En développement
L’audio n’est pas conservé par défaut. Lorsqu’un client active l’enregistrement, il est conservé jusqu’à 90 jours puis supprimé ; les métadonnées de conformité et les empreintes sont conservées pendant la durée de conservation convenue.
Opérationnel aujourd’hui
Sur demande d’effacement, la clé qui déchiffre les données personnelles est détruite et la chaîne de preuves reste intacte. La question de savoir si les empreintes restantes peuvent encore être rattachées à une personne fait l’objet d’un nouveau test. Il n’y a pas de crypto-effacement automatique à la fin d’une durée de conservation.
En validation
Chaque interaction porte la base juridique sous laquelle elle a été placée, de sorte qu’une demande ultérieure d’accès ou d’opposition puisse être traitée à partir de l’enregistrement plutôt que de mémoire.
En développement

Rôles

Audact est le sous-traitant. Vous restez le responsable du traitement.

Audact traite les données personnelles sur instructions documentées du client et à aucune autre fin. Le client est donc le responsable du traitement : la partie qui décide pourquoi et comment les données sont traitées, et celle à laquelle une personne concernée ou une autorité de contrôle s’adresse en premier.

L’accord de traitement des données (DPA) type énonce les sous-traitants ultérieurs, les durées de conservation et l’assistance que nous devons pour les demandes d’accès, de rectification, d’effacement et de portabilité. Les clients grands comptes peuvent demander un accord sur mesure.

Article 22

La disposition qui détermine ce que votre agent peut trancher seul.

L’article 22 est la disposition du RGPD aux conséquences les plus lourdes pour un déployeur d’IA, et elle ne porte pas du tout sur l’information. Elle encadre la décision elle-même : un agent qui rejette une demande, refuse une réservation, déclenche un blocage antifraude ou fixe un prix sans qu’un humain n’en examine le fond s’y trouve en plein.

Dans l’arrêt SCHUFA (C-634/21), la Cour de justice a jugé qu’un score de probabilité produit par une partie et sur lequel une autre s’appuie pour déterminer la décision constitue en soi une prise de décision automatisée. Pour un fournisseur qui livre une logique de scoring ou d’éligibilité, cette lecture élargit considérablement l’exposition : la décision n’a pas à être la vôtre pour que l’article 22 atteigne le score que vous avez produit.

Transferts

Le chapitre V est une question sur les sous-traitants ultérieurs, pas sur votre appel.

Une pile d’IA vocale est assemblée à partir de composants, et la question du transfert suit chaque composant plutôt que le nom du produit sur la facture. La réponse honnête pour Audact est que l’hébergement principal de l’application est à Francfort, et qu’un petit nombre de sous-traitants ultérieurs sont détenus par des sociétés américaines et traitent les données sous clauses contractuelles types. Le registre des sous-traitants ultérieurs nomme chacun d’eux, de sorte qu’une analyse d’impact du transfert puisse être rédigée à partir de faits plutôt que d’assurances.

Remarque

De l’information, pas un conseil juridique.

Cette page expose les règles telles que nous les lisons, avec les numéros d’article pour que vous puissiez nous vérifier. Elle ne constitue pas un conseil juridique, et votre propre situation dépend de faits que cette page ne peut pas connaître. Prenez l’avis d’un conseil qualifié avant de vous y fier.

Questions

Audact conserve-t-il ce qui a été dit pendant l’appel ?
L’audio n’est pas conservé par défaut. Lorsqu’un client active l’enregistrement, il est conservé jusqu’à 90 jours puis supprimé. Les métadonnées de conformité et les empreintes cryptographiques sont conservées pendant la durée convenue. C’est de cela qu’est fait un reçu.
Audact est-il responsable du traitement ou sous-traitant ?
Sous-traitant. Le client reste le responsable du traitement et Audact ne traite que sur les instructions documentées du responsable du traitement, dans le cadre de l’accord de traitement des données type.
Comment fonctionne l’effacement si la chaîne de preuves doit rester recalculable ?
L’effacement repose sur le crypto-effacement (crypto-shredding) : sur demande d’effacement, la clé qui déchiffre les données personnelles est détruite, de sorte que ces données ne peuvent plus être lues, tandis que la chaîne de preuves reste intacte et se recalcule toujours. Les empreintes ne sont pas détruites ; selon la possibilité de rattachement et les informations complémentaires, elles peuvent encore constituer des données personnelles, et la question de savoir si les empreintes restantes peuvent encore être rattachées à une personne fait l’objet d’un nouveau test. Les enregistrements d’appels ne sont pas couverts par le crypto-effacement : effacer l’identité d’une personne n’efface pas un enregistrement, qui suit sa propre durée de conservation.
Le consentement RGPD couvre-t-il aussi l’opt-in ePrivacy ?
Non. ePrivacy est une lex specialis pour l’acte d’envoi d’une communication électronique et exige son propre opt-in préalable. Les deux sont appréciés séparément, et un consentement recueilli pour l’un ne vaut pas pour l’autre.

Voir ce que contient réellement un reçu

Trois champs de chaque reçu peuvent aujourd’hui être recalculés par n’importe qui : l’empreinte d’entrée, l’empreinte de sortie et l’empreinte de l’événement de preuve précédent. Sans clé, sans compte. L’inclusion de Merkle est le quatrième : elle se contrôle par rapport à la racine publiée, au moyen de la preuve d’inclusion tirée du rapport de l’article 50 de l’appel. Proof en présente un exemple, champ par champ.

Voir un reçu

Pages associées