IA, droit et protection des données
Assistant téléphonique IA et protection des données: ce que les PME suisses doivent savoir
Quelles données traite un assistant téléphonique IA
Un assistant téléphonique IA est un logiciel qui mène seul des appels entrants ou sortants: il comprend la parole, répond avec une voix synthétique et accomplit des tâches comme la prise de rendez-vous, le renseignement ou le transfert. Du point de vue de la protection des données, l'essentiel est que des données personnelles sont générées en continu: la voix elle-même, le nom, le numéro, la demande et souvent d'autres détails cités au passage.
- Les enregistrements vocaux et transcriptions sont des données personnelles; si la voix sert à identifier une personne, on obtient des données biométriques, donc sensibles.
- Les informations de santé, financières ou religieuses évoquées lors d'un appel sont sensibles et exigent une vigilance accrue.
- Les métadonnées comme le numéro, l'heure et la durée sont aussi des données personnelles, même sans nom.
Les bases de la nLPD pour les assistants vocaux
La loi applicable est la loi révisée sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023; l'autorité de surveillance est le PFPDT. Elle n'impose pas d'autorisation générale mais un traitement responsable. Celui qui déploie un assistant téléphonique IA est le «responsable du traitement» et garantit le respect des principes, que la technologie soit développée en interne ou achetée à un prestataire.
- Limitation de la finalité: n'utiliser les données que pour le but annoncé (p. ex. rendez-vous), pas en secret pour l'entraînement ou le marketing.
- Minimisation et proportionnalité: ne collecter et conserver que le nécessaire, avec des durées de conservation définies.
- Protection des données dès la conception et par défaut, plus un registre des activités; une analyse d'impact en cas de risque élevé.
- Droits des personnes: l'appelant peut demander accès, rectification et effacement; les processus doivent le permettre.
Obligation de transparence: signaler qu'il s'agit d'une IA
La transparence est le point le plus sensible. L'appelant ne doit pas être trompé: il doit pouvoir savoir qu'il parle à une machine et non à un humain. La nLPD exige une information adéquate sur le traitement des données. En parallèle, l'article 50 du règlement européen sur l'IA impose explicitement d'informer les personnes lorsqu'elles interagissent avec un système d'IA, sauf si cela est déjà évident. Ce règlement a une portée extraterritoriale et peut concerner des entreprises suisses s'adressant à des personnes dans l'UE.
- Annonce initiale: indiquer clairement et brièvement qu'un assistant IA répond, et proposer un accès à un humain.
- Enregistrement: enregistrer secrètement des conversations non publiques est punissable selon l'art. 179bis CP; n'enregistrer qu'avec information préalable et base juridique.
- Déclaration de confidentialité: documenter de façon accessible la finalité, les destinataires, la conservation et tout transfert à l'étranger.
Traitement: cloud, sous-traitants et transferts à l'étranger
La plupart des assistants téléphoniques IA s'appuient sur des services cloud et des modèles linguistiques de prestataires externes. Selon la nLPD, ce sont en général des sous-traitants: leur recours exige un contrat réglant finalité, sécurité et exclusion d'usages détournés, ainsi que le contrôle des sous-traitants ultérieurs. Si des données sont transférées à l'étranger, par exemple vers un centre de données américain, un niveau de protection adéquat doit être assuré, au besoin par des clauses contractuelles types et des mesures complémentaires.
- Vérifier où la parole est traitée et stockée: le lieu et la juridiction du prestataire sont décisifs.
- Exclure contractuellement l'usage du contenu des appels pour l'entraînement des modèles sans base juridique.
- Sécurité technique: chiffrement, contrôles d'accès et durées d'effacement définies pour enregistrements et transcriptions.
Erreurs fréquentes et courte liste de contrôle pratique
Beaucoup de problèmes viennent non de la technologie mais d'un manque de transparence et de responsabilités floues. Une PME suisse qui automatise son accueil téléphonique avec l'IA devrait la traiter comme tout autre traitement: documenté, minimal et traçable. Les points suivants résument les pièges typiques.
- Erreur: laisser l'appelant dans le doute. Mieux: annonce claire et option humaine.
- Erreur: tout enregistrer «au cas où». Mieux: seulement le nécessaire, avec durée et base juridique.
- Erreur: recourir à un prestataire sans contrat de sous-traitance. Mieux: régler contrat, sous-traitants et lieu des serveurs.
- Erreur: ne pas pouvoir traiter les droits des personnes. Mieux: prévoir un processus d'accès et d'effacement.
Questions fréquentes
Dois-je indiquer à l'appelant qu'un assistant téléphonique IA répond?
Oui, la transparence est centrale. L'appelant ne doit pas être trompé et doit pouvoir savoir qu'il parle à une IA. Cela découle du principe de transparence de la nLPD et, en cas de lien avec l'UE, explicitement de l'article 50 du règlement européen sur l'IA. Une annonce claire au début est la solution la plus simple.
Un assistant téléphonique IA peut-il enregistrer les appels?
Uniquement avec information préalable et une base juridique. Enregistrer secrètement des conversations non publiques est punissable en Suisse selon l'art. 179bis CP. Qui enregistre doit informer au début, préciser la finalité, limiter la durée de conservation et sécuriser les enregistrements.
Le règlement européen sur l'IA s'applique-t-il aux entreprises suisses?
C'est possible. Le règlement a une portée extraterritoriale et vise aussi les fournisseurs ou déployeurs hors UE lorsque leur système d'IA cible des personnes dans l'UE ou y produit des effets. Une PME suisse avec une clientèle dans l'UE devrait donc prévoir l'obligation de transparence de l'article 50. Ceci ne remplace pas un conseil juridique individuel.
Où sont traitées les données vocales d'un assistant téléphonique IA?
Cela dépend du prestataire et constitue une question clé. De nombreux services traitent la parole dans des centres de données cloud, parfois à l'étranger. Selon la nLPD, ces prestataires sont généralement des sous-traitants et nécessitent un contrat; pour les transferts à l'étranger, un niveau adéquat doit être assuré. Clarifiez le lieu des serveurs, les sous-traitants et l'usage éventuel pour l'entraînement.
Quelles premières étapes une PME doit-elle suivre avant le déploiement?
Définir la finalité et les types de données, vérifier le prestataire avec le lieu des serveurs et le contrat de sous-traitance, préparer l'annonce de transparence et la déclaration de confidentialité, fixer les durées de conservation et d'effacement, et mettre en place des processus pour les demandes d'accès et d'effacement. En cas de risque élevé, une analyse d'impact est recommandée. Cet aperçu est général et ne remplace pas un conseil juridique individuel.
Termes du glossaire
L’IA pratique pour votre entreprise
De l’idée à la mise en œuvre – nous vous montrons ce qui est concrètement possible dans votre cas.
Demander une démo