RGPD et AI Act dans un agent vocal, en pratique

Un enregistrement d appel contient des données personnelles de l appelant, et presque toujours de tiers mentionnés en chemin. Cela suffit à vous placer pleinement dans le champ du RGPD.

Il existe un cran supplémentaire. Si la voix sert à identifier la personne qui parle, elle devient une donnée biométrique, sous le régime renforcé de l article 9. Transcrire un appel n est pas la même chose que reconnaître quelqu un à sa voix, et il vaut mieux savoir dans lequel des deux cas vous êtes.

Vous êtes le responsable de traitement. La plateforme est sous-traitante. Les décisions importantes vous appartiennent, et il vous faut un contrat de sous-traitance signé, la liste des sous-traitants ultérieurs et une réponse claire sur le lieu de traitement.

Cela signifie aussi qu informer l appelant vous revient, pas à la plateforme. Vous pouvez le faire dans le message d accueil, et chez Lera ce message est modifiable précisément pour cela.

L hébergement est dans l Union européenne. Les six accords de sous-traitance avec les fournisseurs de voix sont signés.

L enregistrement des appels est désactivé par défaut. Si vous ne l activez pas, il n y a pas d audio à conserver, et le problème de rétention disparaît au lieu d être géré.

Quand un client clone sa voix, l échantillon audio n est pas conservé, seulement son empreinte cryptographique. Un échantillon vocal est une donnée biométrique et le garder sans en avoir besoin revient à garder le risque sans l avantage. S y ajoute la trace de qui a consenti, quand, depuis quelle adresse IP et avec quelle version du texte.

Le règlement européen sur l IA impose la transparence quand une personne interagit avec un système automatisé. En pratique, cela se règle en le disant dans le message d accueil.

Lera n impose pas cet avertissement depuis le moteur. Il figure dans l accueil par défaut et reste modifiable, car informer est votre obligation en tant que responsable et la formulation exacte dépend de votre contexte et de votre secteur. L imposer depuis la plateforme reviendrait à décider à votre place une chose que la loi vous attribue.

Où l audio est traité et stocké, avec le pays précis. La liste des sous-traitants ultérieurs. Combien de temps transcriptions et enregistrements sont conservés, et qui fixe ce délai. Si vous pouvez désactiver l enregistrement. Et comment vous exportez ou supprimez vos données le jour où vous partez.

Si une réponse arrive sous forme de plaquette au lieu d un écrit, considérez-le comme une information.

Ceci est une explication pratique, pas un conseil juridique. Votre cas dépend de votre secteur, des données concernées et de votre propre analyse de risque. Si vous traitez des données de santé ou biométriques, parlez à quelqu un qui signe.