IA vocale et AI Act : ce que les entreprises françaises doivent faire avant août 2026

Le 2 août 2026, une nouvelle obligation entre en vigueur pour toute entreprise qui utilise un agent vocal IA pour répondre à ses clients. Elle tient en une phrase : informer l'interlocuteur qu'il parle à une machine.

Derrière cette règle apparemment simple s'accumulent des responsabilités RGPD souvent ignorées, deux régimes de sanctions distincts, et des erreurs courantes qui peuvent coûter cher. Cet article décrit ce que vous devez mettre en place concrètement si vous utilisez - ou envisagez d'utiliser - un callbot ou un standard téléphonique IA en France.

Deux couches réglementaires qui se cumulent

Les entreprises françaises utilisant l'IA vocale font face à deux régimes qui s'appliquent simultanément.

Le premier est le RGPD, en vigueur depuis mai 2018. Il s'applique dès qu'une interaction téléphonique traite des données personnelles, c'est-à-dire dans pratiquement tous les cas : la voix est une donnée personnelle, le numéro de téléphone aussi, le motif d'appel aussi.

Le second est le Règlement européen sur l'IA (AI Act), entré en force le 1er août 2024. Ses principales obligations pour les systèmes conversationnels entrent en application le 2 août 2026. Ce n'est pas une mise à jour du RGPD. C'est une couche réglementaire supplémentaire, avec ses propres obligations et ses propres sanctions.

Les deux textes coexistent. Être conforme au RGPD ne vous dispense pas de l'AI Act.

Comment l'AI Act classe vos agents vocaux

L'AI Act distingue quatre niveaux de risque : risque inacceptable (systèmes interdits), haut risque, risque limité, et risque minimal.

Un callbot standard qui répond à des appels, qualifie des demandes ou prend des rendez-vous tombe dans la catégorie risque limité. Ces fonctionnalités Tala restent donc soumises aux obligations de transparence. Pas d'audit de conformité lourd, pas de certification obligatoire.

Mais "risque limité" n'est pas synonyme de "rien à faire". Cette catégorie déclenche les obligations de transparence de l'article 50 de l'AI Act, et elles s'appliquent à tous les systèmes qui interagissent directement avec des humains.

Deux situations font basculer vers un risque plus élevé :

Un agent vocal qui détecte les émotions de l'appelant (stress, colère, nervosité) relève d'une obligation de déclaration renforcée et sera considéré comme haut risque dans de nombreux contextes professionnels. Un système qui identifie des individus via leur empreinte vocale entre dans le régime des données biométriques, soumis à l'article 9 du RGPD et aux restrictions de l'AI Act sur l'identification à distance.

Si votre agent vocal ne fait ni l'un ni l'autre - ce qui est le cas de la grande majorité des callbots d'accueil et de prise de rendez-vous - vous restez en territoire risque limité.

L'obligation centrale : dire que vous êtes une IA

L'article 50 impose à toute entreprise qui déploie un agent vocal IA une obligation de divulgation : l'utilisateur doit être informé qu'il interagit avec un système artificiel, au plus tard lors de la première interaction.

Une phrase d'accueil comme "Bonjour, je suis l'assistante de la clinique Martin, comment puis-je vous aider ?" sans mention de l'IA sera non conforme à partir du 2 août 2026.

La formulation n'est pas imposée, mais l'information doit être claire. "Bonjour, vous êtes en contact avec notre assistant vocal IA" suffit. L'interlocuteur doit pouvoir comprendre sans ambiguïté qu'il ne parle pas à un humain.

Une exception existe : si le contexte rend l'interaction avec une IA "évidente pour une personne raisonnablement bien informée". Dans les faits, ne comptez pas dessus. Si votre appelant peut raisonnablement croire parler à un humain - et un bon agent vocal crée précisément cette impression - l'obligation de déclaration s'applique.

L'AI Act interdit aussi explicitement de concevoir un système pour tromper un utilisateur sur sa nature quand celui-ci demande directement s'il parle à une machine. Cette interdiction est en vigueur depuis le 2 février 2025, pas en août 2026.

Ce qui est déjà interdit depuis février 2025

Le 2 février 2025, les pratiques d'IA "à risque inacceptable" sont devenues illégales dans toute l'Union européenne. Pour les systèmes vocaux, deux interdictions à retenir.

Premièrement, un agent vocal conçu pour prétendre être humain quand un utilisateur le demande explicitement. Si votre callbot répond "oui" à la question "est-ce que je parle à un humain ?", vous violez l'AI Act depuis plus d'un an.

Deuxièmement, un système qui manipule psychologiquement les utilisateurs à leur insu pour les pousser à des décisions contre leur intérêt. Les outils de prospection téléphonique qui jouent sur l'urgence artificielle ou exploitent des biais cognitifs automatiquement peuvent tomber sous cette interdiction.

Données vocales et RGPD : les obligations en vigueur

Avant même l'AI Act, votre agent vocal est soumis au RGPD dès qu'il traite des données personnelles, ce qui est inévitable.

Base légale documentée. Vous devez identifier et documenter la base légale de chaque traitement. Pour un callbot d'accueil, c'est généralement l'intérêt légitime (article 6(1)(f) du RGPD) ou l'exécution d'un contrat. Pour un callbot de santé, le consentement explicite s'impose souvent.

Information des appelants. Les articles 13 et 14 du RGPD exigent que les personnes soient informées de qui traite leurs données, pourquoi, combien de temps, et quels sont leurs droits. Un message d'accueil mentionnant l'enregistrement et son but couvre une partie de cette obligation.

Analyse d'impact (AIPD). Si votre agent traite des données sensibles (santé, situation financière) ou des données à grande échelle, une analyse d'impact est obligatoire avant déploiement. C'est l'article 35 du RGPD.

Durée de conservation. Les enregistrements d'appels ne peuvent pas être conservés indéfiniment. Définir une durée, la documenter, mettre en place la suppression automatique.

La CNIL a prononcé 486,8 millions d'euros d'amendes en 2025, soit neuf fois plus qu'en 2024 (55,2 millions d'euros). L'organisme sera également désigné autorité compétente pour la majorité des systèmes IA à haut risque en France dès que l'AI Act sera pleinement applicable.

Ce que vous risquez : deux barèmes de sanctions

L'AI Act et le RGPD ont chacun leur propre grille de sanctions.

Côté AI Act : jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires annuel mondial pour les violations des règles concernant les systèmes à haut risque et les pratiques interdites. Pour le non-respect des obligations de transparence de l'article 50, le barème est de 15 millions d'euros ou 3% du CA mondial. Ces montants sont fixés par l'article 99 de l'AI Act.

Côté RGPD : 20 millions d'euros ou 4% du CA mondial pour les violations majeures, conformément à l'article 83 du RGPD.

Pour une PME avec 2 millions d'euros de chiffre d'affaires, 4% représente 80 000 euros. C'est un montant calculable et documenté dans les délibérations de la CNIL.

Ce que vous devez faire avant le 2 août 2026

Quatre actions concrètes pour mettre votre système vocal en conformité, en commençant par l'analyse des scripts d'appels réglementés.

Ajouter une déclaration explicite au début de chaque appel. "Ceci est un assistant vocal IA" ou équivalent. Simple, direct, pas de formulation juridique nécessaire.

Vérifier que votre agent ne prétend pas être humain. Si votre callbot a un prénom et un ton naturel, assurez-vous qu'il répond honnêtement si un utilisateur demande s'il parle à une machine.

Documenter votre base légale RGPD pour chaque type de traitement : enregistrement, transcription, qualification, transmission à un CRM. Cette documentation complète la sécurité des données vocales.

Mettre à jour votre politique de confidentialité pour mentionner explicitement le traitement des données d'appels par un système IA.

Si vous utilisez un prestataire pour votre agent téléphonique IA, vérifiez avec eux la conformité de la couche d'accueil et la documentation des traitements. Un prestataire sérieux doit vous fournir les éléments nécessaires à votre registre de traitements. Pour confronter ces éléments à votre cas d'usage, vous pouvez contacter Tala.

Consultez aussi notre checklist de conformité IA vocale RGPD pour les obligations déjà en vigueur, et notre article sur le déploiement d'un callbot IA si vous êtes en phase de choix de solution.

Questions fréquentes

Mon callbot doit-il être déclaré à la CNIL avant déploiement ?
La CNIL ne valide pas les traitements en amont. Ce n'est pas une déclaration préalable. Ce que vous devez tenir à jour, c'est votre registre de traitements (article 30 du RGPD). Si votre agent traite des données sensibles ou à grande échelle, une AIPD est obligatoire avant déploiement - vous la réalisez en interne.

Un message d'accueil automatique suffit-il pour respecter l'article 50 ?
Oui, si le message informe clairement que l'interlocuteur parle à un système IA. L'information doit être donnée au plus tard lors du premier échange. Elle ne peut pas être enterrée dans une longue liste de conditions ou mentionnée uniquement en bas de page du site.

L'AI Act s'applique-t-il aux entreprises non européennes qui appellent des clients français ?
Oui. L'AI Act s'applique aux entreprises dont les systèmes sont utilisés dans l'Union européenne, indépendamment de leur siège social. Une entreprise américaine qui déploie un callbot pour appeler des prospects en France est concernée par les mêmes obligations.

Mon agent vocal traite des données de santé. Quelles obligations supplémentaires ?
Les données de santé sont des données sensibles au sens de l'article 9 du RGPD. Vous avez besoin d'une base légale renforcée (consentement explicite dans la plupart des cas), d'une AIPD obligatoire, et d'un hébergement sur serveur certifié HDS si les données sont stockées en France. L'AI Act peut classer votre système en haut risque selon l'usage exact.

**Tala est un agent vocal IA développé et hébergé en France, conforme RGPD par conception. Chaque appel inclut la déclaration IA obligatoire dès l'accueil, les durées de conservation sont paramétrables, et nous vous fournissons la documentation pour votre registre de traitements.

À partir de 29 EUR HT/mois, avec 0,20 EUR HT par minute consommée au-delà du forfait.

Demander une démo