Bases légales, surveillance des salariés, reconnaissance des émotions interdite, AIPD, contrats de sous-traitance et transferts internationaux
YARD Law Co. · Situation juridique vérifiée au 31 août 2026
Enregistrer un appel client et analyser cet enregistrement avec de l'IA ne constituent pas une seule et même opération juridique. Une entreprise peut avoir un motif licite d'enregistrer les appels et devoir néanmoins procéder à une analyse distincte de ce qui se passe lorsque ces enregistrements sont transcrits, notés, résumés, profilés ou transmis à un fournisseur d'IA externe.
La bonne question de conformité n'est donc pas « pouvons-nous utiliser l'IA sur nos appels ? » mais : quelles données traitons-nous, à quelles finalités, sur quelle base légale, via quels prestataires et avec quelles conséquences pour les clients et les salariés ?
Les dates sont déterminantes ici, car les obligations qui s'appliquent aujourd'hui à un centre de contact ne sont pas celles que décrit la plupart des commentaires.
Déjà applicable : les interdictions de l'article 5, dont la reconnaissance des émotions au travail sous réserve de l'exception légale pour raisons médicales ou de sécurité, et l'obligation de maîtrise de l'IA de l'article 4, toutes deux depuis le 2 février 2025. Dans sa rédaction issue du règlement (UE) 2026/1744, l'article 4 impose aux fournisseurs et aux déployeurs de prendre des mesures pour soutenir le développement de la maîtrise de l'IA chez leur personnel et chez les autres personnes qui utilisent des systèmes d'IA pour leur compte, et n'exige expressément pas de garantir un niveau déterminé de maîtrise de l'IA pour une personne donnée. L'applicabilité générale du règlement et le pouvoir de sanction de la Commission courent à compter du 2 août 2026.
Reporté : le règlement (UE) 2026/1744 a reporté les obligations centrales du chapitre III applicables aux systèmes à haut risque classés au titre de l'article 6, paragraphe 2 et énumérés à l'annexe III, du 2 août 2026 au 2 décembre 2027 en vertu de l'article 113 modifié, et celles relatives à l'IA à haut risque intégrée à des produits relevant de l'annexe I au 2 août 2028. Notre note sur ce qui est entré en vigueur et ce qui a glissé en donne le détail.
Conséquence pratique : l'interdiction de la reconnaissance des émotions au travail lie un centre de contact dès maintenant, tandis que le régime haut risque applicable aux systèmes d'évaluation des salariés est un sujet de 2027 à anticiper, non un motif de panique en 2026.
Non. Mais enregistrer une conversation téléphonique constitue un traitement de données à caractère personnel dès lors que l'enregistrement se rapporte à une personne identifiable. L'organisme doit identifier une base légale au titre de l'article 6 du RGPD et respecter les principes de transparence, de limitation des finalités, de minimisation, de conservation et de sécurité.
Le Comité européen de la protection des données traite directement de l'enregistrement des appels à des fins de qualité de service et indique que les clients doivent être informés notamment de la finalité de l'enregistrement, des destinataires, du droit d'opposition et du droit d'accès.
Les entreprises réduisent souvent cela à « faut-il un consentement ? ». La question est trop simple pour produire une réponse fiable.
Pas nécessairement. Le RGPD prévoit plusieurs bases possibles : consentement, nécessité contractuelle, obligation légale et intérêts légitimes. Celle qui s'applique dépend de la raison pour laquelle l'appel est enregistré et de ce qui est fait ensuite de l'enregistrement.
Lorsque l'on invoque l'intérêt légitime au titre de l'article 6, paragraphe 1, point f), le responsable du traitement doit pouvoir défendre une appréciation portant sur trois éléments :
Les lignes directrices du CEPD y voient une appréciation structurée, non une autorisation générale.
La base appropriée peut aussi varier selon la finalité. Enregistrer pour prouver une opération réglementée n'a pas la même finalité qu'enregistrer chaque appel commercial pour qu'un système d'IA note les capacités de persuasion d'un salarié. Les deux ne devraient pas être traités automatiquement comme une seule activité de traitement.
Supposons qu'une entreprise enregistre déjà licitement les appels, puis introduise un logiciel qui transcrit chaque conversation, la résume, identifie les sujets, évalue le sentiment, note le commercial, prédit si le client achètera, détecte les manquements de conformité et génère des recommandations de coaching.
Ce changement peut modifier substantiellement la nature, les finalités et les risques du traitement. Le nouveau traitement doit être cartographié séparément, plutôt que de présumer que l'autorisation d'enregistrer emporte l'autorisation de tout faire avec l'audio.
Les exigences de transparence du RGPD obligent le responsable du traitement à informer les personnes des finalités, de la base légale et des destinataires pertinents. Si l'usage de l'IA crée une nouvelle finalité ou un usage substantiellement différent des données, l'information existante et l'analyse de la base légale peuvent ne plus suffire.
Un déploiement en centre de contact traite généralement deux groupes à la fois : les clients, dont la voix et les propos sont enregistrés, et les conseillers, dont la performance et les conversations sont analysées en continu. Le second groupe est facile à oublier.
Une plateforme d'assurance qualité par IA peut produire des notes de conseillers, des classements, des profils comportementaux, des alertes de conformité, des formations recommandées, des déclencheurs disciplinaires et des éléments pour la promotion ou le licenciement. À ce stade, le système n'analyse plus seulement des clients : il surveille des travailleurs. Cela accroît l'importance de la proportionnalité, de la transparence, du droit du travail bulgare et du règlement sur l'IA.
C'est la question la plus immédiate en 2026 pour l'achat d'IA en centre de contact. L'article 5 du règlement sur l'IA interdit les systèmes d'IA destinés à inférer les émotions de personnes physiques sur le lieu de travail, sauf lorsque le système est destiné à des fins médicales ou de sécurité. Cette interdiction est en vigueur.
Les fournisseurs doivent donc être examinés attentivement lorsqu'ils commercialisent des fonctions décrites par des termes tels que :
Tout système étiqueté « analyse de sentiment » ne relève pas nécessairement de la définition de la reconnaissance des émotions du règlement sur l'IA. La fonction technique et la destination doivent être examinées. Mais l'étiquette employée par l'équipe commerciale n'est pas déterminante, et une entreprise doit comprendre ce que le modèle infère réellement, et à partir de quels signaux.
Le règlement sur l'IA encadre aussi certains systèmes utilisés dans l'emploi et la gestion des travailleurs. L'annexe III couvre certains systèmes d'IA utilisés dans le recrutement, ainsi que les systèmes servant à prendre des décisions affectant les relations de travail, à répartir les tâches selon des caractéristiques ou comportements personnels, et à surveiller ou évaluer les travailleurs.
Les obligations centrales du chapitre III applicables aux systèmes à haut risque classés au titre de l'article 6, paragraphe 2 et énumérés à l'annexe III s'appliquent à compter du 2 décembre 2027, à la suite de la modification de l'article 113 par le règlement (UE) 2026/1744. Une plateforme d'évaluation des salariés achetée aujourd'hui devrait néanmoins être classée et conçue au regard de ces règles, car un système choisi en 2026 fonctionnera normalement encore en 2027 - mais le régime complet de conformité haut risque n'est pas applicable en août 2026.
Le classement d'une plateforme d'analyse d'appels en catégorie haut risque dépend de sa destination et de son usage. Un outil de transcription qui ne crée que des notes consultables diffère nettement d'un système dont les notes déterminent substantiellement la promotion, le licenciement, la répartition des tâches ou les mesures disciplinaires. L'analyse doit suivre le déploiement réel, non la catégorie commerciale du logiciel.
Potentiellement. L'article 22 protège contre les décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques ou affectant la personne de manière significative de façon similaire.
Cela ne signifie pas que toute note de qualité générée par IA viole l'article 22. Mais dès lors que des notes automatisées déterminent des décisions significatives concernant des clients ou des salariés sans intervention humaine véritable, l'article 22 doit être apprécié. Un responsable qui clique sur « approuver » quelle que soit la recommandation de l'algorithme ne constitue pas nécessairement une décision humaine véritable.
Souvent la réponse devrait être oui - avant le déploiement, et non après un incident. L'article 35 du RGPD impose une AIPD lorsqu'un traitement, en particulier par le recours à de nouvelles technologies, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes.
Une analyse par IA à grande échelle de conversations enregistrées peut cumuler plusieurs facteurs aggravants :
Une AIPD n'est pas une formalité. Une AIPD utile oblige l'entreprise à répondre à ce que fait le système, quelles données y entrent et en sortent, quels résultats sont créés, qui les voit, combien de temps ils sont conservés, quelles décisions en dépendent, ce qui peut mal tourner et quelles garanties réduisent ce risque.
Cela compte particulièrement lorsqu'un centre de contact traite des appels pour plusieurs donneurs d'ordre. Les rôles ne se règlent pas par les seules qualifications contractuelles. Une même société peut être responsable pour une finalité et sous-traitant pour une autre.
Un client peut déterminer pourquoi les appels de ses clients sont passés et enregistrés, tandis que le centre de contact traite les enregistrements sur ses instructions. Mais si le centre de contact décide seul d'utiliser tous les enregistrements, tous clients confondus, pour entraîner son propre système d'analyse, l'appréciation des rôles est substantiellement différente.
Lorsqu'un fournisseur d'IA traite des données à caractère personnel pour le compte d'un responsable, l'article 28 du RGPD impose un encadrement contractuel adéquat de la sous-traitance et oblige les responsables à recourir à des sous-traitants présentant des garanties suffisantes. Le contrat fournisseur compte donc.
Avant de signer, l'entreprise devrait connaître les réponses aux questions suivantes :
Une assurance générale selon laquelle la plateforme est « conforme au RGPD » ne remplace pas ces réponses.
De nombreux fournisseurs d'IA, ou leurs sous-traitants ultérieurs, opèrent hors de l'Espace économique européen. Cela n'interdit pas d'utiliser le service. Mais le responsable du traitement doit déterminer s'il y a transfert et, le cas échéant, mettre en place l'outil de transfert et les garanties appropriés au titre du RGPD.
Cela doit être cartographié avant le déploiement, car un prestataire SaaS d'apparence européenne peut lui-même s'appuyer sur des infrastructures ou des sous-traitants situés ailleurs.
Il n'existe pas de durée de conservation universelle sous le RGPD. La durée doit être liée à la finalité, et une conservation indéfinie sera généralement difficile à justifier pour une finalité de contrôle qualité étroitement définie.
L'analyse doit aussi distinguer les différents artefacts qu'un seul appel produit désormais :
Supprimer l'audio tout en conservant un profil salarié permanent n'est, en aucun sens utile de la conformité, une suppression des données de l'appel.
L'approche la plus faible consiste à acheter le produit d'IA puis à rédiger l'information sur la vie privée. Une meilleure séquence :
| Étape | Ce qu'elle couvre |
|---|---|
| 1. Cartographier l'enregistrement actuel | Qui enregistre, pourquoi, sur quelle base, avec quelles informations et durées de conservation. |
| 2. Cartographier le système d'IA | Entrées, sorties, fonctions du modèle, fournisseurs, sous-traitants ultérieurs, transferts et usages décisionnels. |
| 3. Apprécier bases et rôles | Positions responsable/sous-traitant, base de l'article 6, questions salariés, article 22 et classification au titre du règlement sur l'IA. |
| 4. Réaliser l'AIPD | Lorsqu'elle est requise, avant le début du traitement à risque élevé. |
| 5. Mettre à jour contrats et transparence | Accords de l'article 28, mentions d'information, politiques internes, conditions fournisseur. |
| 6. Restreindre accès et conservation | Définir qui peut voir l'audio, les transcriptions, les notes et les profils, et pendant combien de temps. |
| 7. Former les utilisateurs | L'obligation de maîtrise de l'IA de l'article 4 s'applique depuis le 2 février 2025. Dans sa rédaction modifiée, elle appelle des mesures soutenant le développement de la maîtrise de l'IA chez le personnel et chez les autres personnes utilisant des systèmes d'IA pour le compte de l'entreprise, et non un niveau garanti pour une personne donnée. |
Pour les entreprises qui introduisent l'IA dans la vente ou le centre de contact, notre revue peut porter sur la solidité de la base RGPD de l'enregistrement existant ; les mentions d'information clients et salariés ; la répartition responsable/sous-traitant ; les contrats avec le fournisseur d'IA et ses sous-traitants ; les transferts internationaux ; la conservation ; les analyses d'intérêt légitime ; l'exigence d'AIPD et sa rédaction ; le profilage et les décisions automatisées ; la surveillance des salariés ; la classification au titre du règlement sur l'IA et le filtrage des pratiques interdites ; ainsi que les politiques internes d'usage de l'IA.
L'objectif n'est pas d'empêcher l'entreprise d'utiliser l'IA. Il s'agit d'identifier quelles parties du système envisagé peuvent être déployées normalement, lesquelles requièrent des garanties et lesquelles ne devraient pas être activées du tout.
Voir aussi notre note sur le règlement sur l'IA en août 2026 et notre pratique en protection des données.
Pas nécessairement. Le RGPD offre plusieurs bases légales possibles et la bonne dépend de la raison de l'enregistrement et de ce qui en est fait ensuite. Quelle que soit la base, les clients doivent recevoir les informations requises sur le traitement.
Pas automatiquement. L'analyse par IA peut introduire de nouvelles finalités, de nouveaux destinataires, du profilage, de nouveaux risques et des transferts internationaux. Ils appellent leur propre appréciation et ne sont pas couverts par la décision initiale d'enregistrer.
Une AIPD est requise par l'article 35 du RGPD lorsque le traitement est susceptible d'engendrer un risque élevé pour les personnes. L'analyse systématique à grande échelle de conversations enregistrées, le profilage et l'évaluation des travailleurs sont des facteurs qui rendent cela probable.
L'article 5 du règlement sur l'IA interdit les systèmes d'IA destinés à inférer les émotions de personnes physiques sur le lieu de travail, sauf pour des raisons médicales ou de sécurité. Cette interdiction s'applique depuis le 2 février 2025 et n'est pas affectée par le report de 2026 des règles haut risque.
Pas nécessairement. Ce qui compte est la fonction technique et la destination du système, non les mots employés dans le marketing du fournisseur. Il faut examiner l'inférence réellement opérée par le modèle et les signaux à partir desquels elle est faite.
Possiblement, mais les systèmes qui surveillent ou évaluent des travailleurs peuvent mobiliser en même temps le RGPD, le droit du travail bulgare et le règlement sur l'IA. Le poids de la note et les décisions d'emploi qui en dépendent sont les questions décisives.
Potentiellement, mais l'encadrement de la sous-traitance au titre de l'article 28 du RGPD et tout transfert de données hors de l'EEE doivent être appréciés avant le déploiement, y compris les transferts opérés par les sous-traitants ultérieurs du fournisseur.
Non. L'entreprise qui déploie le système reste responsable de ses propres finalités, bases légales, transparence, répartition des rôles et usage des résultats. Un fournisseur ne peut pas être conforme à votre place.
Ce guide est fourni en français à titre d'information. La communication avec les clients et le conseil juridique de YARD Law sont assurés en anglais et en bulgare. La version anglaise est la version source de cet article.
Cet article constitue une information générale au 31 août 2026 et ne constitue pas un conseil juridique sur un cas particulier. Les systèmes d'IA diffèrent sensiblement par leur fonction technique et leur destination, et la qualification juridique doit suivre le système réellement déployé. Les dates d'application du règlement sur l'IA sont échelonnées et ont été modifiées par le règlement (UE) 2026/1744 ; la situation doit être confirmée au regard du texte en vigueur au moment d'agir. Préparé par l'équipe juridique de YARD Law Co., cabinet d'avocats établi à Sofia, Bulgarie.
Vous introduisez l'IA dans l'enregistrement de vos appels ?
Bases légales, AIPD, surveillance des salariés, filtrage au titre du règlement sur l'IA et contrats fournisseurs.