ServIA
Destiné aux dirigeants et responsables des opérations de PME qui s'apprêtent à confier à une IA le soin de répondre au téléphone, de gérer WhatsApp ou d'appeler leurs clients. Sans jargon : ce qu'impose chaque réglementation, ce qui se passe en cas de non-conformité et une liste de contrôle.
Depuis le 2 août 2026, une IA qui s'adresse à des personnes doit le dire dès le départ (AI Act, art. 50). Si vous enregistrez en plus l'appel, le RGPD continue de s'appliquer : informer, disposer d'une base légale et fixer la durée de conservation. Et si c'est vous qui appelez à des fins commerciales, il vous faut un consentement ou une autre base légale (Loi sur les télécommunications, art. 66) et vous devez respecter les horaires et les listes d'exclusion fixés par l'AEPD.
Le règlement européen sur l'intelligence artificielle (l'« AI Act ») s'applique par phases. Celle qui concerne presque toutes les entreprises est celle de l' article 50, sur la transparence : à partir de cette date, les systèmes d'IA conçus pour interagir directement avec des personnes doivent l'être de manière que la personne sache qu'elle a affaire à une IA. La seule exception : lorsque cela est évident pour une personne raisonnablement informée et attentive, et les lignes directrices de la Commission l'interprètent strictement : un réceptionniste vocal naturel qui décroche le téléphone de votre entreprise n'est pas « évident ».
En Espagne, le Gouvernement a approuvé le 26 mai 2026 le projet de loi organique pour le bon usage et la gouvernance de l'IA, qui transpose le règlement, renforce l' AESIA (Agence espagnole de supervision de l'IA) comme autorité et point de contact unique, et fixe le régime national de sanctions. Il est en cours d'examen au Parlement ; les obligations européennes s'appliquent déjà, avec ou sans cette loi.
Avant que la personne ne dise quoi que ce soit, l'agent s'identifie comme une IA. Cela vaut pour la voix, WhatsApp, le chat web et l'e-mail automatique. Il ne suffit pas de le mentionner dans les conditions générales ni de le dire à la fin.
L'AI Act n'oblige pas à enregistrer ; le RGPD encadre l'enregistrement si vous le faites : prévenir dès le début que l'appel est enregistré et pourquoi, avoir une base légale (consentement ou intérêt légitime documenté), fixer une durée de conservation et stocker l'audio de façon sécurisée. La transcription est une donnée personnelle au même titre que l'audio.
Depuis juin 2023, la Loi générale sur les télécommunications interdit les appels commerciaux non sollicités sauf consentement préalable ou autre base légale du RGPD. L'AEPD (Circulaire 1/2023) exige en outre de consulter la Liste Robinson et votre liste d'exclusion interne avant chaque campagne, d'identifier l'entreprise et le motif de l'appel, et de n'appeler qu'à des horaires raisonnables (du lundi au vendredi, entre 9 h et 21 h).
L'AI Act interdit depuis 2025 les pratiques manipulatrices ou qui exploitent des vulnérabilités. Concrètement, pour une PME, cela signifie deux choses : que l'agent ne se fasse pas passer pour une personne ni n'exerce de pression, et que les sujets sensibles (une plainte, une réclamation, un encaissement) soient transmis à quelqu'un de votre équipe. Conserver le journal de ce qu'a fait le système vous permet de le démontrer.
Celui qui développe le système est le « fournisseur » ; celui qui l'utilise dans son entreprise est le « déployeur ». Les deux ont des obligations, et celle de transparence incombe aux deux. Demandez par écrit à votre fournisseur comment il respecte l'article 50, où sont stockées les données et qui y accède, et signez avec lui un contrat de sous-traitance (RGPD, art. 28).
| Manquement | Texte | Sanction maximale |
|---|---|---|
| Ne pas informer que l'on s'adresse à une IA | AI Act, art. 99.4 | 15 M € ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Pour les PME et les startups, le plus faible des deux. |
| Pratiques interdites (manipulation, exploitation de vulnérabilités) | AI Act, art. 99.3 | 35 M € ou 7 % du chiffre d'affaires. |
| Enregistrer sans informer ou sans base légale ; ne pas répondre aux demandes d'exercice des droits | RGPD, art. 83 | Jusqu'à 20 M € ou 4 %, selon l'infraction. L'AEPD sanctionne souvent en dessous de ce plafond, mais elle sanctionne. |
| Appels commerciaux sans consentement | Loi 11/2022, art. 66 et RGPD | Infraction à la protection des données : l'AEPD a infligé des amendes de plusieurs centaines de milliers d'euros à des entreprises qui appelaient sans base légale. |
Ces chiffres sont des plafonds légaux. Pour une PME, le cas le plus courant n'est pas l'amende maximale : c'est la réclamation d'un client qui finit devant l'AEPD, et la charge de prouver que vous avez bien fait les choses. Disposer du registre est ce qui fait pencher ce dossier en votre faveur.
Cochez ce que vous avez déjà. L'état est enregistré dans ce navigateur pour que vous puissiez y revenir.
Les obligations sont les mêmes ; ce qui change, c'est l'endroit où elles vous contraignent le plus. Services techniques et maintenance · Cliniques et centres de santé · Écoles et organismes de formation.