Agent vocal IA en mairie et RGPD : ce que dit la loi
Confier son accueil téléphonique à une IA soulève des questions légitimes de la part des maires et des délégués à la protection des données. Voici le cadre, point par point — sans promesse absolue, avec les bons réflexes.
Disons-le d’emblée : aucun texte n’interdit un service d’accueil et d’information par IA pour une commune. En revanche, trois corpus l’encadrent — le RGPD et la loi Informatique et Libertés, le règlement européen sur l’IA, et le droit de la commande publique. Un dispositif bien conçu s’y conforme sans difficulté ; encore faut-il connaître les règles.
1. Transparence : l’IA doit se présenter comme telle
Le règlement européen sur l’intelligence artificielle (AI Act), dont les obligations de transparence s’appliquent depuis février 2025, impose qu’un utilisateur soit clairement informé qu’il interagit avec une machine. Concrètement, un agent vocal de mairie doit l’annoncer dès les premières secondes, par une formule du type « Vous êtes en relation avec l’assistante vocale de la mairie, un système d’intelligence artificielle ». C’est une obligation — et un choix de loyauté vis-à-vis des administrés.
2. Enregistrement des appels : le consentement ne se présume pas
Si les appels sont enregistrés, le cadre est strict. En France, enregistrer une conversation sans base légale valable expose à de lourdes sanctions. Surtout, rester en ligne ne vaut pas consentement : l’appelant doit être informé de la finalité et pouvoir refuser l’enregistrement sans être privé du service. Le consentement à l’enregistrement doit par ailleurs rester distinct de tout consentement commercial.
La bonne pratique : une mention légale claire en début d’appel, une finalité limitée (traiter la demande et améliorer le service de la commune), et un accès restreint aux seuls agents habilités.
3. Hébergement : des données en France
Les acheteurs publics exigent désormais, à juste titre, un hébergement souverain. Une solution conçue pour la confiance héberge les données en France (ou a minima dans l’Union européenne), hors de portée des législations extraterritoriales non européennes, avec chiffrement en transit (TLS 1.2 au minimum) et au repos (AES-256).
4. Minimisation et durées de conservation
Le principe de minimisation est central : on ne collecte que les données strictement nécessaires à la finalité déclarée. Les durées de conservation doivent être courtes et paramétrables — en pratique, on retient souvent un maximum de l’ordre de six mois pour d’éventuels enregistrements audio, et une durée plus longue, encadrée, pour les seules données de contact utiles au suivi d’une demande. Une purge automatique et un export sur demande complètent le dispositif.
5. Rôles : qui est responsable de quoi ?
Pour ce type de service, la commune reste responsable de traitement ; l’éditeur de la solution intervient comme sous-traitant au sens de l’article 28 du RGPD, encadré par un contrat de sous-traitance. La base légale, côté commune, relève de l’exécution de sa mission d’intérêt public. Une fiche de registre des traitements et une mention d’information des administrés doivent être prêtes ; selon le périmètre, une analyse d’impact (AIPD) peut être requise pour un traitement d’IA à plus grande échelle.
Un service d’information qui ne prend aucune décision et ne traite pas de données sensibles n’entre pas dans les catégories d’IA à « haut risque » du règlement européen.
Le réflexe qui limite le risque : ne pas décider, ne pas toucher à l’état civil
La meilleure conformité, c’est un périmètre volontairement étroit. Une assistante d’accueil bien pensée informe, prépare et transmet ; elle n’accorde rien, ne refuse rien, ne délivre aucun acte, et ne traite ni état civil ni données sensibles. Toute demande appelant une décision est routée vers l’agent compétent. Ce périmètre restreint est aussi le socle de la qualification juridique favorable du service.
Comment Mairelle aborde ces sujets
Mairelle est conçue pour être conforme — nous n’employons jamais la formule « 100 % conforme garanti », et les qualifications retenues sont confirmées par un conseil spécialisé avant commercialisation. Concrètement : transparence IA dès la première seconde, hébergement en France, conservation paramétrable (90 jours par défaut), et un kit de conformité remis à la commune (fiche de registre pré-remplie, mention d’information, modèle de délibération, contrat de sous-traitance). Les détails sont sur notre page Engagements & conformité.
Un doute sur votre situation ?
Le diagnostic d’accueil offert est aussi l’occasion de passer en revue, avec vous, le cadre juridique appliqué à votre commune. Cette page est une synthèse documentée, non un avis juridique.
Sources
Règlement (UE) 2024/1689 sur l’intelligence artificielle (obligations de transparence) · CNIL, guides « IA et RGPD » et guide de sensibilisation pour les collectivités territoriales · CNIL, note exploratoire sur l’IA agentique (2026) · analyses sectorielles sur l’enregistrement des appels et la conformité des agents vocaux.