Enregistrement des appels et IA vocale : ce que dit la CNIL

Où en sont les textes

À notre connaissance, la CNIL n'a pas encore publié de texte consacré à la transcription ou à l'analyse des appels par l'IA. Les règles applicables se trouvent dans plusieurs de ses publications, à lire ensemble :

• —La fiche « L'écoute et l'enregistrement des appels sur le lieu de travail », la référence sur le sujet. Elle date du 5 mai 2009 et la CNIL la signale comme « obsolète et en cours de mise à jour ». Ses durées de conservation sont reprises dans le référentiel de la CNIL sur les durées de conservation en gestion des ressources humaines, publié le 2 avril 2026 et mis à jour le 20 mai 2026.
• —La fiche sur le contrôle de l'activité des personnes employées, mise à jour le 9 juillet 2026, qui fixe les conditions de tout dispositif de contrôle.
• —Deux fiches plus ciblées : la capture d'écran couplée aux appels (17 septembre 2019) et l'enregistrement comme preuve d'un contrat (25 avril 2022).
• —Les questions-réponses de la CNIL sur le règlement européen sur l'IA, mises à jour le 17 août 2026.

Dans son programme de travail 2026, publié le 7 avril 2026 et présenté comme indicatif, la CNIL annonce des travaux sur « l'analyse automatique des communications vocales ». Elle veut clarifier, à partir de cas d'usage, les conditions de mise en œuvre des outils de transcription et d'analyse automatique, notamment dans les centres d'appels. Elle prévoit aussi de finaliser ses travaux sur l'IA au travail, en particulier sur les biais algorithmiques et les garanties pour les salariés.

Enregistrer les appels : ponctuel, pas systématique

La fiche de la CNIL sur l'écoute et l'enregistrement des appels admet ces dispositifs « en cas de nécessité reconnue », s'ils sont « proportionnés aux objectifs poursuivis ». L'employeur peut mettre en place une écoute ou un enregistrement ponctuel pour :

• —former les salariés ;
• —les évaluer ;
• —améliorer la qualité du service ;
• —dans certains cas limités prévus par un texte légal, prouver la conclusion d'un contrat ou d'une transaction.

Les limites sont nettes. Pas d'écoute ni d'enregistrement « permanent ou systématique », sauf texte légal : la CNIL cite les services d'urgence. Enregistrer tous les appels pour lutter contre les incivilités n'est pas admis non plus. La CNIL demande alors un moyen moins intrusif, par exemple un système qui permet au salarié de déclencher lui-même l'enregistrement en cas de problème.

Source : CNIL, « L'écoute et l'enregistrement des appels sur le lieu de travail »

Un centre d'appels sanctionné

Le 5 juin 2024, la CNIL a publié une sanction contre une société qui gérait un centre d'appels de télésecrétariat. Elle enregistrait systématiquement la totalité des appels entrants et sortants, pour la formation, l'évaluation et en cas de litige. La CNIL a retenu un manquement au principe de minimisation des données : un enregistrement « ponctuel et aléatoire » suffit pour former les salariés, et tout enregistrer n'était pas davantage nécessaire au service ni à d'éventuelles réquisitions judiciaires. La société a reçu une amende.

Source : CNIL, sanctions en procédure simplifiée, 5 juin 2024

Enregistrer pour prouver un contrat

Enregistrer un appel pour prouver qu'un contrat a été conclu est possible, à condition que ce soit nécessaire : l'organisme doit démontrer qu'il n'a pas d'autre moyen de le prouver. La CNIL distingue deux cas :

• —Les contrats qui exigent un écrit : l'enregistrement n'est pas nécessaire. La CNIL cite le démarchage téléphonique, où le consommateur n'est engagé qu'après avoir signé l'offre sur un support durable (article L. 221-16 du code de la consommation).
• —Les contrats conclus à l'oral : l'enregistrement semble possible, mais seulement pour la partie de l'appel qui porte clairement sur la conclusion du contrat, et seulement s'il n'existe pas d'autre preuve, comme une confirmation écrite.

L'enregistrement ne peut pas être déclenché par défaut, de façon automatique, pour tous les appels. La CNIL donne l'exemple d'un téléopérateur qui le déclenche manuellement, uniquement quand l'appel porte sur un contrat impossible à prouver autrement. Elle recommande aussi de pouvoir interrompre ou supprimer rapidement l'enregistrement au moment où le client donne ses coordonnées bancaires, lorsqu'elles sont saisies par ailleurs dans une plateforme de paiement sécurisée.

Certains professionnels ont une obligation légale d'enregistrer : la CNIL cite les prestataires de services d'investissement (article L. 533-10-5 du code monétaire et financier) et les distributeurs d'assurances qui démarchent par téléphone (code des assurances, avec des modalités de conservation fixées par le décret n° 2022-34 du 17 janvier 2022). Quand les enregistrements servent plusieurs objectifs, les durées et les accès diffèrent : la CNIL indique qu'une séparation physique ou logique des bases de données aide alors à respecter le RGPD.

Source : CNIL, « L'enregistrement des conversations téléphoniques afin d'établir la preuve de la formation d'un contrat », 25 avril 2022

Informer les agents et les appelants

Pour tout dispositif de contrôle de l'activité, la CNIL pose trois conditions cumulatives :

• —Justification et proportionnalité : un objectif défini, aucun moyen moins intrusif pour l'atteindre, uniquement les données strictement nécessaires. Une surveillance permanente est « en général » considérée comme excessive, et un outil ne doit pas poursuivre un autre objectif caché.
• —Consultation des représentants du personnel : le CSE dans les entreprises de 50 salariés et plus, avant toute mise en œuvre.
• —Information des personnes, avant la mise en place.

L'employeur doit pouvoir prouver qu'il respecte ces conditions. Source : CNIL, « Le contrôle de l'activité des personnes employées », 9 juillet 2026

Pour les appels, la fiche de la CNIL détaille ce que les salariés et leurs interlocuteurs doivent savoir : l'existence du dispositif, l'identité du responsable, les finalités, la base légale, les destinataires, la durée de conservation, le droit d'opposition, les droits d'accès et de rectification, et la possibilité de saisir la CNIL. Les salariés doivent aussi savoir pendant quelles périodes ils peuvent être écoutés ou enregistrés.

Le message aux appelants, en deux temps

• —Un message oral en début d'appel : existence de l'enregistrement, finalité, possibilité de s'y opposer.
• —Un renvoi vers l'information complète : page « mentions légales » d'un site web ou touche dédiée sur le téléphone.

L'appelant doit pouvoir s'opposer avant la fin de l'appel. Quand l'enregistrement sert de preuve d'un contrat, la CNIL recommande d'ajouter au message la possibilité de conclure le contrat autrement (en agence, en ligne, par courrier) et le droit d'accéder aux enregistrements.

Protéger les agents

• —Des appels non enregistrés : l'employeur doit fournir des lignes non reliées à l'enregistrement, ou un moyen de couper l'enregistrement, pour les appels personnels. Même règle pour les représentants du personnel dans l'exercice de leur mandat.
• —Pas de capture d'écran couplée aux appels : la CNIL considère qu'il ne peut pas y en avoir, en principe. Une image figée d'une action isolée ne reflète pas fidèlement le travail de l'agent.
• —La vidéo de l'écran, pour la formation seulement : elle peut accompagner l'enregistrement des appels avec des garanties. Agents informés, vidéo limitée aux fenêtres de l'application métier, active uniquement pendant l'appel, réservée aux personnes qui ont un réel besoin de formation, volume limité à ce qui sera vraiment analysé, accès habilités et journalisés.

Pour l'évaluation du personnel ou la lutte contre la fraude interne, la CNIL juge ce couplage de l'appel et de l'image disproportionné. Source : CNIL, « L'enregistrement vidéo ou la capture d'écran couplé à l'enregistrement des conversations téléphoniques au travail », 17 septembre 2019

Durées de conservation et accès

Source : CNIL, référentiel « Durées de conservation — Gestion des ressources humaines », mis à jour le 20 mai 2026

La CNIL décrit une bonne pratique, l'enregistrement « tampon ». Les enregistrements sont écoutés dans les jours qui suivent, les documents d'analyse sont rédigés, puis les enregistrements sont supprimés à bref délai.

Côté accès, seules les personnes concernées par l'objectif peuvent écouter : par exemple les formateurs, si l'objectif est la formation. L'employeur met en place des habilitations et une traçabilité des actions : qui se connecte à quoi, quand et pour quoi faire. Le DPO, s'il existe, est associé au projet, et le dispositif est inscrit au registre des traitements.

Il n'y a plus de déclaration à faire auprès de la CNIL depuis l'entrée en application du RGPD. Source : CNIL, « Enregistrement ou écoute des conversations téléphoniques des salariés : que faire ? »

Transcription, résumé, analyse : ce que change l'IA

Transcrire, résumer ou analyser un appel, c'est traiter le contenu d'une conversation : le RGPD s'applique. En attendant les travaux annoncés par la CNIL, les principes vus plus haut — nécessité, proportionnalité, information, durées, accès — restent le point de départ. Selon la CNIL, le règlement européen sur l'IA (RIA) « ne remplace pas les exigences du RGPD » : il les complète. Trois points s'ajoutent.

1. La reconnaissance des émotions au travail est interdite

Le RIA classe parmi les pratiques à « risque inacceptable », donc interdites, la « reconnaissance des émotions sur le lieu de travail ». Ces interdictions s'appliquent depuis le 2 février 2025. Les fonctions d'analyse des émotions ou du « sentiment » proposées par certains logiciels doivent donc être examinées avec votre DPO avant toute activation, en particulier lorsqu'elles portent sur les agents.

2. Un agent virtuel doit être transparent

Les systèmes d'IA destinés à interagir avec des personnes, comme les chatbots, sont soumis à des obligations de transparence. D'après le calendrier publié par la CNIL, elles s'appliquent depuis le 2 août 2026. Un agent vocal qui répond aux appelants interagit directement avec eux : prévoyez d'annoncer clairement qu'il s'agit d'une IA.

3. L'évaluation automatique des agents demande une analyse d'impact

Une analyse d'impact relative à la protection des données (AIPD) est obligatoire avant la mise en œuvre d'un traitement susceptible d'engendrer un risque élevé. C'est le cas s'il figure sur la liste publiée par la CNIL, qui comprend les traitements visant à « surveiller de manière constante l'activité des employés » et ceux qui établissent des profils à des fins de gestion des ressources humaines. C'est aussi le cas s'il remplit au moins deux des neuf critères issus des lignes directrices européennes (G29), parmi lesquels l'évaluation ou la notation, la surveillance systématique et l'usage innovant d'une technologie.

Un outil qui transcrit et note automatiquement les appels de tous les agents peut cumuler plusieurs de ces critères. L'AIPD se mène avant la mise en service ; si un sous-traitant intervient, il doit fournir son aide et les informations nécessaires. Pour un manquement aux règles sur l'AIPD, les amendes peuvent atteindre 10 millions d'euros ou, pour une entreprise, 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Source : CNIL, « Ce qu'il faut savoir sur l'AIPD »

Enfin, l'annexe III du RIA, qui liste des systèmes d'IA « à haut risque », couvre notamment le domaine de l'emploi. Selon le calendrier de la CNIL, ses règles s'appliqueront à partir du 2 décembre 2027. Un outil d'évaluation des agents par l'IA est à examiner sous cet angle avec votre DPO. Source : CNIL, questions-réponses sur le règlement européen sur l'IA, mises à jour le 17 août 2026

Les 8 points à vérifier avant d'activer

Avant d'activer l'enregistrement, la transcription ou une fonction d'analyse, voici les huit points que nous passons en revue avec nos clients, chacun avec sa source.

Notre rôle d'intégrateur

Nous ne sommes pas juristes, et cet article n'est pas un avis juridique. Notre métier est de traduire les décisions de votre organisme et de votre DPO en réglages concrets sur la plateforme, puis de les documenter.

• —Enregistrement ponctuel, par échantillon ou déclenché par l'agent, selon la finalité retenue.
• —Messages d'information en début d'appel et touche « mentions légales » sur le serveur vocal.
• —Lignes ou profils non enregistrés pour les appels personnels et les représentants du personnel.
• —Purges automatiques alignées sur les durées décidées, habilitations par rôle et journalisation des accès.
• —Fonctions d'IA activées une par une, après validation, et fonctions d'analyse des émotions laissées désactivées pour les agents.
• —Documentation technique pour votre AIPD : flux, lieux d'hébergement, sous-traitants, mesures de sécurité.

Pour le choix des premiers usages, voir l'IA dans le centre de contact : par où commencer. Pour les durées et les accès de toutes vos données de communication, voir la gouvernance des données de communication.

Les sources

• —L'écoute et l'enregistrement des appels sur le lieu de travail — 5 mai 2009, page signalée en cours de mise à jour.
• —Travail, ressources humaines : le contrôle de l'activité des personnes employées — 9 juillet 2026.
• —L'enregistrement vidéo ou la capture d'écran couplé à l'enregistrement des conversations téléphoniques au travail — 17 septembre 2019.
• —L'enregistrement des conversations téléphoniques afin d'établir la preuve de la formation d'un contrat — 25 avril 2022.
• —La CNIL a prononcé neuf nouvelles sanctions dans le cadre de la procédure simplifiée — 5 juin 2024.
• —Référentiel des durées de conservation en gestion des ressources humaines — publié le 2 avril 2026, mis à jour le 20 mai 2026 (PDF).
• —Ce qu'il faut savoir sur l'analyse d'impact relative à la protection des données et liste des traitements pour lesquels une AIPD est requise.
• —Entrée en vigueur du règlement européen sur l'IA : les premières questions-réponses de la CNIL — mises à jour le 17 août 2026.
• —Le programme de travail de la CNIL pour 2026 — 7 avril 2026.
• —CNIL Direct : enregistrement ou écoute des conversations téléphoniques des salariés, que faire ?

Toutes ces pages ont été consultées sur cnil.fr le 8 octobre 2026.

Questions fréquentes

Cadrer l'enregistrement et l'IA de votre centre de contact

Enregistrement, messages, durées, accès, fonctions d'IA : nous traduisons les décisions de votre organisme et de votre DPO en réglages concrets, et nous les documentons.