Confidentialité et IA téléphonique : quoi vérifier

Vous pensez peut-être que la protection des renseignements personnels, c'est une affaire de grandes entreprises avec des services juridiques au grand complet. Vous avez tort, et ça pourrait vous coûter cher si vous branchez une IA sur vos appels sans vérifier les bonnes choses avant.

Pourquoi les règles québécoises de confidentialité concernent aussi votre réceptionniste IA

Les règles québécoises ne font aucune distinction selon la taille de l'entreprise. Selon Grant Thornton, au Québec, toute entreprise, incluant les petites et moyennes entreprises, qui collecte, utilise ou conserve des renseignements personnels doit revoir sa gestion des renseignements personnels pour s'assurer d'être conforme. Il n'y a pas de seuil de chiffre d'affaires ni de nombre d'employés qui vous exempte.

Le guide conformitepme.ca est encore plus direct sur ce point : les obligations s'appliquent à toute entreprise qui exploite au Québec, sans seuil de taille, dès le premier renseignement personnel recueilli. Et un renseignement personnel, ça inclut le nom, l'adresse et le numéro de téléphone d'un client.

Prenons un plombier qui reçoit dix appels par jour. Chaque fois qu'un client donne son nom, son adresse et une description du problème (une fuite sous l'évier, un chauffe-eau brisé), il y a collecte de renseignements personnels. Que cette collecte soit faite par une personne au comptoir ou par une IA qui répond au téléphone ne change rien à l'obligation légale. Ce plombier qui se croit « trop petit » pour être concerné se trompe : les règles visent son entreprise autant qu'une bannière nationale.

C'est d'autant plus vrai que l'intelligence artificielle est explicitement dans la mire du législateur. Le site iaba.tech le résume ainsi : au Québec, l'usage d'un outil IA sur des renseignements personnels est encadré par le régime de protection des renseignements personnels, avec trois obligations qui dominent : recueillir un consentement explicite et granulaire, réaliser une évaluation avant tout déploiement, et obtenir de l'éditeur de l'outil un engagement écrit de non-réutilisation des données. Autrement dit, l'IA n'est pas un angle mort du droit québécois : elle y est pleinement assujettie.

Les vérifications concrètes avant de brancher une IA sur vos appels

Avant de signer avec n'importe quel fournisseur, posez trois questions précises.

Où sont hébergées vos données, et pour combien de temps? C'est le point le plus souvent négligé. Selon la Commission d'accès à l'information du Québec, depuis septembre 2023, avant de communiquer un renseignement personnel à l'extérieur du Québec, une organisation doit procéder à une évaluation des facteurs relatifs à la vie privée, et la communication peut être effectuée si l'évaluation démontre que le renseignement bénéficierait d'une protection adéquate. Si les enregistrements de vos appels et les fiches clients générées par l'IA transitent par des serveurs situés aux États-Unis ou ailleurs, vous devez d'abord évaluer ce risque, pas après coup. Des données hébergées au Canada réduisent d'autant la liste des transferts à évaluer. Demandez aussi combien de temps les enregistrements et les transcriptions sont conservés, et ce qui déclenche leur suppression : une durée de conservation que personne ne sait nommer est une durée que vous ne pouvez pas documenter.

Votre politique de confidentialité est-elle à jour? Elle doit mentionner explicitement que vous utilisez une IA pour traiter les appels entrants. Grant Thornton liste cette mise à jour parmi les premières étapes de conformité : mettre à jour la politique de confidentialité et la rendre accessible aux clients, obtenir un consentement valide avant de collecter des données. Une politique qui date d'avant l'arrivée de l'IA dans votre entreprise ne suffit plus. C'est aussi le document vers lequel vous renvoyez le client qui demande quels renseignements vous détenez sur lui, ou qui veut les faire corriger ou supprimer.

Le consentement est-il réellement obtenu? Si l'appel est enregistré ou transcrit, le client doit le savoir avant de commencer à donner ses coordonnées, et le message d'accueil est l'endroit où il l'apprend. Le guide conformitepme.ca précise qu'une PME doit obtenir un consentement éclairé, n'installer aucun témoin non essentiel avant ce consentement, protéger les renseignements, tenir un registre des incidents. Un accueil qui annonce la nature du service et l'enregistrement de l'appel règle une bonne partie du problème.

Ces vérifications ne sont pas de la paperasse superflue. Elles font partie des mêmes réflexes qu'on retrouve dans nos ressources sur la prise de rendez-vous automatisée, où la qualité de la collecte d'information dès le premier contact détermine autant la conformité que l'efficacité du service.

Ce que Gala fait pour rester du bon côté de la loi

Chez Gavion, on a conçu Gala en gardant ces obligations en tête, pas en les traitant comme un détail technique à régler après coup.

Les données sont hébergées au Canada, ce qui est pensé pour limiter les transferts inutiles; ceux qui restent sont à évaluer. Et le message d'accueil de la Réceptionniste IA peut annoncer l'enregistrement de l'appel dès les premières secondes, pour que le client le sache avant de donner son nom et son adresse : c'est le geste le plus simple qui existe pour répondre à l'exigence de consentement éclairé que soulignent les guides de conformité cités plus haut.

Gala ne collecte que ce qui est nécessaire pour qualifier l'appel et prendre le rendez-vous : nom, coordonnées, nature de la demande. Aucune donnée superflue n'est accumulée sans raison, ce qui simplifie la vie de l'entrepreneur qui doit un jour documenter ce qu'il recueille, pourquoi, et pendant combien de temps il le garde. C'est le même principe qui guide notre approche pour les entreprises qui misent sur la capture de prospects : mieux vaut une collecte ciblée et transparente qu'un système opaque qui accumule tout sans distinction.

Cela dit, la conformité reste la responsabilité de l'entreprise qui utilise l'outil, pas seulement du fournisseur technologique. Nommer un responsable de la protection des renseignements personnels, mettre à jour sa politique de confidentialité et documenter ses pratiques demeurent des étapes que vous devez faire, peu importe le logiciel choisi.

Si vous magasinez une solution d'IA téléphonique pour votre entreprise de services, posez ces questions avant de signer quoi que ce soit. Pour voir comment Gala aborde concrètement l'hébergement, le consentement et la conservation des données, visitez la page produit de la Réceptionniste IA ou communiquez avec l'équipe de Gavion pour en discuter.

Sources

Cet article s'appuie sur les sources suivantes :

1. Quelles sont les principales obligations des PME en matière de renseignements personnels? (Grant Thornton)
2. Vos obligations et ce que votre politique de confidentialité doit contenir (conformitepme.ca)
3. Outils IA et protection des renseignements personnels : conformité et obligations au Québec (iaba)
4. Principaux changements au régime québécois de protection des renseignements personnels (Commission d'accès à l'information)