Un client appelle votre clinique dentaire à 21 h. Votre agent vocal IA répond, prend le rendez-vous, note le nom, le numéro de téléphone, le motif de la visite. Tout ça en 47 secondes. Impressionnant.
Mais posez-vous une question que personne ne pose : où est-ce que cette conversation atterrit, exactement ? Sur quel serveur ? Dans quel pays ? Et surtout — qui d'autre y a accès ?
Je vais être direct : la majorité des PME québécoises qui adoptent un agent vocal IA n'ont aucune idée de ce qui arrive aux données vocales de leurs clients après l'appel. Et avec la Loi 25 en pleine vigueur, ce flou n'est plus juste risqué — il est illégal.
Ce que votre agent vocal capte vraiment
On pense souvent que l'agent vocal IA ne fait que « répondre au téléphone ». C'est comme dire qu'un comptable ne fait que « regarder des chiffres ».
À chaque appel, votre agent traite une quantité surprenante de données personnelles : le numéro de téléphone entrant, la voix du client (qui est considérée comme une donnée biométrique selon plusieurs cadres juridiques), le contenu de la conversation — incluant parfois des informations médicales, financières ou légales —, l'heure et la durée de l'appel, et dans certains cas, la transcription complète stockée pour analyse ultérieure.
Autrement dit, chaque appel crée un petit dossier client. Multiplié par 200 appels par mois pour une PME active, ça fait beaucoup de dossiers qui flottent quelque part dans le nuage.
La Loi 25 ne rigole pas — et votre agent vocal est concerné
Depuis septembre 2023, la Loi 25 du Québec impose des obligations strictes à toute entreprise qui collecte des renseignements personnels. Et oui, ça inclut les données vocales captées par un agent IA.
Concrètement, voici ce que la loi exige de votre PME :
D'abord, le consentement éclairé. Le client doit savoir qu'il parle à une IA et que l'appel peut être enregistré. Pas un message vague — un avis clair, spécifique, avant le début de la conversation. Ensuite, l'évaluation des facteurs relatifs à la vie privée (EFVP). Si votre agent vocal utilise des algorithmes pour qualifier des leads ou prendre des décisions automatisées, vous devez documenter les risques. Finalement, le transfert hors Québec. Avant d'envoyer des données personnelles à l'extérieur de la province, une évaluation est obligatoire. Si votre fournisseur héberge ses serveurs en Virginie ou en Californie — ce qui est le cas de la majorité — vous êtes techniquement en infraction si vous n'avez pas fait vos devoirs.
Les amendes ? Jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial. Ce n'est pas un risque théorique — c'est une réalité pour les entreprises qui ignorent leurs obligations.
Le virage on-premise : quand vos données restent chez vous
Voici pourquoi j'écris cet article aujourd'hui, et pas il y a six mois.
Le 9 avril 2026, ElevenLabs a annoncé le déploiement on-premise et on-device de ses modèles de voix IA. Traduction : au lieu d'envoyer chaque conversation vers un serveur distant, les entreprises peuvent maintenant faire tourner l'IA vocale directement sur leurs propres serveurs, dans leurs propres locaux.
C'est un changement majeur.
Jusqu'ici, utiliser un agent vocal IA signifiait automatiquement confier les données à un tiers cloud. Pas le choix. Maintenant, les PME qui opèrent dans des secteurs sensibles — santé, droit, finance — ont enfin une option qui garde tout au Québec. Comme nous l'avons exploré dans notre article sur la sécurité des données et les agents vocaux IA, la question du lieu d'hébergement était déjà critique. La réponse vient d'arriver.
Et ElevenLabs n'est pas seul. Deepgram offre aussi des options on-premise. IBM, via sa collaboration avec ElevenLabs sur watsonx Orchestrate, propose des protections de niveau entreprise incluant la conformité PCI et un mode zéro rétention conçu pour répondre aux normes HIPAA.
Cloud, VPC ou on-premise : le vrai choix que personne ne vous explique
La plupart des fournisseurs d'agents vocaux IA offrent trois modes de déploiement. Mais rares sont ceux qui expliquent honnêtement les implications pour vos données.
Déploiement cloud (standard) : vos appels transitent par les serveurs du fournisseur, souvent aux États-Unis. C'est le modèle le plus rapide à mettre en place et le moins cher. Mais vos données quittent le pays, et vous dépendez entièrement de la politique de rétention du fournisseur. Pour une pizzeria, c'est probablement suffisant. Pour un cabinet d'avocats ? Pas idéal.
VPC (Virtual Private Cloud) : une zone isolée dans le cloud du fournisseur, dédiée à votre entreprise. Mieux pour la séparation des données, mais les serveurs physiques restent ailleurs. C'est un bon compromis pour les entreprises qui veulent plus de contrôle sans gérer leur propre infrastructure.
On-premise : l'IA tourne sur vos serveurs, dans vos locaux. Les données ne sortent jamais. C'est la solution la plus conforme à la Loi 25, mais elle demande une infrastructure GPU et une équipe technique. D'après notre comparatif des plateformes d'agents vocaux, seuls quelques fournisseurs offrent cette option — et ElevenLabs vient de rejoindre ce club exclusif.
5 questions à poser à votre fournisseur d'agent vocal IA — aujourd'hui
Vous n'avez pas besoin d'être expert en cybersécurité pour protéger vos clients. Vous avez besoin de poser les bonnes questions. En voici cinq que tout propriétaire de PME devrait envoyer par courriel à son fournisseur cette semaine :
1. Où sont hébergés physiquement les serveurs qui traitent mes appels ? Si la réponse est vague (« dans le cloud »), insistez pour obtenir un pays et une région spécifique.
2. Combien de temps conservez-vous les enregistrements audio et les transcriptions ? Selon les meilleures pratiques, l'audio ne devrait pas être conservé plus de 6 mois et les transcriptions entre 6 et 12 mois — un guide de conformité de Speechmatics confirme ces normes.
3. Avez-vous une certification SOC 2 Type II ou ISO 27001 ? Ces certifications prouvent que le fournisseur a subi un audit de sécurité indépendant. Sans elles, vous faites confiance à une promesse marketing.
4. Offrez-vous un mode zéro rétention ? Certains fournisseurs, comme ElevenLabs avec IBM, permettent de traiter l'appel en temps réel sans jamais stocker l'audio. C'est l'option la plus sûre pour les données sensibles.
5. Que se passe-t-il si je veux supprimer toutes les données de mes clients ? La Loi 25 donne aux individus le droit de demander l'effacement. Votre fournisseur doit pouvoir exécuter cette demande — pas juste dire « on verra ».
La vie privée comme avantage compétitif
Voici mon opinion — et elle ne plaira pas à tout le monde.
Les PME québécoises qui prennent la confidentialité au sérieux ne sont pas en train de « se compliquer la vie ». Elles construisent un avantage concurrentiel que leurs compétiteurs vont mettre des années à rattraper.
Pensez-y. Quand un patient choisit une clinique dentaire, il ne regarde pas que le prix du nettoyage. Il veut savoir que ses informations sont en sécurité. Quand un client appelle un cabinet d'avocats, la confidentialité n'est pas un bonus — c'est la base de la relation. Et quand un propriétaire de restaurant installe un agent vocal IA, ses clients réguliers veulent savoir que leurs habitudes de commande ne finissent pas dans une base de données vendue au plus offrant.
Le marché de l'IA vocale atteindra 47,5 milliards de dollars américains d'ici 2034, avec une croissance annuelle de 34,8 %. Les entreprises qui se positionnent maintenant comme des gardiens responsables des données auront une longueur d'avance. Comme nous l'avons analysé dans notre guide sur les risques de sécurité des agents vocaux, la sécurité n'est pas un coût — c'est un investissement dans la confiance.
Mon verdict : le statu quo est le plus gros risque
Certains diront que les PME ont d'autres priorités — le chiffre d'affaires, le recrutement, la livraison. C'est vrai. Mais ignorer la question de la confidentialité des données vocales ne fait pas disparaître le problème. Ça le reporte. Et plus vous attendez, plus le coût de la mise en conformité augmente.
Le déploiement on-premise d'ElevenLabs, la Loi 25 en pleine force, les certifications SOC 2 qui deviennent la norme — tout pointe dans la même direction. Les PME qui veulent utiliser l'IA vocale en 2026 doivent traiter la confidentialité comme un pilier de leur stratégie, pas comme une case à cocher en bas d'un formulaire.
La bonne nouvelle ? Chez Agent IA Vocal, toute la configuration est faite par notre équipe TECHMA. Vous n'avez pas à naviguer seul dans ce labyrinthe de conformité. On choisit la bonne plateforme, on configure les bons paramètres de rétention, et on s'assure que vos données restent où elles doivent rester.
Voir nos forfaits à partir de 49 $/mois — ou prenez rendez-vous pour discuter de la configuration qui convient à votre secteur.
FAQ
Est-ce que mon agent vocal IA enregistre tous les appels ?
Ça dépend de la configuration. Certains fournisseurs enregistrent par défaut, d'autres offrent un mode temps réel sans rétention. L'important est de vérifier AVANT le déploiement et de s'assurer que le consentement est recueilli au début de chaque appel.
La Loi 25 s'applique-t-elle aux très petites entreprises ?
Oui. Toute entreprise ou organisation au Québec qui collecte, détient ou utilise des renseignements personnels est assujettie, peu importe sa taille. Un salon de coiffure avec un agent vocal est aussi concerné qu'une banque.
Le déploiement on-premise est-il réaliste pour une PME ?
Pas encore pour la majorité des PME — ça demande des serveurs GPU et une expertise technique. Cependant, le VPC (cloud privé virtuel) offre un excellent compromis entre sécurité et accessibilité. Et les solutions on-device (directement sur un appareil local) arrivent rapidement.
Comment savoir si mon fournisseur actuel est conforme ?
Posez les 5 questions listées dans cet article. Si votre fournisseur ne peut pas répondre clairement à chacune, c'est un signal d'alarme. Une certification SOC 2 Type II ou ISO 27001 est le minimum que vous devriez exiger.