Introduction
Il est 21 h. Une cliente de Laval appelle votre commerce. Personne n'est au bureau, alors votre agent vocal IA répond, prend son nom, son numéro, peut-être son numéro de carte pour retenir une réservation. L'appel se déroule à merveille. Mais voici la question que presque personne ne pose avant de s'abonner : tout ça vient d'aller où, au juste?
Les agents vocaux IA se répandent vite dans les PME québécoises, et avec raison — environ 62 % des appels d'affaires restent sans réponse, et un réceptionniste numérique infatigable règle ce problème du jour au lendemain. Mais un agent vocal ne fait pas que répondre au téléphone. Il capte, transcrit et stocke certaines des données les plus sensibles que votre entreprise touche : la voix, les mots et les renseignements personnels de vraies personnes.
C'est pourquoi la protection des données avec un agent vocal IA mérite un examen sérieux avant le déploiement. Selon un sondage de Deloitte, 40 % des professionnels classent la protection des données comme leur plus grande préoccupation face à l'IA. Voici les sept questions que tout dirigeant de PME devrait poser à un fournisseur — avant de signer, pas après.
1. Où sont réellement stockées les données vocales de mes clients?
C'est la question que bien des fournisseurs espèrent que vous ne poserez pas. Plusieurs plateformes de voix IA stockent par défaut les enregistrements et les transcriptions sur des serveurs aux États-Unis.
Pourquoi est-ce important pour une entreprise de Montréal ou de Sherbrooke? En vertu de la LPRPDE et de la Loi 25, vous demeurez responsable des renseignements personnels de vos clients, même lorsqu'un sous-traitant américain les traite. « Stocké au Canada » et « accessible depuis les États-Unis », ce n'est pas la même chose — et c'est précisément cette différence que vous devrez défendre si on vous pose la question. Exigez une réponse écrite sur l'hébergement des données, et faites inscrire la région dans le contrat.
2. Les appelants savent-ils qu'ils sont enregistrés — et ont-ils consenti?
Chaque appelant est une personne concernée, et son enregistrement vocal est un renseignement personnel. La Loi 25 et la LPRPDE exigent un consentement valable : la personne doit savoir que son appel est enregistré et à quoi sert cet enregistrement.
Pour les appels sortants, il y a une deuxième couche. La Loi canadienne anti-pourriel (LCAP) encadre la façon dont vous pouvez joindre les gens, et « c'est l'IA qui l'a fait » n'est pas une défense. Un bon fournisseur intègre un avis d'enregistrement clair dès la première phrase de l'agent et vous laisse le personnaliser. Si le consentement est une réflexion après coup dans la démo, ce le sera aussi en production.
3. Qui peut écouter les enregistrements — dans mon équipe et dans la leur?
Imaginez une bibliothèque de tous les appels que votre entreprise a reçus cette année. Imaginez maintenant qui peut l'ouvrir.
Sans contrôles d'accès par rôle, n'importe quel employé — ou n'importe quel membre du personnel du fournisseur — pourrait potentiellement parcourir des enregistrements où des clients partagent des données de santé, des informations de paiement ou des problèmes personnels. La solution est simple : permissions par utilisateur, authentification à plusieurs facteurs et journaux d'audit qui montrent qui a consulté quoi. C'est la même rigueur qu'on attend de tout fournisseur sérieux, et ça vaut la peine d'y penser quand vient le temps de choisir un agent vocal IA à qui vous pouvez vraiment faire confiance.
4. Combien de temps les données sont-elles conservées — et un client peut-il les faire effacer?
Une conservation illimitée est un risque, pas une fonctionnalité. Plus vous gardez longtemps des données vocales, plus vous devenez une cible et plus vous avez de comptes à rendre.
En vertu de la LPRPDE et de la Loi 25, une personne peut demander à accéder à ses propres enregistrements ou transcriptions et, dans bien des cas, en exiger la suppression. Votre fournisseur peut-il vraiment honorer cette demande, pour un appelant précis, dans un délai raisonnable? Demandez-lui de vous expliquer les étapes exactes. « On va trouver une solution », ce n'est pas une réponse quand un vrai client est au bout du fil et réclame ses données.
5. Les données sont-elles chiffrées — en transit et au repos?
Le chiffrement, c'est la base, pas le boni. Les données vocales qui circulent entre les systèmes doivent être protégées en transit (pensez à TLS/SRTP), et les enregistrements entreposés doivent être chiffrés au repos (la norme courante est l'AES-256).
La raison est brutale : si un système est compromis, un chiffrement solide est ce qui garde les transcriptions volées illisibles plutôt qu'étalées en première page. C'est aussi pourquoi sécurité et fiabilité vont souvent de pair — les fournisseurs qui prennent la fiabilité au sérieux prennent en général le chiffrement au sérieux aussi.
6. Que se passe-t-il en cas de fuite — qui est avisé?
Les fuites ne sont plus hypothétiques. Le vrai test d'un fournisseur, c'est ce qu'il a prévu pour la mauvaise journée.
En vertu de la LPRPDE, une organisation doit aviser les personnes touchées et le Commissariat à la protection de la vie privée lorsqu'une fuite présente un risque réel de préjudice grave. Au Québec, la Loi 25 hausse considérablement les enjeux, avec des sanctions pouvant atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial. Demandez à votre fournisseur : avez-vous un processus de réponse aux incidents documenté, et m'aviserez-vous assez vite pour que je respecte mes propres délais légaux? Une réponse vague ici est un drapeau rouge.
7. La voix peut-elle être clonée ou usurpée — et comment prévenir la fraude?
Voici la partie qui surprend les gens. La même technologie qui permet à une IA de sonner humaine peut être retournée contre vous. Les attaques par hypertrucage (deepfake) et usurpation vocale ont bondi de plus de 1 300 % en 2024, et la fraude dans les centres d'appels a causé environ 12,5 milliards de dollars de pertes cette année-là.
Si votre agent vérifie les appelants par la voix seule, c'est une porte qui n'attend qu'un coup de pied. Cherchez des fournisseurs qui jumellent la voix à d'autres protections — vérifications à plusieurs facteurs, numéros connus, plans antifraude — plutôt que de traiter une empreinte vocale comme un mot de passe. Une voix se falsifie en quelques secondes ; votre vérification, elle, ne devrait pas.
Protection des données et agent vocal IA : ce que la Loi 25 exige
Remarquez le fil conducteur des sept questions : aucune ne porte vraiment sur la technologie. Elles portent sur la responsabilité. La loi au Québec — la Loi 25, la LPRPDE au fédéral, la LCAP pour la sollicitation — place systématiquement la responsabilité sur vous, l'entreprise, et non sur l'outil que vous avez acheté.
Ça peut sembler lourd, mais c'est en fait une bonne nouvelle. Un agent vocal géré par un fournisseur qui gère la conformité correctement n'est pas tant un risque à gérer qu'un partenaire qui le porte avec vous. Les entreprises qui se brûlent sont celles qui ont vu la protection des données comme de la paperasse à éviter. Celles qui gagnent en font une qualité que leurs clients ressentent — partout au Québec, de Trois-Rivières à Québec.
Foire aux questions
Est-ce légal d'utiliser un agent vocal IA au Québec? Oui. Les appels par IA sont légaux pourvu que vous respectiez la Loi 25 et la LPRPDE pour les données personnelles que vous recueillez, et la LCAP pour les appels sortants. L'obligation porte sur la façon dont vous gérez les données, pas sur l'usage de l'IA en soi.
Un agent vocal IA est-il moins sécuritaire qu'une réceptionniste humaine? Pas nécessairement — souvent c'est le contraire. Une plateforme sérieuse applique chiffrement, contrôles d'accès et journaux d'audit qu'un système de papier et de boîte vocale n'a jamais eus. Le risque, ce n'est pas l'IA ; c'est de choisir un fournisseur qui coupe les coins ronds.
Quelle est la différence entre la Loi 25 et la LPRPDE? La LPRPDE est la loi fédérale sur la protection des renseignements personnels dans le secteur privé. La Loi 25 est le régime québécois modernisé, plus strict, avec des sanctions plus élevées. Si vous servez une clientèle au Québec, vous devez respecter la Loi 25.
Comment m'assurer que les appelants consentent à l'enregistrement? Intégrez un avis clair dans l'accueil de l'agent, gardez-le personnalisable et consignez le consentement. Un bon fournisseur configure tout ça pour vous au lieu de le laisser comme une case que vous oublierez.
En résumé
Un agent vocal IA peut être l'une des façons les plus sûres et professionnelles de répondre à vos appels — ou un risque discret qui dort sur un serveur américain quelque part. La différence tient aux sept questions ci-dessus et au fournisseur qui y répond.
Chez Agent IA Vocal, gérer l'hébergement des données, le consentement, le chiffrement et la conformité n'est pas une option qu'on ajoute plus tard — notre équipe le configure pour vous dès le départ, ce qui compte encore plus quand vous offrez un service téléphonique bilingue. Réservez une démo de 15 minutes et posez-nous les sept questions, ou découvrez nos forfaits à partir de 49 $/mois.