- La commune est responsable de traitement, le prestataire est son sous-traitant : un contrat écrit est nécessaire.
- Toutes les structures publiques doivent avoir un DPO, qui peut être mutualisé.
- L'usager doit être informé qu'il parle à une IA dès le début de l'appel (article 50, applicable depuis le 2 août 2026).
- Pour l'achat, le montant total sur la durée et les seuils en vigueur déterminent la procédure : à vérifier avec le service marchés.
Qui est responsable des données : la commune ou le prestataire ?
Dans un projet d'agent vocal, la commune décide pourquoi et comment les appels sont traités : c'est elle le responsable de traitement. Le prestataire qui fait fonctionner l'agent agit pour son compte : c'est le sous-traitant.
Cette répartition a une conséquence concrète. Le règlement général sur la protection des données (RGPD) impose un contrat entre les deux, qui précise ce que le prestataire a le droit de faire des données, pendant combien de temps, avec quelles garanties de sécurité, et ce qu'il doit faire à la fin. Ce contrat est celui de l'article 28.
La commune ne peut pas se contenter de conditions générales d'utilisation en ligne. Elle doit obtenir ce contrat par écrit avant la signature, et le faire relire par son délégué à la protection des données.
Une commune doit-elle avoir un DPO, et peut-il être mutualisé ?
Oui. La CNIL est claire sur sa page dédiée aux collectivités territoriales : « Le RGPD impose à toutes les structures publiques de désigner un délégué. » Cela vaut aussi pour les petites communes.
La désignation se fait auprès de la CNIL, et le délégué (DPO) a pour mission d'informer, de conseiller et de contrôler le respect des règles. La CNIL recommande à chaque collectivité de tenir un registre listant ses traitements de données. Un agent vocal est un traitement de plus : il doit y figurer.
Le règlement prévoit que plusieurs organismes publics puissent partager un même délégué, « compte tenu de leur structure organisationnelle et de leur taille » (article 37 du RGPD). C'est ce qui rend la mutualisation possible, par exemple au niveau d'une communauté de communes, d'un syndicat informatique ou d'un centre de gestion. Vérifiez auprès de votre structure si un DPO est déjà désigné pour votre commune : c'est généralement le cas.
Quelles données personnelles un agent vocal traite-t-il ?
Un agent vocal manipule plus de données qu'il n'y paraît. Faites avec votre DPO la liste de ce qui est collecté, pourquoi, et combien de temps c'est conservé.
| Donnée | D'où elle vient | Question à se poser |
|---|---|---|
| La voix de l'appelant | L'appel lui-même | Est-elle enregistrée ? Combien de temps ? Peut-on le désactiver ? |
| Le numéro de téléphone | Le réseau téléphonique | Est-il conservé, et pour rappeler uniquement ? |
| Le contenu de la demande | Ce que dit l'administré | Est-il transcrit, résumé, transmis, supprimé quand ? |
| Nom et adresse donnés oralement | L'administré | Sont-ils transmis uniquement au service concerné ? |
| Des données sensibles évoquées spontanément | L'administré | Que fait l'outil quand quelqu'un parle de sa santé ou de sa situation sociale ? |
Principe de bon sens : ne collecter que ce qui sert à traiter la demande, et prévoir une durée de conservation courte, fixée par la commune. La base juridique du traitement (en général la mission d'intérêt public de l'accueil du public) et la nécessité d'une analyse d'impact sont des questions à trancher avec le DPO, pas avec le prestataire.
Faut-il prévenir les usagers qu'ils parlent à une IA ?
Oui. L'article 50 du règlement européen sur l'intelligence artificielle (règlement (UE) 2024/1689) impose que les systèmes d'IA conçus pour interagir directement avec des personnes les informent qu'elles parlent à une IA, sauf si cela est évident compte tenu du contexte. Cette obligation de transparence s'applique depuis le 2 août 2026, d'après les analyses publiées après l'accord sur le « omnibus numérique », qui n'a pas reporté cette échéance.
En pratique, la phrase doit venir au début de l'appel, avant toute demande d'information. En complément, la commune informe les usagers sur son site et dans son bulletin. Voici un modèle, à adapter par la commune et à faire valider par le DPO :
« Bonjour, vous êtes bien à la mairie de [commune]. Je suis l'assistante virtuelle de la mairie, une intelligence artificielle. [Si l'enregistrement est activé : cet appel peut être enregistré pour traiter votre demande.] Vous pouvez demander à parler à un agent pendant les heures d'ouverture. En quoi puis-je vous aider ? »
Le détail de l'information RGPD des usagers (finalité, durée de conservation, droits d'accès et d'effacement, contact du DPO) peut figurer sur la page « données personnelles » du site de la commune, avec un renvoi dans le message d'accueil.
Où sont hébergées les données : les questions à poser au prestataire
Ces questions figurent dans toute consultation sérieuse. Un prestataire qui y répond clairement et par écrit est un bon signe.
- Où sont hébergées les données, et par quelle société ? Préférez un hébergement en Union européenne et demandez le nom des hébergeurs.
- Combien de temps sont conservés les enregistrements, les transcriptions et les comptes rendus, et peut-on les désactiver ?
- Un contrat de sous-traitance RGPD est-il fourni par écrit avant la signature ?
- Quels sont les sous-traitants ultérieurs (reconnaissance vocale, synthèse vocale, modèle de langage) et où sont-ils situés ?
- Les conversations servent-elles à entraîner des modèles ? La réponse attendue est non, sauf accord explicite.
- Que se passe-t-il en cas de faille de sécurité : délai d'information, personne à contacter ?
- Qui rédige la phrase d'annonce IA, et la commune peut-elle la valider mot pour mot ?
Achat public : quelle procédure pour un agent vocal ?
Un abonnement à un agent vocal est un achat de services. Selon le montant et la durée, la commune relève des règles du code de la commande publique. Voici les principes, à vérifier avec le service marchés publics ou le référent juridique, car les seuils évoluent.
- Le montant à retenir est la valeur estimée du besoin sur la durée du contrat, pas le seul premier mois. Un abonnement mensuel reconduit plusieurs années dépasse vite un petit montant.
- Les seuils de dispense de procédure ont été relevés par le décret n° 2025-1386 du 29 décembre 2025. D'après les analyses publiées, un marché de fournitures ou de services inférieur à 60 000 euros HT peut être conclu sans publicité ni mise en concurrence préalables à compter du 1er avril 2026 (le seuil était de 40 000 euros HT auparavant), et 100 000 euros HT pour les travaux depuis le 1er janvier 2026.
- Même sous le seuil, des principes demeurent : choisir une offre pertinente, faire une bonne utilisation des deniers publics et ne pas contracter systématiquement avec le même opérateur lorsqu'il existe plusieurs offres susceptibles de répondre au besoin.
- Au-dessus du seuil, une procédure adaptée ou formalisée s'applique, avec publicité et mise en concurrence.
Les seuils cités ci-dessus sont ceux publiés au moment de la rédaction de ce guide. Ils peuvent changer : vérifiez-les auprès de votre service marchés publics avant toute décision.
Quelle que soit la procédure, rédigez un besoin précis (périmètre, volume d'appels, durée), comparez au moins deux offres sur le prix complet (abonnement, minutes incluses, minutes supplémentaires, frais de mise en place) et gardez une trace de la comparaison.
Réversibilité et sécurité : ce qu'il faut écrire dans le contrat
Un projet réussi se prépare aussi pour sa fin. Ces clauses sont peu coûteuses à négocier au départ, et très difficiles à obtenir après.
- Une durée courte ou une résiliation simple, surtout pour un premier contrat.
- La restitution et la suppression des données à la fin du contrat, avec une attestation.
- Le droit de relire et de modifier les consignes de l'agent à tout moment, sans surcoût.
- Un point de contact de support avec un délai de réponse précis, y compris lors des pics d'appels.
- La possibilité de couper l'agent immédiatement, par exemple en désactivant le renvoi d'appel côté commune.
Pour la suite concrète d'un projet, voir Mettre en place un pilote en quatre semaines.
Ce guide donne des repères, ce n'est pas un avis juridique. Faites valider votre dossier par votre délégué à la protection des données et votre service marchés publics.
Questions fréquentes
La commune est-elle responsable de traitement ?
Oui. La commune détermine les finalités et les moyens du traitement, le prestataire de l'agent vocal est son sous-traitant. Un contrat de sous-traitance (article 28 du RGPD) doit être signé avant la mise en service.
Une commune doit-elle avoir un délégué à la protection des données ?
Oui. La CNIL indique que le RGPD impose à toutes les structures publiques de désigner un délégué. Une commune peut partager un DPO avec d'autres organismes publics, par exemple via l'intercommunalité, un syndicat ou un centre de gestion.
Doit-on informer les usagers que l'appel est géré par une IA ?
Oui, au début de l'appel. L'article 50 du règlement européen sur l'IA impose d'informer la personne qu'elle interagit avec une IA, sauf si c'est évident. Il est recommandé de le préciser aussi sur le site de la commune.
Faut-il lancer un appel d'offres pour un agent vocal ?
Cela dépend du montant total estimé sur la durée du contrat et des seuils en vigueur. Depuis le 1er avril 2026, d'après les analyses du décret n° 2025-1386, un marché de services sous 60 000 euros HT peut être conclu sans publicité ni mise en concurrence, avec des principes de bonne gestion à respecter. Confirmez toujours avec le service marchés publics.
Peut-on enregistrer les appels ?
C'est possible mais ce n'est pas obligatoire. Si l'enregistrement est activé, les usagers doivent en être informés au début de l'appel, la durée de conservation doit être courte et fixée par la commune, et le DPO doit valider le dispositif.