Data Act et agent vocal IA : portabilité des données, fin du vendor lock-in et clauses de réversibilité en 2026

Votre fournisseur d'agent vocal IA augmente ses tarifs de 40 % à la renouvellement, ou cesse purement et simplement son activité. Pouvez-vous récupérer vos prompts, votre base de connaissance et l'historique de vos appels, et basculer vers un autre prestataire en quelques semaines - sans payer de frais de sortie ? Jusqu'ici, la réponse dépendait entièrement de ce que votre contrat prévoyait. Depuis le Data Act, elle devient en partie une obligation légale.

Le règlement européen sur les données - le Data Act, règlement (UE) 2023/2854 - est entré en vigueur le 11 janvier 2024, et la majorité de ses dispositions s'appliquent depuis le 12 septembre 2025. Son chapitre consacré au changement de fournisseur de services de traitement de données (cloud, plateforme, SaaS) vise un objectif précis : réduire le verrouillage technique et commercial qui lie une entreprise à son prestataire, en imposant des délais de transition encadrés, une obligation d'assistance à l'export, et - à terme - la fin des frais de changement de fournisseur.

Un agent vocal IA facturé à l'usage et hébergé par son éditeur entre typiquement dans ce périmètre, au même titre qu'un CRM, un outil de ticketing ou un espace de stockage cloud. Pourtant, la configuration d'un agent vocal IA - ses prompts, sa base de connaissance, ses intégrations, son historique d'appels - est souvent bien plus difficile à faire migrer qu'une simple extraction de données tabulaires. Ce guide détaille ce que le Data Act impose concrètement aux fournisseurs d'agents vocaux IA, ce qu'une entreprise cliente doit exiger dans son contrat, et comment ce nouveau régime s'articule avec le RGPD et, pour le secteur financier, avec DORA.

Ce guide s'adresse aux directions des systèmes d'information, aux juristes et acheteurs qui négocient un contrat d'agent vocal IA, et aux responsables de la continuité d'activité qui doivent anticiper un changement de prestataire.

Qu'est-ce que le Data Act et pourquoi s'applique-t-il à un agent vocal IA en SaaS ?

Le Data Act ne régule pas l'intelligence artificielle elle-même - c'est le rôle de l'AI Act. Il régule la manière dont les données produites et utilisées par un service numérique peuvent circuler, être récupérées et transférées vers un autre fournisseur.

Le Data Act définit un service de traitement de données (au sens de son article 2(8)) comme un accès à la demande à des ressources informatiques partagées et configurables - qu'il s'agisse d'infrastructure (IaaS), de plateforme (PaaS) ou de logiciel (SaaS). Une plateforme d'agent vocal IA proposée en abonnement ou en facturation à l'usage, qui héberge la configuration conversationnelle du client et ses intégrations, correspond à cette définition dans la très grande majorité des cas - qu'elle soit commercialisée par un éditeur établi dans l'Union européenne ou par un fournisseur extra-européen qui sert des clients européens.

Un règlement horizontal, pas un texte sectoriel

Contrairement à DORA (réservé au secteur financier) ou à l'hébergement de données de santé (réservé au secteur médical), le Data Act s'applique à tous les secteurs et à tous les types de services de traitement de données, indépendamment de la taille de l'entreprise cliente. Son chapitre VI, consacré au changement de fournisseur, s'applique depuis le 12 septembre 2025 : c'est la partie du texte la plus directement pertinente pour un contrat d'agent vocal IA.

Ce que le texte vise à corriger

L'objectif affiché par la Commission européenne est de réduire les obstacles - techniques, contractuels et financiers - qui empêchent une entreprise de changer de fournisseur cloud ou SaaS alors même que le marché lui offre des alternatives. Pour un agent vocal IA, ce verrou prend une forme particulière : la configuration conversationnelle (prompts, flows de dialogue, base de connaissance indexée) est rarement exprimée dans un format standard et portable d'un éditeur à l'autre, contrairement à des données plus structurées comme des contacts CRM ou des factures.

Ce que le Data Act change concrètement dans un contrat d'agent vocal IA

Le Data Act ne dit pas seulement « vous avez le droit de partir » - il fixe des délais précis, une obligation d'assistance, et un calendrier de suppression des frais de changement.

1. Un préavis et des délais de transition encadrés

Le changement de fournisseur suit un calendrier fixé par le texte : un préavis maximal de deux mois pour initier la démarche, une période de transition qui doit en principe être close sous trente jours calendaires, et une période de récupération additionnelle d'au moins trente jours après la fin de la transition, pendant laquelle le client peut encore réclamer ses données. Lorsque la migration est techniquement impossible dans ces délais, le fournisseur doit en informer le client sous quatorze jours ouvrés et proposer une période alternative motivée, plafonnée à sept mois - le client pouvant lui-même demander une prolongation s'il juge le délai initial insuffisant.

2. Une obligation d'assistance raisonnable et de continuité de service

Pendant toute la phase de transition, le fournisseur sortant doit coopérer de bonne foi, maintenir un niveau de sécurité élevé sur les données encore hébergées, signaler les risques connus liés à la migration, et documenter précisément les formats d'export et les limites techniques identifiées. Cette obligation ne s'étend pas à la création de nouvelles fonctionnalités ou technologies spécifiquement pour faciliter le départ du client - le texte exclut explicitement une telle obligation de développement.

3. Des interfaces ouvertes ou, à défaut, un export structuré

Pour les services d'infrastructure, le texte vise une équivalence fonctionnelle raisonnable avec le nouveau prestataire. Pour les autres services - dont relève la plupart des plateformes d'agent vocal IA en SaaS - l'obligation porte sur des interfaces ouvertes et gratuites lorsqu'elles existent, ou, en l'absence de norme commune au marché, sur un export dans un format structuré et exploitable par une machine. Le fournisseur n'est en revanche jamais tenu de livrer son code propriétaire, ses secrets d'affaires, ni le modèle de langage sous-jacent lorsqu'il n'a pas été spécifiquement entraîné pour le client.

4. La fin programmée des frais de changement de fournisseur

C'est le point le plus commenté du texte : l'interdiction des frais facturés spécifiquement pour le transfert de données et le changement de fournisseur s'applique au niveau européen à partir du 12 janvier 2027. En France, un arrêté du 17 novembre 2025 a anticipé ce calendrier en plafonnant ces frais à zéro euro dès le 1ᵉʳ décembre 2025. Cette interdiction ne couvre ni les abonnements restant dus pendant la transition, ni les pénalités de résiliation anticipée prévues au contrat, ni les prestations additionnelles demandées par le client - qui doivent cependant être détaillées et présentées de façon transparente, distinctement des frais de transfert eux-mêmes.

Quelles données un agent vocal IA doit-il permettre d'exporter ?

Pour un agent vocal IA, le périmètre des données et configurations concernées par la portabilité dépasse largement les seules « données » au sens classique. Il recouvre typiquement les prompts et scripts conversationnels qui définissent le comportement de l'agent, la base de connaissance indexée (FAQ, documents, procédures métier), les historiques d'appels et leurs transcriptions, les métadonnées de chaque appel (durée, intents détectés, résultat, transfert éventuel), ainsi que les paramètres d'intégration avec le CRM, la téléphonie ou les outils métier connectés à l'agent.

Ce que le fournisseur n'est, à l'inverse, jamais tenu de transmettre : son code source propriétaire, l'architecture technique interne de sa plateforme, ses secrets d'affaires, ou le modèle de langage qu'il opère - sauf lorsque ce modèle a fait l'objet d'un fine-tuning spécifique au client, auquel cas la question du sort de ce modèle entraîné doit être clarifiée explicitement dans le contrat, au même titre que pour toute démarche de fine-tuning menée pour un client.

Un format d'export encore peu standardisé pour le conversationnel

C'est là que se niche la principale difficulté pratique : des données comme des contacts CRM ou des factures bénéficient depuis longtemps de formats d'échange largement partagés (CSV, JSON, vCard). La configuration d'un agent vocal IA - ses flows de dialogue, son arbre de décision, ses règles de transfert - reste en 2026 majoritairement exprimée dans un format propriétaire propre à chaque éditeur. Le Data Act impose un export structuré et exploitable à défaut de norme commune, mais il ne crée pas, à lui seul, un format d'échange universel pour les configurations conversationnelles : la portabilité réelle dépend encore largement de la qualité de la documentation fournie et du temps de reconfiguration nécessaire chez le nouveau prestataire.

Vendor lock-in : un risque amplifié pour les agents vocaux IA

Le verrouillage fournisseur n'est pas propre aux agents vocaux IA, mais il y prend une forme plus difficile à anticiper que sur un SaaS classique. Trois facteurs l'amplifient : la complexité de la configuration conversationnelle elle-même, qui résulte souvent de mois d'ajustements itératifs (prompts affinés, exceptions ajoutées au fil des appels réels, intégrations multiples) ; l'absence, à ce jour, d'un standard de marché équivalent à un export CSV pour les flows conversationnels ; et la dépendance fréquente à un numéro de téléphone ou à une intégration téléphonique (SIP, CTI) dont le transfert technique vers un nouveau prestataire doit être planifié en parallèle de la migration logicielle.

Des protocoles d'interopérabilité technique émergent pour faciliter les échanges entre agents et outils - le Model Context Protocol (MCP) pour les intégrations d'outils, ou l'Open Floor Protocol pour la collaboration entre agents vocaux de fournisseurs différents. Ces standards techniques réduisent progressivement la friction d'intégration, mais ils ne remplacent pas l'obligation légale du Data Act : celle-ci s'applique dès aujourd'hui, indépendamment du degré de maturité des standards techniques du secteur.

Data Act et DORA : une obligation horizontale qui complète les régimes sectoriels

Les entreprises du secteur financier connaissent déjà une exigence voisine : DORA impose aux banques et assurances un plan de sortie documenté et testé pour leurs prestataires TIC jugés critiques ou importants, incluant la réversibilité des prompts, de la base de connaissance et des intégrations d'un agent vocal IA. Le Data Act poursuit un objectif proche - réduire le risque de dépendance à un fournisseur unique - mais avec un champ d'application horizontal, qui couvre tous les secteurs et toutes les tailles d'entreprises clientes, assorti de délais chiffrés précis que le texte sectoriel DORA ne fixe pas lui-même dans le même niveau de détail.

Pour une entité financière qui déploie un agent vocal IA, les deux régimes s'appliquent simultanément et ne se contredisent pas : il convient de retenir, clause par clause, l'exigence la plus protectrice entre le plan de sortie imposé par DORA et les délais de portabilité imposés par le Data Act, et de documenter la conformité aux deux textes dans le même dossier contractuel.

Data Act et RGPD : deux régimes qui se superposent

Les transcriptions d'appels, les métadonnées de contact et, plus largement, l'essentiel des données traitées par un agent vocal IA constituent en grande partie des données à caractère personnel. Le Data Act encadre les modalités techniques, les délais et les frais du transfert de ces données vers un nouveau fournisseur, mais il ne se substitue pas au RGPD : le sort des données personnelles en fin de contrat - restitution, suppression, ou les deux - continue de relever de l'article 28(3)(g) du RGPD et du contrat de sous-traitance conclu avec l'éditeur de l'agent vocal IA, dans la continuité des principes déjà posés pour le consentement et le traitement des appels téléphoniques.

En pratique, cela signifie que le contrat doit coordonner deux calendriers distincts : celui de la récupération des données par le client (encadré par le Data Act) et celui de la suppression définitive par le fournisseur sortant (encadré par le RGPD), en veillant à ce que la suppression n'intervienne jamais avant que la récupération n'ait été formellement confirmée.

Clause de réversibilité : ce qu'il faut exiger dans un contrat d'agent vocal IA en 2026

Au-delà de la conformité réglementaire, une clause de réversibilité bien rédigée reste la meilleure protection pratique d'une entreprise cliente. Elle doit, à minima, lister précisément les catégories de données et de configurations exportables et leur format de restitution, fixer un préavis et des délais de transition et de récupération au moins aussi protecteurs que ceux du Data Act, répartir clairement les responsabilités entre le fournisseur sortant, le fournisseur entrant et le client lui-même, prévoir une preuve formelle de suppression distincte de la preuve de récupération, et garantir l'absence de dégradation du service pendant toute la période de transition. Ces éléments s'articulent directement avec les clauses contractuelles et SLA à négocier avec un fournisseur d'agent vocal IA, dont la réversibilité constitue désormais un volet à part entière, et avec les exigences de gouvernance qu'une certification ISO/IEC 42001 du fournisseur permet d'objectiver en amont du choix du prestataire.