En février 2026, une multinationale a été condamnée à une amende RGPD de 2,4 millions d’euros après qu’une enquête RH a révélé que des enregistrements de réunions transcrits par IA avaient été stockés sur des serveurs tiers sans le consentement explicite des employés. L’incident, d’abord rapporté par Reuters, a provoqué une onde de choc au sein des services juridiques des entreprises du monde entier.

Les outils de transcription basés sur l’IA sont devenus la norme dans les environnements de travail à distance et hybrides. Mais de nombreuses entreprises ne réalisent pas qu’elles créent d’énormes risques de conformité à chaque fois qu’elles appuient sur “enregistrer”. Le consentement des employés, les politiques de conservation des données, les transferts de données transfrontaliers et les accords de traitement par des tiers sont autant de pièges juridiques potentiels.

Nous avons analysé les exigences des articles 6 et 9 du RGPD, examiné 12 outils de transcription IA pour leurs fonctionnalités de confidentialité, et consulté des avocats spécialisés en droit du travail dans l’UE et aux États-Unis. Voici ce que les entreprises doivent savoir pour utiliser la transcription IA légalement en 2026.

Articles connexes : Meilleurs outils de transcription IA, Assistants de réunion IA pour équipes, Outils IA pour notes de réunion

La Crise de la Confidentialité dans la Transcription IA

Selon Gartner, 67 % des entreprises utilisant des assistants de réunion IA n’ont pas de politique formelle de conservation des données pour les transcriptions. C’est une catastrophe de conformité en puissance.

Voici ce qui se passe : Un employé participe à un appel Zoom. Un bot IA se joint automatiquement. La conversation est transcrite, analysée pour le sentiment et stockée sur un serveur tiers indéfiniment. Personne n’a demandé de consentement. Personne n’a expliqué où vont les données. Personne n’a fixé de délai de suppression.

En vertu de l’article 6 du RGPD, il s’agit d’un traitement illicite. En vertu de la CPRA de Californie, il s’agit d’une violation des droits à la vie privée des employés. En vertu du droit du travail en Allemagne, en Autriche et en France, cela pourrait justifier une intervention du comité d’entreprise, voire des poursuites pénales.

Les risques spécifiques :

• Pas de mécanisme de consentement : De nombreux outils IA se joignent automatiquement aux réunions sans consentement individuel
• Rétention indéfinie : Les transcriptions stockées indéfiniment créent des violations de “thésaurisation de données”
• Traitement par des tiers : L’envoi de données vocales d’employés à des serveurs basés aux États-Unis viole Schrems II
• Exposition de données sensibles : Discussions sur la santé, évaluations de performance et questions RH dans les transcriptions = données de catégorie spéciale de l’article 9
• Pas d’accès des personnes concernées : Les employés ne peuvent pas demander ou supprimer leurs données de transcription

La transcription IA n’est pas illégale. Mais l’utiliser négligemment l’est absolument.

Exigences du RGPD pour la Transcription en Milieu Professionnel

Le Règlement Général sur la Protection des Données (RGPD) de l’UE établit des règles strictes pour le traitement des données des employés. Voici ce que la conformité exige réellement :

1. Base Légale (Article 6)

Vous avez besoin d’une des six bases légales pour traiter les enregistrements vocaux et les transcriptions des employés. En pratique, seules deux fonctionnent pour la plupart des entreprises :

Intérêt légitime (Article 6(1)(f)) : Vous pouvez transcrire des réunions si cela est nécessaire pour les opérations commerciales ET si les droits à la vie privée des employés ne l’emportent pas sur votre intérêt. Cela nécessite une évaluation documentée de l’intérêt légitime (LIA).

Consentement (Article 6(1)(a)) : Librement donné, spécifique, éclairé et univoque. “En participant à cet appel, vous consentez” n’est PAS un consentement valide en vertu du RGPD. Les employés doivent pouvoir refuser sans conséquences.

Important : Vous NE POUVEZ PAS utiliser la “nécessité contractuelle” (Article 6(1)(b)) ou l‘“obligation légale” (Article 6(1)(c)) pour la transcription de réunions de routine. Le Comité européen de la protection des données a été clair à ce sujet.

2. Transparence (Articles 13-14)

Avant d’enregistrer, les employés doivent savoir :

• Qui traite les données (nom de l’entreprise + tout fournisseur tiers)
• Pourquoi vous transcrivez (objectif commercial)
• Où les transcriptions sont stockées (emplacement des données, serveurs, fournisseurs de cloud)
• Combien de temps les transcriptions sont conservées (calendrier spécifique, pas “aussi longtemps que nécessaire”)
• Qui peut accéder aux transcriptions (rôles, départements, tiers)
• Comment demander la suppression (processus DSAR)

Cela doit être fait par écrit, en langage clair, avant le premier enregistrement.

3. Minimisation des données (Article 5(1)(c))

Vous ne pouvez transcrire que ce dont vous avez besoin. Si vous transcrivez pour suivre les actions, vous n’avez pas besoin de transcriptions intégrales et textuelles. Si vous avez besoin de résumés de réunions, vous n’avez pas besoin de stocker l’audio brut.

De nombreux outils d’IA transcrivent tout par défaut. C’est une violation du RGPD si vous n’avez pas de raison valable.

4. Limitation de la conservation (Article 5(1)(e))

Les transcriptions ne peuvent pas être conservées indéfiniment. Vous avez besoin d’un calendrier de conservation documenté :

• Éléments d’action / décisions : 30-90 jours
• Documentation de projet : Durée du projet + 6 mois
• Questions RH/juridiques : Selon les exigences du droit du travail (généralement 3-7 ans)
• Tout le reste : 30 jours maximum

Les politiques de suppression automatique sont essentielles. L’examen manuel n’est pas évolutif.

5. Données de catégories spéciales (Article 9)

Les informations sur la santé, l’appartenance syndicale, les opinions politiques et d’autres données sensibles nécessitent un consentement explicite ou une autre exception de l’Article 9. Si vos transcriptions peuvent capturer cela (réunions RH, entretiens d’évaluation), vous avez besoin de garanties supplémentaires.

Consentement des employés : Ce qui fonctionne réellement

Le “consentement implicite” n’existe pas selon le RGPD. Voici ce qui fonctionne :

Le consentement doit être spécifique

Mauvais : « Nous pouvons enregistrer les réunions à des fins de qualité et de formation. »

Bon : « Nous allons transcrire cette réunion à l’aide d’Otter.ai, qui traite l’audio aux États-Unis. Les transcriptions seront stockées pendant 30 jours et accessibles à [rôles spécifiques]. Vous pouvez refuser sans pénalité en informant [contact] avant le début de la réunion. »

Le consentement doit être donné librement

Les employés doivent pouvoir refuser sans conséquences négatives. Si refuser signifie qu’ils ne peuvent pas assister à la réunion ou participer à leur travail, ce n’est pas un consentement valide.

Solution : Proposer des méthodes de participation alternatives (option uniquement par téléphone, prise de notes manuelle, accès au résumé après la réunion).

Le consentement doit être documenté

Conservez des registres de qui a consenti, quand et à quoi. C’est essentiel pour les réponses aux DSAR et les audits.

Meilleure pratique : Utilisez une plateforme de gestion du consentement ou intégrez le suivi des opt-in/opt-out dans votre flux de travail de réunion.

Le consentement peut être retiré

Les employés peuvent révoquer leur consentement à tout moment. Vous devez supprimer leurs données dans les 30 jours, sauf si vous avez une autre base légale.

Traitement sur l’appareil vs Traitement dans le cloud

L’endroit où la transcription a lieu est extrêmement important pour la conformité :

Traitement dans le cloud (La plupart des outils d’IA)

• Audio envoyé à des serveurs tiers (AWS, Google Cloud, Azure)
• Données traversent les frontières (souvent vers les États-Unis, même pour les clients de l’UE)
• Nécessite un accord de traitement des données (DPA) avec le fournisseur
• Sujet aux incidents de sécurité et aux violations de données du fournisseur
• Peut nécessiter des clauses contractuelles types (CCT) pour les transferts UE→US

Impact sur la conformité : Risque élevé. Nécessite une diligence raisonnable approfondie des fournisseurs, des DPA et des évaluations d’impact sur les transferts.

Traitement sur l’appareil

• L’audio reste sur l’ordinateur de l’utilisateur ou le serveur de l’entreprise
• Pas d’accès tiers
• Pas de transferts de données transfrontaliers
• Contrôle total sur la rétention et la suppression

Impact sur la conformité : Faible risque. Plus facile à défendre en vertu de l’article 6, paragraphe 1, point f) intérêt légitime.

Outils avec options sur l’appareil : ScreenApp (mode local uniquement optionnel), Whisper (auto-hébergé), MacWhisper (transcription locale macOS).

Meilleures pratiques de rétention des données

Le stockage indéfini est une violation du RGPD. Voici ce qui fonctionne :

Politiques de suppression automatique

Définissez des règles de rétention basées sur le type de réunion :

Type de réunion	Période de rétention	Raison
Point quotidien	7 jours	Opérationnel uniquement
Planification de projet	90 jours	Durée du projet
Appels clients	1 an	Obligation contractuelle
Entretiens d’évaluation	3 ans (certaines juridictions 7)	Exigence du droit du travail
Enquêtes RH	7 ans	Défense juridique

Utilisez les fonctionnalités de suppression automatique. La suppression manuelle n’est pas effectuée de manière cohérente.

Anonymisation vs Suppression

L’anonymisation (suppression des noms, e-mails, informations d’identification) peut réduire les obligations de rétention. Mais c’est difficile à faire correctement. À moins d’avoir un véritable processus d’anonymisation (pas seulement une rédaction), traitez-le comme une rétention.

Rétention des sauvegardes

Les sauvegardes sont considérées comme de la rétention de données. Si vous supprimez une transcription mais qu’elle est toujours dans la sauvegarde de la nuit dernière pendant 90 jours, vous ne l’avez pas réellement supprimée.

Solution : Implémentez des règles d’exclusion de sauvegarde pour les dossiers de transcription ou utilisez des systèmes avec des contrôles de rétention granulaires.

Outils de transcription IA axés sur la confidentialité

Nous avons évalué 12 outils de transcription IA basés sur les fonctionnalités de confidentialité, les flux de travail de consentement et la conformité au RGPD. Voici ce que nous avons trouvé :

Comparaison détaillée de la confidentialité

Comment implémenter une transcription IA conforme

Voici une feuille de route de conformité étape par étape :

Étape 1 : Réaliser une analyse d’impact relative à la protection des données (AIPD)

Si vous traitez des données vocales d’employés à grande échelle, l’article 35 du RGPD exige une AIPD. Documentez :

• Quelles données vous collectez (enregistrements vocaux, transcriptions, noms des intervenants)
• Pourquoi vous les collectez (justification commerciale)
• Risques pour la vie privée des employés
• Mesures d’atténuation (cryptage, contrôles d’accès, limites de rétention)
• Analyse de la nécessité (pouvez-vous atteindre l’objectif avec moins de données ?)

Consultez votre Délégué à la Protection des Données (DPD) ou votre équipe juridique.

Étape 2 : Choisissez Votre Base Légale

Décidez si vous utilisez l’intérêt légitime (Article 6(1)(f)) ou le consentement (Article 6(1)(a)).

Intérêt légitime : Nécessite une évaluation d’intérêt légitime (EIL) documentée. Plus facile pour les réunions opérationnelles où la participation fait partie du travail.

Consentement : Nécessite des flux de travail d’opt-in. Mieux pour les réunions facultatives, les sessions de formation, ou les situations où la transcription n’est pas essentielle aux opérations commerciales.

Étape 3 : Mettez à Jour Votre Politique de Confidentialité

Ajoutez une section sur l’enregistrement et la transcription des réunions. Incluez :

• Quels outils vous utilisez (noms des fournisseurs)
• Où les données sont traitées (pays, fournisseur de cloud)
• Périodes de conservation (délais spécifiques)
• Contrôles d’accès (qui peut voir les transcriptions)
• Droits des employés (comment accéder, supprimer ou s’opposer)

Rendez-la accessible à tous les employés avant de commencer à enregistrer.

Étape 4 : Mettez en Œuvre les Flux de Travail de Consentement

Si vous utilisez le consentement comme base légale :

• Envoyez des notifications avant la réunion expliquant ce qui sera enregistré
• Fournissez un mécanisme d’opt-out
• Documentez le consentement (horodatage, ID de l’employé, ID de la réunion)
• Offrez des méthodes de participation alternatives pour les employés qui refusent

Étape 5 : Configurez les Politiques de Suppression Automatique

Définissez les règles de conservation dans votre outil de transcription :

• 7 jours pour les stand-ups quotidiens
• 30 jours pour la plupart des réunions opérationnelles
• 90 jours pour le contenu lié aux projets
• Conservation personnalisée pour les questions RH/juridiques (avec justification)

Testez la suppression automatique pour vous assurer qu’elle fonctionne réellement. De nombreux outils prétendent supprimer automatiquement mais nécessitent des déclencheurs manuels.

Étape 6 : Signer les Accords de Traitement des Données (ATD)

Si vous utilisez un outil basé sur le cloud, vous êtes un responsable du traitement des données et le fournisseur est un sous-traitant des données. L’article 28 du RGPD exige un ATD écrit.

Demandez des ATD à :

• Otter.ai, Fireflies.ai, Grain, tldv (tous les fournissent)
• Votre fournisseur de vidéoconférence (Zoom, Teams, Meet)
• Tout stockage cloud où les transcriptions sont enregistrées (Google Drive, OneDrive, Dropbox)

Étape 7 : Former les Managers et les Employés

La plupart des échecs de conformité se produisent parce que les utilisateurs ne connaissent pas les règles. Offrez une formation sur :

• Quand l’enregistrement est autorisé et ne l’est pas
• Comment obtenir le consentement
• Ce qui peut et ne peut pas être partagé à partir des transcriptions
• Comment gérer les demandes d’accès des personnes concernées
• Les politiques de conservation

Faites-en une formation récurrente (annuellement minimum).

Ce qu’il faut faire avec ScreenApp

Nous avons conçu ScreenApp spécifiquement pour résoudre ces problèmes de conformité. Voici comment l’utiliser de manière conforme à la vie privée :

1. Activez la transcription sur l’appareil pour les réunions sensibles (RH, juridique, entretiens d’évaluation)
2. Utilisez la résidence des données dans l’UE si votre entreprise est soumise au RGPD
3. Définissez la suppression automatique à 30 jours pour la plupart des réunions (ou moins si vous n’avez pas besoin d’une conservation à long terme)
4. Activez le mode de rétention des données zéro pour une confidentialité maximale (les transcriptions ne quittent jamais votre navigateur)
5. Utilisez des contrôles d’accès basés sur les rôles pour limiter qui peut voir les transcriptions

Facultatif : Activez l’accès API (19 $/mois) pour créer des workflows de rétention personnalisés et vous intégrer à vos systèmes de conformité.

Après l’implémentation

Une fois votre système de transcription conforme mis en place :

• Preneur de notes de réunion IA : Générez des notes structurées à partir de transcriptions conformes
• Synthétiseur vidéo : Transformez des réunions d’une heure en résumés de 2 minutes
• Vidéo vers document : Exportez des transcriptions avec horodatages pour la conservation des enregistrements

FAQ

Puis-je transcrire des réunions sans le consentement des employés ?

En vertu du RGPD, vous avez besoin soit d’une base légale (Article 6) SOIT du consentement. L’intérêt légitime (Article 6, paragraphe 1, point f)) peut être suffisant pour les réunions opérationnelles où la transcription répond à un besoin commercial documenté. Mais vous devez toujours notifier les employés et leur permettre de s’opposer. En Allemagne, en France et en Autriche, les comités d’entreprise exigent souvent un consentement explicite quelle que soit la base légale.

Quelle est la différence entre la transcription sur appareil et la transcription cloud en matière de confidentialité ?

La transcription sur appareil traite l’audio localement sur votre ordinateur. L’audio ne quitte jamais votre machine, il n’y a donc pas d’accès tiers, pas de transfert de données transfrontalier et pas de risque de sécurité lié au fournisseur. La transcription cloud envoie l’audio à des serveurs tiers (généralement AWS ou Google Cloud), ce qui nécessite des accords de traitement des données, crée des obligations de transfert RGPD et dépend des pratiques de sécurité du fournisseur.

Combien de temps puis-je conserver les transcriptions de réunions en vertu du RGPD ?

L’article 5, paragraphe 1, point e) du RGPD exige une limitation de la conservation : vous ne pouvez conserver les données que le temps nécessaire à la finalité pour laquelle vous les avez collectées. Pour le suivi des éléments d’action, 30 jours est raisonnable. Pour la documentation de projet, 90 jours. Pour les questions de RH ou juridiques, le droit du travail peut exiger 3 à 7 ans. Vous devez documenter votre justification de conservation et mettre en œuvre des politiques de suppression automatique.

Ai-je besoin d’un accord de traitement des données avec mon fournisseur de transcription ?

Oui, si le fournisseur traite les données des employés en votre nom (RGPD Article 28). Les outils basés sur le cloud comme Otter.ai, Fireflies.ai, Rev.ai et Grain nécessitent tous des APD. Le fournisseur doit fournir un modèle d’APD standard. Examinez-le pour vous assurer qu’il couvre l’emplacement des données, les sous-traitants, les mesures de sécurité, la notification de violation et les obligations de suppression des données.

Que se passe-t-il si un employé demande la suppression de ses données de transcription ?

En vertu de l’article 17 du RGPD, les employés ont un droit à l’effacement. Vous devez supprimer leurs données dans les 30 jours, sauf si vous avez une obligation légale de les conserver (par exemple, droit du travail, procédure judiciaire en cours). Cela inclut la suppression des transcriptions, des fichiers audio et de toute sauvegarde. Documentez la demande de suppression et confirmez l’achèvement par écrit à l’employé.

Est-il illégal d’enregistrer un appel Zoom sans consentement ?

Cela dépend de la juridiction. Dans l’UE, en vertu du RGPD, vous avez besoin d’une base légale (consentement ou intérêt légitime) et devez informer les participants. Aux États-Unis, la loi fédérale autorise l’enregistrement si une partie y consent (l’enregistreur), mais 11 États exigent le consentement de toutes les parties (Californie, Connecticut, Floride, Illinois, Maryland, Massachusetts, Michigan, Montana, New Hampshire, Pennsylvanie, Washington). Vérifiez les lois locales avant d’enregistrer.

Puis-je utiliser ChatGPT ou Claude pour analyser les transcriptions de réunions ?

Possiblement, mais soyez prudent. L’envoi de transcriptions à OpenAI ou Anthropic signifie que les données vocales des employés sont traitées par un tiers basé aux États-Unis. En vertu du RGPD, il s’agit d’un transfert de données transfrontalier nécessitant des clauses contractuelles types et une évaluation de l’impact du transfert. Les deux fournisseurs proposent des DPA, mais vous restez responsable de la conformité. Envisagez d’utiliser des modèles d’IA sur appareil ou des alternatives hébergées dans l’UE pour les données sensibles.