RGPD et transcription IA : Où sont vraiment hébergées vos données de réunion en 2026 ?

En résumé : une transcription de réunion contient des données personnelles (voix, noms, propos tenus) et relève donc du RGPD dès qu’un participant est identifiable. L’hébergement en Union européenne est un bon point de départ, mais il ne suffit pas : si l’éditeur de l’outil est une entreprise américaine ou une filiale d’un groupe américain, le Cloud Act peut s’appliquer même si les serveurs sont physiquement situés à Paris ou à Francfort. Avant de choisir un outil, il faut vérifier trois choses : la nationalité juridique de l’éditeur, la durée de conservation de l’audio brut, et l’existence d’une base légale documentée pour l’enregistrement.

Sommaire

• Vos données de réunion sont-elles vraiment des données personnelles ?
• Hébergement en Europe : nécessaire, mais pas toujours suffisant
• rgpd transcription ia données : les points à vérifier avant de choisir un outil
• Base légale, consentement et durée de conservation
• AIPD : quand l’analyse d’impact devient obligatoire
• Ce que prépare la CNIL en 2026 sur l’analyse automatique des communications vocales
• FAQ

Vos données de réunion sont-elles vraiment des données personnelles ?

La réponse est oui, sans ambiguïté. Un enregistrement de réunion capte des voix, des noms, parfois des informations RH, commerciales ou stratégiques. Dès qu’une personne peut être identifiée, directement ou indirectement, ces éléments tombent sous le régime du RGPD.

L’autorité espagnole de protection des données (AEPD) l’a rappelé dans deux guides publiés en janvier puis en avril 2026, consacrés spécifiquement à la transcription vocale par IA : le contenu de la parole et ses métadonnées associées (numéro appelant, adresse IP, données de connexion) constituent des données personnelles dès qu’ils sont rattachables à une personne identifiable, sauf anonymisation intégrale ou recours à une voix purement synthétique (source : AEPD). Cette position, portée par une autorité européenne active sur l’IA, a vocation à être reprise par les autres régulateurs nationaux, dont la CNIL.

Une nuance mérite d’être apportée, car elle change concrètement le niveau d’exigence : la voix n’est pas automatiquement une donnée biométrique au sens de l’article 9 du RGPD, qui impose un régime renforcé. Elle le devient lorsque le traitement vise spécifiquement l’identification univoque d’une personne, par exemple la reconnaissance ou l’authentification du locuteur. Pour une transcription qui se contente de retranscrire du texte et d’attribuer les prises de parole à des libellés génériques, on reste le plus souvent dans le régime standard de l’article 6, mais avec un niveau de risque suffisant pour déclencher une AIPD dans la plupart des usages professionnels.

Ce qui se passe techniquement quand vous activez la transcription

Le circuit est presque toujours le même :

• Captation de l’audio pendant l’appel (via un bot qui rejoint la réunion, ou une intégration native à l’outil de visioconférence)
• Transfert du flux audio vers un moteur de reconnaissance vocale
• Génération du texte, puis d’un résumé ou d’un compte rendu structuré
• Stockage de l’audio, de la transcription et du résumé
• Diffusion aux destinataires prévus, puis suppression programmée (ou non)

Chacune de ces étapes est un traitement de données personnelles distinct. C’est ce niveau de détail que beaucoup de comparatifs d’outils passent sous silence : la conformité ne se joue pas seulement au moment du stockage, mais à chaque maillon de la chaîne.

Hébergement en Europe : nécessaire, mais pas toujours suffisant

La quasi-totalité des guides RGPD sur la transcription IA s’arrêtent à une seule question : où sont hébergées les données ? C’est une bonne question, mais incomplète. Elle en oublie une autre, plus déterminante : qui est juridiquement responsable de l’hébergeur ?

Le siège de l’éditeur compte autant que l’adresse du datacenter

Un serveur physiquement situé en France ne garantit rien si la société qui l’exploite dépend du droit américain. C’est exactement le cas d’un grand nombre de solutions cloud utilisées par les PME françaises : la filiale européenne héberge bien les données sur le territoire européen, mais la maison mère reste soumise à la loi de son pays d’origine.

Cloud Act : pourquoi « hébergé en France » ne veut pas toujours dire « protégé »

Le Cloud Act américain, adopté en mars 2018, autorise les autorités fédérales américaines à exiger d’une entreprise soumise au droit des États-Unis la communication de données qu’elle héberge, y compris lorsque ces données sont stockées en dehors du territoire américain (source : texte de loi, Congress.gov). Le critère n’est donc pas la localisation du serveur, mais la nationalité juridique de la société qui l’opère.

Cela ne veut pas dire que tout transfert de données vers un prestataire américain est interdit. Depuis juillet 2023, la Commission européenne reconnaît que les entreprises américaines certifiées dans le cadre du Data Privacy Framework offrent un niveau de protection jugé adéquat, ce qui autorise les transferts vers ces organismes (source : CNIL).

Mais cette adéquation encadre les transferts de données. Elle ne neutralise pas le mécanisme du Cloud Act, qui reste une voie d’accès distincte, indépendante de la localisation du serveur.

Ce cadre n’est d’ailleurs pas gravé dans le marbre. Le Tribunal de l’Union européenne l’a validé une première fois en septembre 2025, en rejetant le recours du député Philippe Latombe. Cette décision a toutefois été portée en appel devant la Cour de justice de l’UE.

Une nouvelle contestation, plus large, est par ailleurs annoncée par l’association noyb. Elle fait suite à une décision de la Cour suprême américaine de juin 2026 qui fragilise l’indépendance de l’organe de recours censé garantir les droits des citoyens européens aux États-Unis (source : activeMind.legal). Le cadre juridique qui autorise aujourd’hui certains transferts vers les États-Unis reste donc un terrain mouvant, comme l’ont déjà montré les invalidations successives du Safe Harbor puis du Privacy Shield.

En pratique, plusieurs éditeurs français de solutions de transcription ont construit leur architecture en tenant compte de ces critères : hébergement exclusif des données en France et en Europe, chiffrement au repos, absence de réutilisation des enregistrements pour l’entraînement des modèles, et exécution des modèles d’IA eux-mêmes sur des infrastructures européennes. C’est le cas par exemple de Gaia Scribe, l’outil de transcription édité par Gaia Cloud. Ces quatre critères techniques réduisent sensiblement l’exposition aux risques de transfert international, mais ils ne dispensent pas de vérifier, comme évoqué plus haut, la nationalité juridique et l’actionnariat de l’éditeur lui-même : c’est la combinaison des deux qui détermine le niveau de protection réel.

Pour une PME qui traite des échanges sensibles (RH, direction, données clients), la question à poser à un éditeur n’est donc plus seulement « où sont mes données ? », mais « quelle est la loi applicable à votre société et à vos sous-traitants techniques ? ». Notre comparatif des logiciels de retranscription de réunion détaille ce critère pour les principales solutions du marché.

rgpd transcription ia données : les points à vérifier avant de choisir un outil

Avant de déployer un outil de transcription à l’échelle d’une équipe ou d’une entreprise, voici les questions concrètes à poser à l’éditeur :

• Nationalité juridique : l’éditeur et ses sous-traitants (moteur de reconnaissance vocale, hébergeur) sont-ils soumis à une législation extraterritoriale comme le Cloud Act ?
• Localisation réelle des serveurs : audio, transcription et sauvegardes sont-ils tous hébergés dans l’UE, y compris les backups ?
• Réutilisation des données : les enregistrements servent-ils à entraîner les modèles de l’éditeur, et peut-on s’y opposer contractuellement ? Le Comité européen de la protection des données (CEPD) a rappelé qu’un modèle entraîné sur des données personnelles ne peut pas être considéré comme anonyme par défaut : la démonstration doit se faire au cas par cas (source : CEPD, avis 28/2024). Un outil qui n’utilise jamais les données clients pour l’entraînement écarte d’emblée cette difficulté.
• DPA signable : l’éditeur propose-t-il un accord de traitement des données conforme à l’article 28 du RGPD ?
• Durée de conservation : l’audio brut est-il supprimé automatiquement une fois le compte rendu validé ?
• Gestion du refus : un participant qui s’oppose à l’enregistrement peut-il faire couper la transcription immédiatement ?

Aucun de ces points n’est théorique. Ce sont exactement les critères que reprennent les autorités de contrôle lorsqu’elles examinent un dossier de conformité sur ce type d’outil.

Base légale, consentement et durée de conservation

Quelle base légale retenir pour transcrire une réunion

En interne, le consentement d’un salarié est rarement considéré comme libre au sens du RGPD, en raison du lien de subordination avec l’employeur. La base légale la plus solide, pour la rédaction de comptes rendus internes, reste généralement l’intérêt légitime de l’entreprise, à condition qu’il soit documenté et que les personnes concernées soient informées avant l’enregistrement.

Pour les échanges avec des tiers (clients, candidats, partenaires), l’information doit être explicite et donnée avant le début de la réunion : identité du responsable de traitement, finalité, base légale, durée de conservation, modalités d’exercice des droits. Une simple mention « cette réunion est enregistrée » affichée par l’outil de visioconférence ne suffit pas à elle seule.

Ce n’est pas un point théorique. Dans son bilan 2025, publié en février 2026, la CNIL indique que la surveillance des salariés figure parmi les principaux sujets ayant donné lieu à des sanctions, aux côtés des cookies et de la sécurité des données (source : CNIL, bilan des sanctions 2025). Un outil de transcription mal encadré, qui enregistre systématiquement les échanges d’une équipe sans information claire, coche exactement les critères que la CNIL surveille sur ce terrain.

Combien de temps conserver l’audio et le compte rendu

La bonne pratique, largement partagée par les cabinets de conseil en conformité, consiste à :

• Supprimer le fichier audio brut dès que le compte rendu textuel est validé
• Ne conserver que le document final, avec une durée définie et documentée dans le registre des traitements
• Paramétrer une purge automatique plutôt que de compter sur une suppression manuelle, source d’oublis

Cette logique de minimisation rejoint le principe posé par l’article 5.1.c du RGPD : ne collecter et ne conserver que ce qui est strictement nécessaire à la finalité poursuivie.

AIPD : quand l’analyse d’impact devient obligatoire

L’analyse d’impact relative à la protection des données (AIPD) est un outil qui permet de construire un traitement conforme au RGPD. Elle concerne les traitements susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes concernées (source : CNIL).

Concrètement, deux grilles de lecture se combinent. En France, la CNIL a publié une liste de quatorze types de traitements pour lesquels l’AIPD est systématiquement obligatoire, comme la vidéosurveillance des salariés manipulant de l’argent ou le traitement de données de santé par un établissement de soins (délibération n° 2018-327 du 11 octobre 2018, source : Légifrance). Un outil de transcription IA déployé à l’échelle d’une entreprise n’y figure pas nommément.

Pour tous les autres traitements, on applique la grille des neuf critères de risque élevé définis par le G29, devenu depuis le Comité européen de la protection des données (lignes directrices WP248 rev.01, endossées par le CEPD, source : CNIL, traduction française). Dès que deux de ces critères sont réunis, une AIPD est en principe requise.

Pour la transcription automatique de réunions, plusieurs de ces critères se cumulent souvent : usage à l’échelle de toute une organisation (traitement à grande échelle), surveillance potentielle de l’activité des salariés (surveillance systématique), recours à une technologie innovante d’IA (usage innovant). C’est particulièrement le cas dans les secteurs réglementés (santé, collectivités, services de prévention), où une AIPD est fortement recommandée avant tout déploiement généralisé. Si l’outil va au-delà de la simple retranscription et produit des analyses comportementales ou des scores, la vigilance doit encore augmenter : ce type de traitement peut relever de l’évaluation ou du profilage au sens de ces mêmes critères.

Ce que prépare la CNIL en 2026 sur l’analyse automatique des communications vocales

Le sujet n’est pas figé. Dans son programme de travail pour 2026, la CNIL indique qu’elle va lancer des travaux destinés à clarifier les conditions d’usage des outils de transcription et d’analyse automatique au sein des centres d’appels et des logiciels de visioconférence, à travers des cas d’usage correspondant aux pratiques réelles des entreprises (source : CNIL, programme de travail 2026).

Concrètement, cela signifie que la doctrine française sur ce sujet est encore en construction. Les entreprises qui documentent dès maintenant leurs usages, leur base légale et leurs choix d’hébergement partent avec une longueur d’avance le jour où ces recommandations seront publiées. C’est aussi une bonne raison de traiter la question de la gouvernance des outils de transcription utilisés spontanément par les équipes, plutôt que de la découvrir a posteriori lors d’un contrôle.

Pour les entreprises déjà engagées dans une démarche de conformité RGPD plus large, il peut être utile d’articuler cette question avec les autres obligations réglementaires en cours, notamment sur le volet sécurité des données.

FAQ