Transcription de reunions et RGPD : pourquoi le traitement sur l'appareil est le choix le plus sur

Si tu transcris tes reunions avec un outil cloud, chaque mot prononce dans cet appel atterrit sur le serveur de quelqu’un d’autre. Sous le RGPD, ce n’est pas juste une question de vie privee — c’est une question de conformite avec des consequences bien reelles.

La plupart des equipes n’y pensent pas avant qu’il ne soit trop tard. Elles installent Otter ou Fireflies, commencent a transcrire, et supposent que quelqu’un au juridique a deja donne son accord. En general, personne ne l’a fait.

Cet article explique ce que le RGPD exige concretement quand tu transcris des reunions, ou les outils cloud posent probleme, et pourquoi la transcription sur l’appareil est le chemin le plus simple vers la conformite. Que tu sois Delegue a la Protection des Donnees en train d’auditer ta pile d’outils, ou responsable d’equipe qui veut juste transcrire les standups sans creer de risque juridique, voici ce que tu dois savoir.

Ce que dit le RGPD sur la transcription de reunions

Le RGPD ne mentionne pas la “transcription de reunions” nommement. Mais il couvre les donnees que la transcription cree — et le traitement qui les cree.

Voici ce qui s’applique :

L’audio est une donnee personnelle

Un enregistrement de la voix de quelqu’un est une donnee personnelle au sens du RGPD (Article 4). Il identifie une personne physique. Des que tu appuies sur enregistrer, tu traites des donnees personnelles.

Les transcriptions sont des donnees personnelles

Le texte produit — noms, opinions, declarations — est aussi une donnee personnelle. Si la transcription inclut des etiquettes d’interlocuteurs (et elle le devrait), elle est directement liee a des personnes identifiables.

Tu as besoin d’une base legale

Selon l’Article 6, tu as besoin d’une base legale pour traiter ces donnees. Pour la plupart des transcriptions de reunions, c’est soit :

• L’interet legitime (Article 6(1)(f)) — tu as un besoin professionnel reel, mis en balance avec les droits des participants
• Le consentement (Article 6(1)(a)) — les participants acceptent explicitement d’etre enregistres et transcrits

Le consentement est la voie la plus propre pour les appels externes. Pour les reunions d’equipe internes, l’interet legitime peut s’appliquer — mais tu dois quand meme le documenter.

Tu dois informer les participants

Les Articles 13 et 14 exigent la transparence. Les participants doivent savoir :

• Que la reunion est enregistree et transcrite
• Qui traite les donnees
• Ou les donnees sont stockees
• Combien de temps elles sont conservees
• Leurs droits (acces, suppression, opposition)

Cela s’applique que tu utilises un outil cloud ou un outil local. La difference, c’est ce que tu dois divulguer.

Pourquoi les outils cloud comme Otter et Fireflies creent des risques RGPD

La transcription cloud ne fait pas que traiter l’audio — elle le transfere. Et sous le RGPD, les transferts comptent.

Traitement par un tiers

Quand tu utilises Otter, Fireflies, Granola ou n’importe quel service de transcription cloud, l’audio de ta reunion est envoye sur leurs serveurs pour traitement. Sous le RGPD, cela en fait un sous-traitant — et tu as besoin d’un Accord de Traitement des Donnees (DPA) en place avant que le premier octet ne quitte ta machine.

La plupart des equipes n’en ont pas. Beaucoup ne savent meme pas qu’elles en ont besoin.

Transferts internationaux de donnees

Si le fournisseur de transcription est base aux Etats-Unis (Otter, Fireflies, Granola le sont tous), tu transferes des donnees personnelles en dehors de l’UE/EEE. Depuis l’arret Schrems II, cela necessite soit :

• Des Clauses Contractuelles Types (CCT) avec une Analyse d’Impact du Transfert
• Le recours au EU-U.S. Data Privacy Framework (si le fournisseur est certifie)
• Une autre garantie au titre de l’Article 46

Le EU-U.S. Data Privacy Framework existe, mais sa stabilite a long terme est incertaine — les deux predecesseurs (Safe Harbor et Privacy Shield) ont tous deux ete invalides par la Cour de Justice. S’y fier exclusivement est un pari. Les politiques des concurrents decrites ci-dessous datent d’avril 2026 et peuvent changer.

Donnees utilisees pour l’entrainement de modeles

La Politique de confidentialite d’Otter declare : “We also train our technology on transcriptions to provide more accurate services, which may contain Personal Information.” Sous le RGPD, utiliser des donnees personnelles pour entrainer des modeles d’IA necessite sa propre base legale et ses propres obligations de transparence. Si les participants n’ont pas consenti a ce que l’audio de leur reunion entraine les modeles de reconnaissance vocale d’Otter, c’est un probleme.

Risques lies aux donnees biometriques

Fireflies fait l’objet d’un proces au titre de la loi de l’Illinois sur la confidentialite des informations biometriques (BIPA) pour collecte d’empreintes vocales. Les donnees vocales peuvent constituer des donnees biometriques au sens de l’Article 9 du RGPD — une categorie speciale qui necessite un consentement explicite. Si ton outil de transcription cree des profils vocaux pour l’identification des interlocuteurs, tu pourrais avoir besoin de la conformite Article 9 en plus de tout le reste.

Le probleme du bot

Le bot d’Otter rejoint automatiquement les reunions. Une plainte en recours collectif federal (Brewer v. Otter.ai, Inc., aout 2025) allegue que cela viole les lois sur les ecoutes et la vie privee. Sous le RGPD, un bot non invite qui enregistre des participants qui n’ont pas ete informes — et encore moins qui n’ont pas consenti — constitue au minimum un manquement a la transparence.

A quoi ressemble une configuration de transcription conforme au RGPD

Tu peux transcrire des reunions et rester conforme au RGPD. Les exigences sont :

1. Informer les participants avant le debut de l’enregistrement (transparence)
2. Avoir une base legale documentee (consentement ou interet legitime)
3. Minimiser le traitement des donnees — n’envoie pas de donnees a des tiers sauf si c’est necessaire (minimisation des donnees, Article 5(1)(c))
4. Controler ou vont les donnees — savoir exactement quels serveurs traitent ton audio (responsabilite)
5. Permettre l’exercice des droits — les participants peuvent demander l’acces ou la suppression de leurs donnees
6. Avoir un DPA avec tout sous-traitant qui touche aux donnees

Les points 3 et 4 sont ceux ou les outils cloud compliquent les choses. La transcription sur l’appareil les rend triviaux.

Comment la transcription sur l’appareil simplifie la conformite RGPD

Quand la transcription s’execute entierement sur ta machine, plusieurs casse-tetes RGPD disparaissent :

Pas de sous-traitant

Si l’audio ne quitte jamais ton Mac, il n’y a pas de sous-traitant a gerer. Pas de DPA necessaire pour la transcription. Pas de politique de confidentialite d’un prestataire a auditer. Pas de chaine de sous-traitants a tracer.

Tu es le responsable de traitement, et le traitement se fait sur du materiel que tu controles. C’est la posture de conformite la plus simple possible.

Pas de transfert international

Pas de serveur en Virginie. Pas de cloud a Francfort. Pas de mecanisme de transfert necessaire. Les donnees restent sur l’appareil, dans la juridiction ou elles ont ete creees.

Pas d’entrainement de modele sur tes donnees

La reconnaissance vocale sur l’appareil (comme le Neural Engine d’Apple) execute des modeles pre-entraines localement. Ton audio n’entraine rien. Il n’y a pas de finalite de traitement secondaire a declarer.

La suppression est reelle

Quand tu supprimes un fichier de transcription de ton Mac, il est parti. Tu ne comptes pas sur un fournisseur cloud pour reellement le purger de ses sauvegardes, pipelines d’entrainement et systemes d’analyse. Tu controles l’integralite du cycle de vie des donnees.

Minimisation des donnees par defaut

Le principe de minimisation des donnees du RGPD (Article 5(1)(c)) dit que tu ne dois traiter que ce qui est necessaire. La transcription sur l’appareil traite l’audio localement et ecrit un fichier texte. Aucun audio n’est conserve dans un tableau de bord cloud. Aucune metadonnee n’est journalisee sur les serveurs d’un tiers. Le traitement est intrinsequement minimal.

Ce que tu dois encore faire

La transcription sur l’appareil ne te rend pas automatiquement conforme au RGPD. Tu dois encore :

• Informer les participants que la reunion est enregistree et transcrite
• Documenter ta base legale (consentement ou analyse d’interet legitime)
• Gerer la conservation des transcriptions — ne garde pas les transcriptions indefiniment sans raison
• Traiter les demandes d’exercice de droits — si quelqu’un demande ses donnees ou leur suppression, tu dois t’y conformer
• Securiser l’appareil — les fichiers de transcription sur ton Mac sont sous ta responsabilite (chiffrement, controle d’acces, etc.)

La difference, c’est que ce sont des obligations standard que tu aurais de toute facon. La transcription cloud ajoute par-dessus une couche de risque lie aux tiers, de mecanismes de transfert, de DPA et d’audits de sous-traitants.

Local Transcriber : transcription de reunions conforme au RGPD sur Mac

Local Transcriber est un outil de transcription conforme au RGPD qui traite tout sur ton Mac. Capture audio, reconnaissance vocale, diarisation des interlocuteurs — tout sur l’appareil grace au Neural Engine d’Apple. Aucun audio n’est telecharge. Aucune donnee ne quitte ta machine. La confidentialite de la transcription locale n’est pas une fonctionnalite qu’on ajoute apres coup — c’est l’architecture.

Comment le verifier : Active le Mode Avion et transcris un appel. Ca fonctionne. Ouvre le Moniteur d’activite — zero connexion sortante. C’est la preuve.

Ce que cela signifie pour le RGPD :

Exigence RGPD	Outils cloud	Local Transcriber
Accord de Traitement des Donnees	Requis avec chaque fournisseur	Pas necessaire — pas de sous-traitant
Mecanisme de transfert international	CCT ou certification DPF requises	Pas necessaire — les donnees restent sur ton Mac
Declaration d’entrainement de modele	Requise (Otter entraine sur les transcriptions)	Non applicable — aucune donnee ne quitte l’appareil
Suppression des donnees	Depend des politiques de conservation du fournisseur	Supprime le fichier. C’est fait.
Minimisation des donnees	Audio stocke sur serveurs cloud + tableaux de bord	Audio traite localement, transcription sauvegardee en fichier .md
Audit des sous-traitants	Necessaire de suivre les sous-traitants du fournisseur	Pas de sous-traitants

Les transcriptions sont sauvegardees en fichiers .md sur ton systeme de fichiers. Tu controles ou elles sont stockees, combien de temps elles sont conservees, et qui y a acces. Si quelqu’un exerce son droit a l’effacement, tu supprimes le fichier. Pour tous les details sur la facon dont Local Transcriber gere tes donnees, consulte notre politique de confidentialite.

Questions frequentes

Ai-je encore besoin du consentement pour enregistrer si j’utilise la transcription sur l’appareil ?

Oui. Le RGPD exige une base legale quel que soit le lieu du traitement. Tu dois toujours informer les participants et avoir soit le consentement, soit une analyse d’interet legitime. La transcription sur l’appareil simplifie le volet traitement — elle n’elimine pas l’exigence de transparence.

Les donnees vocales sont-elles des donnees biometriques au sens du RGPD ?

Ca depend. L’Article 9 couvre les donnees biometriques “aux fins d’identifier une personne physique de maniere unique”. Si ton outil cree des empreintes vocales ou des profils vocaux pour l’identification des interlocuteurs, cela peut declencher les exigences plus strictes de l’Article 9 (consentement explicite). Local Transcriber utilise la diarisation sur l’appareil d’Apple, qui identifie les interlocuteurs au sein d’une session mais ne cree pas de profils vocaux persistants stockes d’un enregistrement a l’autre.

Qu’en est-il des lois sur l’enregistrement (comme le consentement bipartite) ?

Le RGPD est distinct des lois sur les ecoutes et le consentement a l’enregistrement, qui varient selon les pays et parfois selon les regions. En Allemagne, enregistrer sans consentement peut constituer une infraction penale. Au Royaume-Uni, le consentement d’une seule partie s’applique generalement. Tu dois te conformer a la fois au RGPD et aux lois locales sur l’enregistrement. Informe toujours les participants.

Local Transcriber fonctionne-t-il avec Zoom, Teams et Google Meet ?

Oui. Il capture l’audio systeme — n’importe quelle application qui diffuse du son via ton Mac. Zoom, Google Meet, Microsoft Teams et tout le reste. Aucun bot ne rejoint ton appel, aucun lien de reunion n’est partage avec un tiers.

Mon DPO peut-il verifier qu’aucune donnee ne quitte l’appareil ?

Oui. Lance Local Transcriber en Mode Avion — il fonctionne entierement hors ligne. Surveille l’activite reseau avec le Moniteur d’activite ou Little Snitch pendant un enregistrement. Zero connexion sortante. C’est une affirmation auditable et verifiable, pas une declaration du type “faites-nous confiance”.