Pourquoi la voix pose une question particulière
Au-delà du sens des mots, la voix véhicule de nombreuses informations sur la personne qui parle : âge, sexe, état physique, accent, origine géographique et socio-culturelle, éducation, état de santé ou état émotionnel. Elle peut aussi servir à identifier une personne de façon unique, ce qui en fait potentiellement une donnée biométrique. C'est ce que rappelle la CNIL dans son livre blanc consacré aux assistants vocaux.
Le RGPD ne réserve pourtant aucun statut particulier à la voix en tant que telle. Tout dépend du traitement qui en est fait. Un même enregistrement peut relever de trois régimes juridiques différents selon l'usage, ce qui impose de distinguer précisément les traitements en jeu avant de choisir une base légale. C'est l'erreur la plus fréquente : raisonner sur « l'outil » alors qu'il faut raisonner sur chacun des traitements qu'il opère.
Les trois traitements cachés derrière une réunion enregistrée
Une seule réunion enregistrée déclenche en réalité trois traitements distincts, qui n'obéissent pas aux mêmes règles : l'enregistrement audio brut, l'attribution des prises de parole et la transcription du contenu verbal. Les qualifier séparément est le point de départ de toute analyse sérieuse.
1. L'enregistrement audio brut
C'est une donnée personnelle ordinaire : la voix permet d'identifier une personne, sans devenir sensible du seul fait d'être enregistrée. Le régime est celui de l'article 6 du RGPD, avec les obligations habituelles d'information, de sécurité et de limitation de la conservation.
2. L'attribution des prises de parole (diarisation)
Deux cas très différents se cachent sous ce terme technique. Une attribution manuelle ou fondée sur l'ordre de prise de parole reste un traitement de données personnelles classique. En revanche, si l'outil reconnaît automatiquement chaque personne à partir de ses caractéristiques vocales, après un enrôlement préalable de sa voix, il s'agit d'un traitement de données biométriques au sens de l'article 9 du RGPD, avec le régime le plus strict qui l'accompagne.
C'est le point à vérifier en priorité auprès de votre fournisseur, fiche technique à l'appui. Beaucoup d'organisations l'ignorent au moment de la souscription.
3. La transcription du contenu verbal
C'est le texte produit par l'outil. Il peut faire apparaître, indépendamment de toute biométrie, des données sensibles au sens de l'article 9 : opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, vie sexuelle. S'y ajoutent des données de santé ou d'origine raciale ou ethnique inférées du signal lui-même.
Quelle base légale, selon le type de réunion
Trois situations se présentent, qui n'appellent pas la même réponse : les réunions dont le compte rendu est imposé par un texte, les réunions internes sans obligation, enfin la reconnaissance biométrique du locuteur, qui constitue toujours un traitement à part.
Réunions dont le compte rendu est imposé par un texte
Séances d'un conseil municipal, réunions d'un comité social et économique, assemblées générales de société ou de copropriété : un texte impose la rédaction d'un procès-verbal. La base légale est alors l'obligation légale, ce qui dispense de recueillir l'accord des participants pour la captation et la rédaction du compte rendu.
Réunions internes sans obligation de compte rendu
Points d'équipe, comités de pilotage, réunions de service : c'est la majorité des cas. La base appropriée est l'intérêt légitime, qui suppose de documenter un test de mise en balance entre l'intérêt à documenter la réunion et l'impact potentiel sur les participants.
Reconnaissance biométrique du locuteur, quel que soit le contexte
Que la réunion relève ou non d'une obligation de compte rendu, la reconnaissance automatique du locuteur reste un traitement distinct, non couvert par cette obligation : un texte qui impose un procès-verbal n'impose jamais les moyens techniques employés pour l'établir. Le consentement explicite devient la seule base réellement praticable, avec une alternative obligatoire pour ceux qui refuseraient.
Un point de vigilance s'impose lorsque les participants sont des salariés de l'organisation qui déploie l'outil : le consentement d'un salarié à son employeur n'est pas toujours valable, le lien de subordination faisant obstacle à sa liberté. Il ne peut être retenu que s'il s'accompagne d'une alternative réelle, sans conséquence négative pour la personne qui refuse.
Ce que change concrètement la base légale retenue
Le choix de la base n'est pas une formalité de registre : il modifie les droits des participants et vos propres obligations.
| Base légale | Droit d'opposition | Test à documenter | Durée de conservation |
|---|---|---|---|
| Obligation légale | Non applicable | Identification précise du texte applicable, plus analyse d'impact | Fixée par les règles d'archivage applicables |
| Intérêt légitime | Oui | Test de mise en balance et analyse d'impact | Définie par le responsable de traitement |
| Consentement (biométrie) | Retrait possible à tout moment | Analyse d'impact | Limitée à la finalité, alternative obligatoire |
Un point mérite d'être souligné : contrairement à l'intérêt légitime, l'obligation légale ne permet pas d'exercer le droit d'opposition prévu à l'article 21 du RGPD. Un participant ne peut donc pas s'opposer à la captation ou à la rédaction du procès-verbal au nom du RGPD, dès lors qu'un texte impose ce document. L'information préalable reste en revanche obligatoire dans tous les cas, en citant le texte exact lorsque la base est l'obligation légale. Ces arbitrages ont vocation à figurer dans votre registre des traitements et, le plus souvent, dans une analyse d'impact.
Le risque le plus sous-estimé : le contenu du compte rendu
Quelle que soit la base légale retenue, la transcription automatique retranscrit tout : les propos informels, les apartés, les sujets sensibles évoqués incidemment. Contrairement à un compte rendu rédigé à la main, rien n'est filtré. Or le texte qui impose éventuellement le procès-verbal n'exige généralement pas d'y faire figurer ce niveau de détail.
Une relecture humaine systématique avant validation et diffusion reste donc indispensable, pour ne conserver que ce que la finalité du document justifie réellement. Pour les collectivités, un réflexe complémentaire s'impose avant publication : anonymiser les mentions concernant des tiers, à l'exception des élus agissant dans l'exercice de leur mandat.
La même logique gouverne les durées de conservation : l'enregistrement audio brut, la transcription non relue et le compte rendu validé sont trois objets distincts, qui n'ont aucune raison d'être conservés aussi longtemps. L'audio n'a d'utilité que le temps de produire et vérifier la transcription.
La qualification au titre du règlement européen sur l'IA
Un outil de transcription relève en principe du risque minimal. Le même outil devient un système à haut risque dès lors qu'il sert à évaluer des personnes dans le cadre de l'emploi, ce qui relève du point 4 de l'annexe III du règlement. La qualification dépend donc de l'usage, jamais de la technologie seule.
Transcrire une réunion de service relève du risque minimal. Transcrire et analyser des entretiens de recrutement, mesurer le temps de parole ou la performance de collaborateurs, alimenter des décisions d'affectation fait basculer le traitement vers le haut risque, avec les obligations correspondantes pour le déployeur : respect de la notice d'utilisation, supervision humaine effective, conservation des journaux, information des personnes concernées. Notre article sur la qualification des systèmes à haut risque détaille la méthode.
Une interdiction ferme : l'analyse des émotions au travail. Depuis le 2 février 2025, l'article 5 du règlement interdit les systèmes d'inférence des émotions sur le lieu de travail et dans l'enseignement, sauf motifs médicaux ou de sécurité.
Or plusieurs solutions de transcription proposent des analyses de tonalité, de sentiment ou d'engagement des participants, parfois activées par défaut. Appliquées à des salariés, ces fonctions relèvent d'une pratique interdite. Leur désactivation doit être vérifiée dans les paramètres, pas seulement demandée au fournisseur.
Deux obligations s'appliquent quel que soit le niveau de risque. L'article 50 impose d'indiquer clairement qu'un contenu a été généré par une intelligence artificielle : un compte rendu produit automatiquement doit le mentionner, ne serait-ce que pour que ses lecteurs sachent qu'il n'a pas été relu. L'article 4, applicable depuis février 2025, impose par ailleurs de garantir un niveau suffisant de maîtrise de l'IA chez les personnes qui utilisent ces outils.
Le fournisseur : trois clauses à examiner avant de signer
Votre fournisseur de transcription est un sous-traitant au sens de l'article 28 du RGPD. Trois clauses méritent un examen attentif, car elles sont rarement favorables par défaut.
L'entraînement des modèles. Le contrat autorise-t-il le fournisseur à réutiliser vos contenus pour améliorer ses modèles ? Un sous-traitant qui traite les données à ses propres fins sort de son rôle. Beaucoup d'offres, en particulier gratuites ou d'entrée de gamme, prévoient cette réutilisation par défaut, parfois désactivable dans les paramètres.
La localisation des données. La majorité des solutions du marché sont éditées hors d'Europe ou s'appuient sur des infrastructures qui le sont. Il faut identifier le lieu effectif d'hébergement et de traitement, les garanties mobilisées et, le cas échéant, les mesures complémentaires. Le sujet rejoint celui des dépendances numériques.
La sous-traitance ultérieure. Le fournisseur s'appuie presque toujours sur un modèle de langage tiers et sur un hébergeur. Ces acteurs doivent être identifiés, avec la possibilité pour vous de vous opposer à leur changement. L'ensemble se formalise dans un contrat de sous-traitance conforme.
Le piège le plus fréquent. L'outil est souscrit par une direction métier sur une formule en libre-service, sans passer par les achats ni par le juridique. Aucun contrat de sous-traitance conforme n'a été signé, les conditions générales acceptées d'un clic autorisent la réutilisation des contenus, personne n'a vérifié où les données sont hébergées.
Plus largement, des collaborateurs utilisent souvent déjà un outil personnel sur des réunions confidentielles. L'interdiction générale est une réponse inefficace : elle pousse l'usage dans l'ombre. La réponse qui fonctionne combine un outil validé mis rapidement à disposition, des règles claires dans une charte d'usage de l'IA, de préférence coconstruite en atelier avec les équipes concernées.
La checklist opérationnelle avant déploiement
Douze points à traiter avant la mise en service, regroupés en quatre temps. Traités en amont, ils prennent quelques jours. Traités après un incident, quelques mois.
1. Qualifier les traitements
- Identifier le texte exact qui impose, ou non, la tenue d'un compte rendu pour ce type de réunion. C'est lui qui détermine la base légale.
- Vérifier si l'outil pratique la reconnaissance biométrique du locuteur, en interrogeant le fournisseur sur sa fiche technique. Si oui, ce traitement est distinct et appelle un consentement explicite avec alternative.
- Qualifier l'usage au regard du règlement sur l'IA : risque minimal ou haut risque selon les finalités réelles, présentes et prévisibles.
- Désactiver toute fonction d'analyse des émotions, de la tonalité ou de l'engagement, puis vérifier la désactivation dans les paramètres.
2. Sécuriser le cadre juridique
- Documenter la base légale retenue pour chaque type de réunion, avec le test de mise en balance si l'intérêt légitime s'applique.
- Conduire une analyse d'impact avant le déploiement, quelle que soit la base retenue.
- Auditer le contrat du fournisseur : entraînement des modèles, lieu d'hébergement, transferts, sous-traitance ultérieure, conditions de suppression effective.
- Inscrire les traitements au registre, en distinguant captation, transcription et reconnaissance du locuteur le cas échéant.
3. Informer et organiser
- Rédiger une mention d'information adaptée à la base réellement applicable plutôt qu'une mention générique. Lorsque la base est l'obligation légale, citer le texte exact.
- Informer avant le début de l'enregistrement : mention dans l'invitation, annonce orale en ouverture, signal visible pendant la captation.
- Prévoir l'alternative lorsque le droit d'opposition ou le refus du consentement s'applique : la personne doit pouvoir participer normalement.
4. Encadrer la production du compte rendu
- Instaurer une relecture humaine systématique avant validation et diffusion, définir des durées de conservation distinctes pour l'audio brut, la transcription et le compte rendu validé, anonymiser les tiers avant publication, puis formaliser le tout dans une procédure interne accompagnée de la formation des utilisateurs.
Une réserve méthodologique utile. La position de la CNIL sur ces sujets n'est pas encore clairement stabilisée. L'analyse ci-dessus s'appuie notamment sur l'interprétation d'un livre blanc de la CNIL consacré aux assistants vocaux, qui ne constitue pas une recommandation officielle, plutôt que sur une doctrine arrêtée. Elle ne dispense pas d'une veille sur les décisions de la CNIL et sur l'évolution de la jurisprudence avant toute application opérationnelle.
Questions fréquentes
Faut-il l'accord des participants pour enregistrer une réunion ?
Cela dépend du type de réunion. Lorsqu'un texte impose un procès-verbal (conseil municipal, comité social et économique, assemblée générale), la base légale est l'obligation légale et l'accord des participants n'a pas à être recueilli. Pour les réunions internes sans obligation de compte rendu, la base est l'intérêt légitime, qui suppose un test de mise en balance documenté et ouvre un droit d'opposition. Dans tous les cas, l'information préalable des participants est obligatoire.
La voix est-elle une donnée biométrique ?
Pas automatiquement. Un enregistrement audio est une donnée personnelle ordinaire : la voix permet d'identifier une personne, sans devenir sensible du seul fait d'être enregistrée. Elle devient une donnée biométrique au sens de l'article 9 du RGPD lorsque l'outil reconnaît automatiquement chaque locuteur à partir de ses caractéristiques vocales, après un enrôlement préalable de sa voix. Le régime applicable est alors bien plus strict.
Un participant peut-il s'opposer à l'enregistrement d'un conseil municipal ?
Non, pas au titre du RGPD, dès lors qu'un texte impose la rédaction du procès-verbal : l'obligation légale ne permet pas d'exercer le droit d'opposition prévu à l'article 21. En revanche, si l'outil pratique la reconnaissance biométrique du locuteur, ce traitement reste distinct et n'est couvert par aucune obligation légale : le refus est alors possible et une alternative doit être prévue.
Un outil de transcription est-il un système d'IA à haut risque ?
Cela dépend de l'usage, pas de l'outil. Transcrire une réunion de service relève du risque minimal. Le même outil employé pour évaluer des candidats en entretien, mesurer la performance de collaborateurs ou alimenter des décisions d'affectation relève du point 4 de l'annexe III du règlement européen sur l'IA, consacré à l'emploi et à la gestion des travailleurs.
L'analyse de sentiment proposée par certains outils est-elle autorisée ?
Non, lorsqu'elle s'applique à des salariés sur leur lieu de travail. L'article 5 du règlement européen sur l'IA interdit depuis le 2 février 2025 les systèmes d'inférence des émotions dans le milieu professionnel et dans l'enseignement, sauf motifs médicaux ou de sécurité. Plusieurs solutions de transcription proposent des analyses de tonalité ou d'engagement : ces options doivent être désactivées et la désactivation vérifiée dans les paramètres.
Que faire des collaborateurs qui utilisent déjà leur propre outil ?
C'est la situation la plus fréquente et la plus risquée : des comptes personnels sur des services grand public, alimentés avec des contenus de réunion confidentiels, hors de tout contrat de sous-traitance. La réponse efficace n'est pas l'interdiction générale, qui pousse l'usage dans l'ombre. C'est la mise à disposition rapide d'un outil validé, assortie d'une règle claire dans une charte d'usage de l'IA.
Vous déployez un outil de transcription ou d'IA générative ?
Qualification des traitements, base légale, analyse d'impact, contrats, charte d'usage : premier échange sans engagement.
Sources : CNIL, livre blanc « À votre écoute », enjeux éthiques, techniques et juridiques des assistants vocaux, 2020 · Règlement général sur la protection des données, articles 6, 9, 13, 21, 28 et 35 · Règlement européen sur l'intelligence artificielle, articles 4, 5, 6, 50 et annexe III · Code général des collectivités territoriales, sur l'obligation de rédiger un procès-verbal des séances des assemblées délibérantes.