Logiciel de transcription conforme au RGPD : la transcription IA sans risque pour les données

Un entretien de recherche, un appel client enregistré, un mémo vocal rempli de notes de projet : la transcription par IA transforme des heures de frappe en quelques minutes de calcul. C'est précisément pour cela que d'innombrables équipes téléversent en ce moment leurs enregistrements vers un service de transcription quelconque, sans se demander où atterrit réellement cet audio.

La vérité inconfortable : presque chaque enregistrement contient des données personnelles, souvent des données particulièrement protégées. Si vous les transmettez à un service cloud situé hors de l'Espace économique européen (EEE), vous devez, en plus de la base légale du traitement, vérifier et sécuriser le transfert vers un pays tiers. Cet article montre ce qui compte vraiment dans un logiciel de transcription conforme au RGPD, quelles questions poser à chaque fournisseur et pourquoi la transcription IA locale peut simplifier l'examen.

Une précision d'emblée : il s'agit d'un aperçu général, pas d'un conseil juridique. L'évaluation concrète dépend toujours de votre scénario d'utilisation. Si vous cherchez la dictée en direct plutôt que la transcription d'enregistrements, vous trouverez l'analyse juridique dans notre article sur les logiciels de dictée conformes au RGPD.

Pourquoi la transcription est un sujet de confidentialité plus sensible que la dictée

Quand vous dictez, vous traitez votre propre voix et vos propres pensées. Quand vous transcrivez des enregistrements, une dimension décisive s'ajoute : les données d'autres personnes. Un entretien contient la voix et les propos de votre interlocutrice. Une réunion enregistrée contient les paroles de tous les participants. Ces enregistrements vocaux sont régulièrement des données personnelles. Ils ne constituent toutefois des données biométriques, une catégorie particulière au sens de l'article 9 du RGPD, que lorsqu'ils sont traités avec des moyens techniques spécifiques permettant d'identifier une personne de manière unique.

Le contenu devient vite sensible. Les entretiens qualitatifs abordent souvent la santé, les opinions politiques ou le parcours de vie des personnes interrogées, autrement dit des catégories particulières de données personnelles au sens de l'article 9 du RGPD. Les appels clients contiennent des détails contractuels, les réunions d'équipe des sujets internes et de ressources humaines. Celui qui traite de tels enregistrements porte la responsabilité de données que d'autres lui ont confiées.

S'ajoute une obligation qui s'applique avant toute transcription : l'enregistrement lui-même a besoin d'une base légale. Enregistrer des conversations à l'insu et sans le consentement des participants est illicite dans de nombreux cas et peut même constituer une infraction pénale, en France notamment au titre de l'atteinte à la vie privée (article 226-1 du Code pénal). Le consentement explicite est la voie la plus sûre dans de nombreuses situations typiques d'entretien et de conversation ; la base légale qui tient réellement dépend du contexte concret.

Le problème des services de transcription cloud

Image d'illustration générée par IA

Les services de transcription les plus connus fonctionnent dans le cloud, beaucoup avec des serveurs aux États-Unis. Cela vous ouvre plusieurs chantiers à la fois.

Dès qu'un fournisseur traite de l'audio pour votre compte, il vous faut un contrat de sous-traitance au sens de l'article 28 du RGPD. Si le traitement a lieu hors de l'EEE, s'ajoute le transfert vers un pays tiers, qui exige pour les fournisseurs américains des garanties appropriées et une évaluation du transfert. Pour les destinataires américains certifiés au titre du cadre de protection des données UE-États-Unis (Data Privacy Framework), la décision d'adéquation de la Commission du 10 juillet 2023 s'applique ; le Tribunal de l'Union européenne l'a confirmée en septembre 2025 et un pourvoi est pendant, de sorte que pour les destinataires non certifiés, les clauses contractuelles types accompagnées d'une évaluation du transfert restent la voie à suivre. Envers les personnes enregistrées, vous avez en principe des obligations d'information au titre des articles 13 et 14 du RGPD, sauf exception légale : elles doivent être informées des destinataires ou des catégories de destinataires de leur enregistrement. Si vous vous appuyez sur un consentement, sa portée doit aussi couvrir la transmission et le traitement prévus.

Un point est régulièrement négligé : l'entraînement des modèles d'IA. Certains services se réservent le droit d'utiliser les audios ou transcriptions téléversés pour améliorer leurs modèles. Pour des enregistrements confidentiels, c'est rédhibitoire, quel que soit l'emplacement du serveur. Un fournisseur qui ne s'engage pas clairement et contractuellement à ne pas utiliser vos contenus pour l'entraînement n'est pas une option pour des enregistrements sensibles.

Pour les professions tenues au secret, tout se durcit encore. Médecins, avocats et thérapeutes qui divulguent sans autorisation des secrets de clients ou de patients s'exposent à des conséquences professionnelles, voire pénales (en France, article 226-13 du Code pénal sur le secret professionnel). Un entretien avec une patiente ou l'enregistrement d'un rendez-vous client n'a tout simplement rien à faire sur le serveur d'un fournisseur que vous ne maîtrisez pas contractuellement.

La transcription IA locale : résoudre le problème à la racine

La bonne nouvelle : la technologie a fondamentalement changé. Les modèles modernes de reconnaissance vocale comme Whisper tournent aujourd'hui directement sur des ordinateurs portables ordinaires, sans contact avec un serveur et avec une qualité qui rivalise avec les services cloud. Vous en saurez plus sur la technologie dans notre guide des logiciels de dictée hors ligne pour Mac et Windows.

Pour la protection des données, cela change tout. Si la transcription s'exécute localement sur votre appareil, l'enregistrement ne le quitte jamais. Il n'y a pas de destinataire, donc pas de contrat de sous-traitance pour cette étape, pas de transfert vers un pays tiers, pas de question Schrems II et aucune inquiétude quant à l'entraînement de modèles tiers. Vos obligations d'information envers les personnes enregistrées deviennent plus simples, car vous pouvez dire en toute vérité : l'enregistrement reste sur cette machine.

Dans la recherche qualitative en particulier, c'est une avancée pratique. Comités d'éthique et délégués à la protection des données demandent systématiquement où circulent les enregistrements d'entretiens. « La transcription s'exécute localement sur l'ordinateur de l'étude » peut simplifier l'examen au regard de la protection des données. Il en va de même pour les rédactions qui protègent leurs sources et pour toutes les professions tenues au secret.

L'honnêteté impose toutefois une nuance : le local résout la question du transfert, pas toutes les obligations. Vous avez toujours besoin d'une base légale pour l'enregistrement lui-même, ainsi que d'une sécurité raisonnable du poste de travail, c'est-à-dire chiffrement du disque, contrôle d'accès et une routine propre de suppression des enregistrements devenus inutiles.

Si cloud il y a : alors européen et désactivable

Image d'illustration générée par IA

Il existe des cas où la puissance du cloud est réellement utile, par exemple de très longs enregistrements sur du matériel ancien. La question n'est alors pas « cloud oui ou non » mais lequel. Un chemin cloud exploité entièrement au sein de l'Espace économique européen peut simplifier l'examen, mais il ne remplace ni la base légale ni les autres obligations. Comptent en particulier un contrat de sous-traitance, des sous-traitants transparents, des durées de conservation et de suppression documentées, des mesures de sécurité appropriées et l'exclusion contractuelle d'une utilisation à d'autres fins comme l'entraînement de modèles. Si le fournisseur promet la zero data retention, c'est-à-dire que votre audio n'est pas conservé après traitement, il faut aussi documenter clairement ce qu'elle couvre ; l'absence d'utilisation pour l'entraînement est un engagement distinct. Et vous devez pouvoir contrôler si quoi que ce soit part dans le cloud : local par défaut, cloud uniquement comme décision délibérée, fonction par fonction. À titre de comparaison, Ownvox transcrit localement des fichiers allant jusqu'à 6 heures et ne les envoie jamais vers son cloud optionnel.

Check-list : les questions à poser à tout fournisseur de transcription

Avant de téléverser un enregistrement ou de déployer un outil, ces questions doivent trouver des réponses nettes. La transcription s'exécute-t-elle localement par défaut, ou chaque audio part-il dans le cloud ? Si le cloud intervient : où se trouvent les serveurs, qui sont les sous-traitants, existe-t-il un contrat de sous-traitance ? Les audios ou transcriptions sont-ils utilisés pour l'entraînement d'IA ou conservés après traitement ? Le cloud peut-il être entièrement désactivé ? Et enfin de votre côté : quelle base légale s'applique-t-elle, et les personnes enregistrées ont-elles été correctement informées ?

Un fournisseur qui ne répond à ces questions que par des formules marketing ne les maîtrise généralement pas. Une déclaration claire et vérifiable dans la politique de confidentialité vaut plus que n'importe quel slogan.

Questions fréquentes sur le RGPD et les logiciels de transcription

Puis-je transcrire des entretiens avec un service cloud américain ?

Cela peut être licite, mais exige d'examiner le service concret et son usage. Il vous faut en général un contrat de sous-traitance, une base légale pour le traitement, de la transparence envers les personnes concernées et un mécanisme viable pour le transfert vers un pays tiers, par exemple la certification du destinataire au titre du Data Privacy Framework UE-États-Unis ou des clauses contractuelles types avec l'évaluation du transfert requise. Le traitement local, ou entièrement maintenu dans l'EEE, peut éviter le transfert vers un pays tiers.

Ai-je besoin du consentement des personnes enregistrées ?

Un consentement explicite est la voie la plus sûre pour de nombreux entretiens et conversations enregistrées, mais pas la seule base légale envisageable. Comptent la finalité, le contexte, les catégories de données et les règles légales applicables. Les enregistrements clandestins sont illicites dans de nombreux cas et peuvent constituer une infraction pénale. Si vous vous appuyez sur un consentement, il devrait aussi couvrir le traitement ultérieur prévu.

La transcription IA locale est-elle moins bonne que la transcription cloud ?

Pas forcément. Les modèles locaux modernes comme Whisper peuvent offrir une qualité tout à fait exploitable pour les entretiens, mémos et réunions. Le résultat dépend de la langue, de la qualité d'enregistrement, du matériel et du modèle ; le plus fiable est de tester avec votre propre matériel audio. Sur du matériel ancien, un service cloud correctement sécurisé peut être un compromis raisonnable.

Que signifie zero data retention ?

Que le fournisseur ne conserve pas durablement, après le traitement, les audios et transcriptions couverts par son engagement. Que les contenus ne servent pas non plus à l'entraînement de modèles ou à d'autres fins propres doit être réglé séparément et expressément. Pour des enregistrements confidentiels, l'étendue et les exceptions devraient être documentées par contrat.

Un serveur situé dans l'UE suffit-il à la conformité RGPD ?

Non. Un serveur situé dans l'EEE ne permet d'éviter le transfert vers un pays tiers que si le reste de la chaîne de traitement et les accès pertinents restent eux aussi dans l'EEE ; un accès à distance depuis un pays tiers peut constituer à lui seul un transfert. Il vous faut toujours une base légale, le cas échéant un contrat de sous-traitance, de la transparence sur les sous-traitants, des mesures de sécurité appropriées et des règles claires sur la conservation et l'entraînement de modèles.

Qu'en est-il des médecins, avocats et autres professions tenues au secret ?

Pour eux, l'exigence est maximale : la divulgation non autorisée de secrets professionnels entraîne des conséquences disciplinaires et souvent pénales. Les enregistrements impliquant des patients ou des clients ne devraient idéalement jamais quitter un appareil sous votre propre contrôle. La transcription locale est souvent la seule voie propre.

Conclusion : le traitement local évite un transfert supplémentaire

La transcription conforme au RGPD commence avant le premier téléversement : par une base légale solide, les informations requises pour les personnes concernées et la question de savoir si l'enregistrement doit seulement quitter votre appareil. Si la transcription IA s'exécute localement, les obligations liées à un sous-traitant externe et à un éventuel transfert vers un pays tiers disparaissent pour cette étape de traitement. S'il vous faut de la puissance cloud, examinez concrètement la chaîne de traitement, les contrats, les durées de conservation, les mesures de sécurité et une éventuelle utilisation pour l'entraînement de modèles.

Ownvox : la transcription IA locale, conçue en Allemagne

Ownvox suit exactement ce principe et couvre les deux moitiés du travail. Pour la dictée en direct, Ownvox transforme votre voix en texte dès que vous cessez de parler et insère le texte fini directement au curseur dans n'importe quelle application. Pour les enregistrements, l'onglet Transcriptions accepte vos fichiers, par exemple un entretien, une réunion que vous avez enregistrée vous-même ou un mémo vocal dans un format pris en charge (mp3, wav, m4a, aac, flac, ogg, mp4, mov, mkv, seule la piste audio étant utilisée pour les vidéos), et vous rend le texte. Plusieurs fichiers peuvent être placés dans une file d'attente et sont traités l'un après l'autre, chacun jusqu'à 6 heures. Vous pouvez copier le résultat, l'enregistrer en .txt ou .md, ou le retrouver dans l'historique des transcriptions. La reconnaissance vocale s'exécute par défaut localement sur votre Mac ou PC Windows, et la transcription de fichiers est toujours locale : elle ne passe jamais par le cloud, même si le cloud optionnel est activé pour la dictée, si bien que votre enregistrement reste sur votre appareil. Une limite honnête pour le travail d'entretien : Ownvox n'identifie pas les locuteurs et n'ajoute pas d'horodatage, vous obtenez donc un texte brut que vous structurez vous-même. En option, vous pouvez activer un cloud européen dont l'inférence tourne en France chez Scaleway et le proxy en Allemagne chez Hetzner. Ce chemin est configuré pour la zero data retention, et vos contenus ne sont pas utilisés pour l'entraînement de modèles. Un interrupteur de confidentialité désactive toutes les fonctions cloud en un clic, un contrat de sous-traitance est disponible, et Ownvox est développé en Allemagne.

Si vous cherchez une reconnaissance vocale dont le réglage local par défaut soutient techniquement les exigences de protection des données, téléchargez Ownvox et transcrivez votre premier enregistrement localement sur votre machine.