5 questions à poser à votre service de transcription

Vous envoyez un enregistrement, l’IA le transcrit, et quelques minutes plus tard vous avez votre transcription. Le processus paraît simple – mais que se passe-t-il entre l’envoi et le résultat ? Qui a accès à vos données ? Où sont-elles stockées ? Et seront-elles un jour supprimées ?

Ces cinq questions vous aident à évaluer les pratiques d’un service de transcription en matière de protection des données, avant d’envoyer des contenus confidentiels.

Question 1 : « Où mes données sont-elles traitées et stockées ? »

Pourquoi c’est important : le lieu de traitement détermine le système juridique auquel vos données sont soumises. Des serveurs américains signifient le CLOUD Act et un accès potentiel des autorités sans décision de justice européenne.

De nombreux services de transcription stockent les données aux États-Unis. C’est problématique en matière de protection des données : le CLOUD Act américain autorise l’accès des autorités, et la base juridique des transferts de données UE-États-Unis a été invalidée à plusieurs reprises (Safe Harbor 2015, Privacy Shield 2020).

Bonne réponse : « Nos serveurs se trouvent dans l’UE, exploités par une entreprise européenne certifiée ISO 27001. »

Mauvaise réponse : « Nous utilisons AWS/Google Cloud avec des régions UE. » (Entreprise américaine malgré tout, CLOUD Act malgré tout.)

Question 2 : « Qui peut lire mes transcriptions ? »

Pourquoi c’est important : si le prestataire traite vos données en clair, des collaborateurs, des administrateurs ou des attaquants peuvent potentiellement les consulter – même si le prestataire n’en a pas l’intention.

La question décisive n’est pas de savoir si le prestataire veut lire vos données, mais s’il en est techniquement capable. Avec un chiffrement côté serveur, le prestataire détient la clé. Avec un chiffrement côté client en revanche, seul l’utilisateur détient la clé.

Bonne réponse : « Nous ne pouvons pas lire vos transcriptions. Le chiffrement a lieu dans votre navigateur, et vous seul détenez la clé. »

Mauvaise réponse : « Vos données sont privées et confidentielles. Vous seul pouvez consulter vos transcriptions. » (Évasif – ne dit rien sur l’accès technique.)

Question 3 : « Qu’advient-il de mes fichiers audio après la transcription ? »

Pourquoi c’est important : les enregistrements audio qui restent sur les serveurs après le traitement constituent un risque d’attaque permanent. La minimisation des données n’est pas seulement un principe du RGPD, mais aussi une protection concrète.

Certains services conservent les enregistrements originaux de façon permanente. Cela contrevient au principe de minimisation des données du RGPD (art. 5, par. 1, point c) et accroît la surface d’attaque : plus de données stockées signifie plus de dommages potentiels en cas de fuite.

Bonne réponse : « Les enregistrements originaux sont automatiquement supprimés après la transcription. Seule une version de lecture chiffrée est conservée. »

Mauvaise réponse : « Vous pouvez supprimer vos fichiers à tout moment. » (Autrement dit : tant que vous ne supprimez pas, les originaux restent sur le serveur.)

Question 4 : « Utilisez-vous des cookies ou des outils de suivi ? »

Pourquoi c’est important : les cookies et les traceurs révèlent des habitudes d’utilisation et peuvent permettre de tirer des conclusions sur le contenu. Un service qui intègre Google Analytics ou le pixel Facebook partage des données d’utilisation avec des entreprises américaines.

Les outils de suivi sur les plateformes de transcription sont particulièrement problématiques : ils documentent quand vous avez envoyé, modifié et exporté quels fichiers. Combinés aux noms de fichiers (visibles en clair chez la plupart des services), ils permettent de constituer un profil d’utilisation détaillé.

Bonne réponse : « Nous n’utilisons ni cookies ni outils de suivi. L’authentification passe par des jetons sécurisés dans le navigateur. »

Mauvaise réponse : « Nous utilisons des cookies conformément à notre politique en matière de cookies. » (Renvoie à un texte juridique plutôt qu’à des choix d’architecture.)

Question 5 : « Mes données sont-elles utilisées pour entraîner des modèles d’IA ? »

Pourquoi c’est important : si vos enregistrements alimentent l’entraînement, ils deviennent partie intégrante du modèle – et donc potentiellement reproductibles dans les résultats destinés à d’autres utilisateurs. La suppression des données originales n’y change alors plus rien.

Certains prestataires formulent délibérément des termes vagues dans leurs conditions d’utilisation : « Nous pouvons utiliser vos données pour améliorer nos services. » Avec un chiffrement côté client, l’entraînement d’IA à partir des données des utilisateurs est techniquement impossible – le serveur ne voit que des blobs chiffrés.

Bonne réponse : « Non. Nous n’entraînons aucun modèle avec les données des clients. Notre architecture rend cela techniquement impossible. »

Mauvaise réponse : « Non. » (Sans explication technique – une pure question de confiance.)

En résumé

• Emplacement : entreprise européenne avec centre de données dans l’UE et certification ISO 27001.
• Chiffrement : côté client dans le navigateur, pas seulement côté serveur.
• Minimisation des données : les originaux sont supprimés après le traitement.
• Ni cookies, ni suivi : exclu par l’architecture, et pas seulement par une bannière de cookies.
• Aucun entraînement d’IA : techniquement impossible, et pas seulement promis.

Ces cinq questions distinguent les services qui prennent la protection des données au sérieux de ceux qui se contentent de la mettre en avant. La différence ne réside pas dans les réponses – mais dans l’architecture qui les sous-tend.