Meilleur logiciel de transcription conforme RGPD en Europe (2026) : 8 outils vérifiés

Les informations sur chaque éditeur ont été vérifiées sur ses propres pages le 9 novembre 2026. Les prix et les politiques changent : suivez les liens avant d'acheter.

L'enregistrement d'une interview, d'un cours ou d'un appel client est une donnée personnelle. Quand vous l'importez dans un service de transcription, ce service devient votre sous-traitant, et c'est vous, le responsable du traitement, qui devez le choisir avec soin. Un badge « logiciel de transcription conforme RGPD » sur une page d'accueil ne vous apprend pas grand-chose. Les documents qui se trouvent derrière, si.

Réponse courte :

• Pour la configuration 100 % UE la plus stricte, avec des documents publiés : Good Tape (Danemark) — sous-traitants ultérieurs exclusivement dans l'UE, un DPA dans votre compte, ISO 27001.
• Pour les sous-titres, la traduction et la transcription dans un seul outil hébergé dans l'UE, avec un petit budget : BlaBlaScribe (Pologne, serveurs en Allemagne).
• Pour les équipes universitaires et du secteur public qui ont besoin de certificats ISO et de transcription humaine : Amberscript (Pays-Bas).
• Pour un contrôle total, si vous avez des ingénieurs : Whisper auto-hébergé.

Transparence : BlaBlaScribe est notre produit. Pour que ce comparatif reste équitable, nous avons évalué chaque outil, y compris le nôtre, selon les mêmes neuf critères, relié chaque affirmation aux documents de l'éditeur lui-même et listé nos propres lacunes.

Réponse rapide : les logiciels de transcription conformes RGPD en un coup d'œil

« Non publiée » ou « non indiqué » signifie que nous ne l'avons pas trouvé sur les pages publiques de l'éditeur. Cela ne veut pas dire que l'éditeur ne l'a pas. Demandez avant d'acheter.

Ce que « conforme RGPD » veut vraiment dire pour un outil de transcription

Aucun outil n'est « conforme RGPD » à lui seul. La conformité dépend de la façon dont vous l'utilisez. Un outil peut vous faciliter la tâche ou la compliquer. Voici ce qui compte juridiquement.

Vous êtes responsable du traitement, l'outil est votre sous-traitant (art. 28)

Selon l'article 28 du RGPD, vous ne pouvez faire appel qu'à un sous-traitant qui présente des « garanties suffisantes », et un contrat doit exister, l'accord de traitement des données (DPA), qui couvre ce que le sous-traitant peut faire des données, ses mesures de sécurité, ses sous-traitants ultérieurs et la suppression à la fin du service. Les lignes directrices 07/2020 de l'EDPB sur les notions de responsable du traitement et de sous-traitant l'expliquent en détail.

En pratique : si vous transcrivez la voix d'autres personnes dans le cadre de votre travail (personnes interviewées, candidats, clients, participants à une recherche), il vous faut un DPA avec votre prestataire de transcription. Les prestataires les plus simples à utiliser le publient ou vous permettent de l'accepter dans votre compte.

L'hébergement dans l'UE est-il obligatoire ? Non, mais il supprime toute une couche de travail

Le RGPD n'exige pas que les données restent dans l'UE. Les transferts hors de l'EEE sont autorisés s'il existe une décision d'adéquation (le Royaume-Uni en a une, renouvelée en décembre 2025 jusqu'en 2031), une certification au titre du Data Privacy Framework UE–États-Unis, ou des clauses contractuelles types (SCC) accompagnées d'une analyse d'impact des transferts.

Le DPF est en vigueur, mais un recours contre lui est en appel devant la Cour de justice de l'UE (affaire C-703/25 P), et plusieurs autorités européennes ont conseillé aux entreprises de prévoir un plan de sortie. Un outil hébergé dans l'UE, avec des sous-traitants ultérieurs exclusivement dans l'UE, évite entièrement cette question.

Une nuance de plus : « hébergé dans l'UE » indique où se trouvent les données, pas qui peut être contraint de les remettre. Un prestataire dont la maison mère est américaine peut rester soumis au droit américain (comme le CLOUD Act) pour les données qu'il stocke à Francfort. Si cela compte pour vous, vérifiez la structure de l'entreprise, pas seulement le centre de données.

Un enregistrement vocal est-il une « donnée biométrique » ?

Certains articles affirment que tout enregistrement vocal est une donnée biométrique au sens du RGPD. C'est exagéré. L'article 4, paragraphe 14 définit les données biométriques comme des données personnelles résultant d'un traitement technique spécifique qui permet ou confirme l'identification unique d'une personne, et l'article 9 les encadre lorsqu'elles sont traitées aux fins d'identifier une personne de manière unique.

Convertir la parole en texte ne fait pas cela. Un enregistrement reste une donnée personnelle, et son contenu peut contenir des catégories particulières de données (santé, opinions politiques, religion). Mais une simple transcription n'en fait pas une donnée biométrique. Le clonage de voix est différent : un modèle vocal construit à partir d'un échantillon peut identifier une personne, c'est pourquoi les outils qui proposent le clonage devraient d'abord demander un consentement explicite.

Où intervient l'AI Act européen

La reconnaissance vocale n'est pas un système à haut risque au sens de l'AI Act européen. Mais l'article 5, paragraphe 1, point f) interdit depuis le 2 février 2025 d'inférer les émotions sur le lieu de travail et dans l'enseignement, sauf pour des raisons médicales ou de sécurité. Si votre outil de réunion ou d'entretien propose des scores de « sentiment » ou d'« émotion » sur des candidats ou des salariés, désactivez cette fonction.

Comment nous avons évalué les outils : une grille en 9 points

Nous nous sommes limités à ce que chaque éditeur publie : politique de confidentialité, page sécurité, DPA, liste des sous-traitants ultérieurs et tarifs. Nous n'avons pas interrogé les équipes commerciales, car votre DPO partira lui aussi des documents publics.

1. DPA public (art. 28). Pouvez-vous le télécharger ou l'accepter dans votre compte, ou devez-vous le demander ?
2. Hébergeur et région nommés. « Serveurs dans l'UE » est une affirmation ; « AWS eu-central-1 » se vérifie.
3. Liste publiée des sous-traitants ultérieurs. Qui d'autre a accès à votre audio ou à votre texte ?
4. Mécanisme de transfert pour tout sous-traitant hors UE : adéquation, DPF ou SCC.
5. Votre audio part-il chez un fournisseur d'IA tiers ? Beaucoup d'outils revendent le modèle de reconnaissance vocale d'une autre entreprise.
6. Pas d'entraînement sur les données des clients, écrit dans la politique de confidentialité ou le DPA, pas seulement sur une page marketing.
7. Conservation et suppression par défaut, sauvegardes comprises.
8. Certification indépendante (ISO 27001, SOC 2) et son périmètre.
9. Entité juridique dans l'UE et autorité de contrôle chef de file, pour savoir auprès de qui porter plainte.

Nous indiquons aussi le prix, l'offre gratuite et le nombre de langues. Pour la précision, faites un test sur vos propres enregistrements ; consultez notre guide sur la façon dont on mesure la précision de la transcription (WER).

Les 8 outils, vérifiés un par un

Les outils ci-dessous ne sont pas classés. Ils sont regroupés selon ce pour quoi ils sont le plus adaptés.

1. BlaBlaScribe — idéal pour la transcription, les sous-titres et la traduction dans un seul outil hébergé dans l'UE

• Qui est derrière : Vindrose sp. z o.o., Wrocław, Pologne. Entité de l'UE ; l'autorité chef de file est l'UODO polonais. (Politique de confidentialité)
• Où va votre audio : la transcription, la génération de sous-titres et la séparation voix/musique tournent sur les propres serveurs de BlaBlaScribe, hébergés par Hetzner Online GmbH en Allemagne. L'audio n'est pas envoyé à des fournisseurs d'IA tiers. Deux fonctions optionnelles envoient du texte : la traduction et les résumés IA envoient le texte de la transcription à l'API Google Gemini, et le doublage IA envoie le script de la voix off à ElevenLabs (plus un échantillon de voix uniquement si vous créez un clone de voix, avec consentement explicite). (Page sécurité)
• Documents RGPD : un accord de traitement des données public s'applique automatiquement quand vous acceptez les Conditions, sans signature. Une liste des sous-traitants ultérieurs indique ce que reçoit chaque prestataire et où ; les changements sont annoncés sur cette page. Les transferts hors UE reposent sur les SCC ou le DPF. Notification des violations sous 48 heures ; les données sont supprimées quand vous supprimez votre compte, et les sauvegardes sont renouvelées sous 30 jours.
• Chiffrement : en transit (HTTPS). Les fichiers sont stockés sur les propres serveurs de BlaBlaScribe en Allemagne ; les disques de stockage ne sont pas chiffrés.
• Pas d'entraînement : les fichiers ne sont « jamais utilisés pour entraîner une IA », ni par BlaBlaScribe ni par ses prestataires.
• Conservation : les transcriptions, sous-titres et traductions restent jusqu'à ce que vous les supprimiez. Les médias d'origine sont conservés 30 jours sur l'offre gratuite ; sur les offres payantes, tant que l'abonnement est actif, puis 60 jours (Creator), 9 mois (Pro) ou 12 mois (Business) après la résiliation, avec des rappels par e-mail avant la suppression. Vous pouvez supprimer vos fichiers à tout moment.
• Certifications : aucune pour l'instant.
• Prix : 30 minutes gratuites une seule fois, sans carte. Creator 14 $/mois (600 min), Pro 43 $/mois, Business 99 $/mois ; environ 20 % moins cher en facturation annuelle. Plus de 120 langues, traduction vers plus de 50, doublage vers 27. (Tarifs)
• Points de vigilance : pas encore d'ISO 27001 ni de SOC 2, et pas de chiffrement au repos. Si vous utilisez la traduction ou les résumés IA, le texte de la transcription part chez un sous-traitant basé aux États-Unis (Google) : désactivez ces fonctions pour les contenus sensibles si vous voulez un circuit 100 % UE. Pas d'API publique.

2. Happy Scribe — idéal pour les équipes sous-titrage qui veulent aussi une relecture humaine

• Qui est derrière : Happy Scribe Limited, Dublin, Irlande. (Confidentialité)
• Où va votre audio : AWS et Heroku, avec un centre de données « dans l'Union européenne » ; aucune région précisée. OpenAI et Anthropic sont nommés dans la politique de confidentialité pour l'assistant IA et les connecteurs. Le moteur de transcription principal n'est pas nommé. (Sécurité, Confidentialité)
• Documents RGPD : la politique de confidentialité mentionne un DPA sans dire comment l'obtenir ; la page sécurité invite à les contacter. Les sous-traitants ultérieurs sont listés sur un portail de confiance, avec notification des changements. Les transferts reposent sur les SCC, le DPF ou d'autres mécanismes des art. 45/46.
• Entraînement : c'est la réserve principale. La politique de confidentialité décrit un consentement opt-in à l'inscription ; avec ce consentement, des contenus anonymisés peuvent être concédés sous licence ou partagés avec des tiers pour entraîner des modèles. Vérifiez que cette case reste décochée sur les comptes professionnels.
• Conservation : les fichiers supprimés sont récupérables pendant 10 jours, puis supprimés définitivement. Traitement des sauvegardes non indiqué.
• Certifications : SOC 2 Type 2 (périmètre non indiqué). L'ISO 27001 concerne l'hébergeur du centre de données, pas Happy Scribe lui-même.
• Prix : offre gratuite avec 10 minutes non renouvelables. Basic à partir de 17 $/mois, ou 8,50 $/mois en facturation annuelle. Plus de 150 langues. (Tarifs)
• Points de vigilance : l'opt-in pour l'entraînement, et un DPA qu'on ne peut pas obtenir en libre-service.

3. Amberscript — idéal pour les universités et les organismes publics qui ont besoin de certificats ISO

• Qui est derrière : Amberscript Global B.V., Amsterdam, avec une GmbH à Berlin. (Confidentialité)
• Où va votre audio : Google Cloud Platform à Francfort ; la page sécurité indique que les données ne sont jamais stockées hors d'Europe. Des « tiers » non nommés transcrivent et traitent l'audio. (Sécurité des données)
• Documents RGPD : DPA sur demande via un formulaire (vous recevez un PDF prérempli). Pas de liste publique des sous-traitants ultérieurs. La politique de confidentialité indique que certains partenaires sont hors de l'EEE sans préciser le mécanisme de transfert, ce qui contredit le « jamais stockées hors d'Europe » de la page sécurité. Demandez-leur de clarifier.
• Entraînement : la politique de confidentialité indique que l'audio et les transcriptions ne sont jamais utilisés pour entraîner les modèles de langage utilisés.
• Conservation : par défaut, les fichiers sont supprimés automatiquement 6 mois après l'import (avec des rappels) ; vous pouvez désactiver cette option. Sauvegardes non indiquées.
• Certifications : ISO 27001 et ISO 9001 (périmètre non indiqué).
• Prix : aucune offre gratuite mentionnée. Starter 19 €/mois (5 heures), paiement à l'usage 10 €/heure, transcription humaine à partir de 1,85 €/min. Plus de 90 langues (automatique), plus de 18 (humaine). (Tarifs)
• Points de vigilance : des partenaires IA non nommés et des transferts hors UE peu clairs.

4. Good Tape — idéal pour la configuration 100 % UE la plus stricte

• Qui est derrière : Good Tape ApS, Copenhague, Danemark. (Sécurité)
• Où va votre audio : une liste publiée de sous-traitants ultérieurs exclusivement dans l'UE : Google (UE) et Azure (UE, en débordement) pour la transcription, Scaleway pour le stockage des fichiers, Supabase et MongoDB pour les données de l'application. (Sous-traitants ultérieurs)
• Documents RGPD : un DPA standard sur Pro et un DPA sur mesure sur Business, disponibles dans les paramètres du compte ; un exemple est public. (DPA) Tous les prestataires sont dans l'UE, donc aucun mécanisme de transfert n'est nécessaire.
• Entraînement : « nous n'entraînons jamais rien sur les données de nos utilisateurs », écrit dans la politique et dans le DPA.
• Conservation : suppression, sauvegardes comprises, sous 12 heures. Le comportement par défaut est décrit différemment selon les pages (suppression après traitement ou conservation aussi longtemps que vous le souhaitez) : vérifiez vos paramètres.
• Certifications : ISO/IEC 27001:2022, délivrée le 30 janvier 2026, valable jusqu'en janvier 2029 (périmètre non indiqué).
• Prix : essai gratuit avec 1 heure de transcription, sans carte. Pro 16 €/mois en facturation annuelle (20 heures par mois) ; Business sur demande. Plus de 100 langues. (Tarifs)
• Points de vigilance : la page sécurité parle de « notre propre infrastructure », mais la liste des sous-traitants ultérieurs montre une transcription sur Google et Azure (régions UE). C'est uniquement de la transcription : pas de mise en forme des sous-titres, ni de traduction, ni de doublage.

5. Trint — idéal pour les rédactions (basé au Royaume-Uni, instance UE disponible)

• Qui est derrière : Trint Limited, Londres. Les transferts de l'UE vers le Royaume-Uni sont couverts par la décision d'adéquation renouvelée. (Confidentialité)
• Où va votre audio : des instances distinctes UE (AWS Francfort/Irlande, MongoDB Atlas Irlande) et États-Unis. Anthropic figure parmi les sous-traitants ultérieurs « pour un usage interne ». Le moteur de transcription n'est pas nommé.
• Documents RGPD : les sous-traitants ultérieurs sont listés dans la politique de confidentialité. Les transferts reposent sur les SCC et l'adéquation du Royaume-Uni. Aucun DPA client n'est mentionné publiquement.
• Entraînement : la page sécurité indique que les enregistrements ne servent pas à entraîner ses algorithmes ; la politique de confidentialité n'en dit rien.
• Conservation : contenu conservé jusqu'à ce que vous le supprimiez ou fermiez le compte ; la formulation diffère entre la politique de confidentialité et la page sécurité.
• Certifications : ISO 27001:2022 et Cyber Essentials.
• Prix : essai gratuit, pas d'offre gratuite. Pro à partir de 69 € par siège et par mois. Plus de 50 langues. (Offres)
• Points de vigilance : la page de tarifs ne mentionne un « serveur dédié basé dans l'UE » que sur l'offre Business sur mesure : vérifiez sur quelle instance arrivent les comptes en libre-service.

6. Gladia — idéal pour les développeurs qui ont besoin d'une API de reconnaissance vocale européenne

• Qui est derrière : Gladia SAS, Roubaix, France. Une filiale américaine (Gladia Inc.) est sous-traitant ultérieur. (DPA)
• Où va votre audio : OVHcloud en France par défaut ; certains services AWS dans l'UE et aux États-Unis. Le DPA indique comme localisation des données « Europe, USA ». Le traitement dans une seule région se fait par accord écrit. Les modules complémentaires utilisent OpenAI Irlande, Google Cloud, DeepL et d'autres.
• Documents RGPD : le DPA est une page web publique, avec les sous-traitants ultérieurs en annexe. Les transferts reposent sur les SCC ou le DPF.
• Entraînement : sur l'offre Self-serve (celle avec 50 € de crédits gratuits), votre audio peut être utilisé pour l'entraînement par défaut ; le refus (opt-out) est gratuit. L'offre Enterprise est exclue de l'entraînement. (Tarifs)
• Conservation : non indiquée pour Self-serve sur la page de tarifs ; la conservation zéro des données est mentionnée pour Enterprise.
• Certifications : SOC 2 Type 1 et Type 2. L'ISO 27001 est indiquée « en cours » sur la page sécurité, alors que la page d'accueil l'annonce.
• Prix : 50 € de crédits gratuits ; 0,16 € par heure d'audio, jusqu'à 0,12 € avec le volume. Plus de 100 langues sur Solaria-1.
• Points de vigilance : refusez l'entraînement avant d'envoyer de vraies données, et réglez vous-même la durée de conservation.

7. Sonix — des documents solides, mais une entreprise américaine

• Qui est derrière : Sonix, Inc., San Francisco. (Confidentialité)
• Où va votre audio : AWS aux États-Unis. Les clients Enterprise peuvent convenir de la localisation des données avec l'équipe de Sonix. Fournisseurs d'IA tiers non communiqués. (Sécurité)
• Documents RGPD : DPA disponible dans votre compte sur demande ; transferts via les SCC ; pas de liste publique des sous-traitants ultérieurs ; introuvable sur la liste du DPF.
• Entraînement : les contenus des clients ne sont jamais utilisés pour entraîner ses modèles.
• Conservation : conservé jusqu'à ce que vous le supprimiez ; les sauvegardes peuvent subsister jusqu'à 90 jours.
• Certifications : SOC 2 Type 2 ; HIPAA via un BAA.
• Prix : essai gratuit de 30 minutes ; 10 $/heure à l'usage ou 25 $/mois. Plus de 54 langues. (Tarifs)
• Points de vigilance : hors Enterprise, les données sont traitées aux États-Unis : il vous faut des SCC et une analyse d'impact des transferts.

8. Whisper auto-hébergé — idéal pour un contrôle total (si vous avez des ingénieurs)

• Ce que c'est : le modèle de reconnaissance vocale d'OpenAI, publié en open source sous licence MIT. Exécutez-le sur vos propres serveurs ou dans un cloud européen, et aucun tiers n'a accès à votre audio.
• Documents RGPD : vous êtes le responsable du traitement et le propriétaire de l'infrastructure. Sécurité, contrôle des accès, suppression et documentation : tout repose sur vous.
• Si vous utilisez plutôt l'API hébergée d'OpenAI : les données de l'API ne servent pas à l'entraînement par défaut, le point d'accès de transcription est éligible à la conservation zéro des données, et la localisation des données dans l'UE est disponible pour les projets éligibles. OpenAI est une entreprise américaine et ne figurait pas sur la liste du DPF lors de notre vérification. (OpenAI : vos données)
• Points de vigilance : pas d'éditeur, pas d'identification des locuteurs ni d'export de sous-titres prêts à l'emploi, et la précision varie selon la langue et la taille du modèle. Comparez l'effort dans Whisper ou outils de transcription payants.

Et Otter.ai, Fireflies et Rev ?

Ce sont des services américains populaires. Chacun peut être utilisé dans le cadre du RGPD, mais avec plus de formalités et moins de contrôle :

• Otter.ai est-il conforme au RGPD ? Otter.ai, Inc. est certifiée au titre du DPF UE–États-Unis et publie un DPA (dans ses Conditions) ainsi qu'une liste de sous-traitants ultérieurs. Sa politique de confidentialité indique qu'elle entraîne sa propre IA sur des enregistrements audio et des transcriptions anonymisés, et l'hébergement est sur AWS, sans localisation dans l'UE indiquée. Prend en charge 6 langues. (Confidentialité, Sous-traitants ultérieurs)
• Fireflies.ai est certifiée DPF, avec un DPA et une liste de sous-traitants ultérieurs publiés, mais le traitement a lieu aux États-Unis et la transcription est réalisée par un tiers (AssemblyAI). (DPA)
• Rev publie un DPA auto-exécutoire avec SCC ; le traitement a lieu aux États-Unis, et la transcription humaine en partie en Inde. Rev dit ne pas entraîner de modèles externes sur vos contenus, mais son centre d'aide décrit un refus (opt-out) de l'entraînement des propres modèles vocaux de Rev : demandez au support de vous exclure. (DPA, Centre d'aide)

Pour les enregistrements de réunions, vérifiez aussi les règles de consentement : voir est-il légal d'enregistrer une réunion dans l'UE et aux États-Unis.

Quel outil de transcription RGPD choisir ?

• Entretiens universitaires avec avis d'un comité d'éthique : Amberscript ou Good Tape si le comité d'éthique exige l'ISO 27001 ; BlaBlaScribe si le budget compte et que vous laissez la traduction désactivée pour les données sensibles. Voir la transcription pour les chercheurs.
• Journalisme et protection des sources : Good Tape (100 % UE, suppression rapide), ou Whisper auto-hébergé pour les sources les plus sensibles. Voir la transcription pour les journalistes.
• Entretiens RH et recrutement : n'importe quel outil hébergé dans l'UE avec un DPA ; désactivez les fonctions d'analyse du sentiment et des émotions (AI Act), et prévenez les candidats à l'avance.
• Appels clients d'agence ou de cabinet de conseil : Good Tape ou BlaBlaScribe pour un traitement dans l'UE ; Trint si votre équipe est basée au Royaume-Uni.
• Sous-titres et traduction pour des vidéos européennes : BlaBlaScribe (transcription en Allemagne ; la traduction n'envoie que du texte) ou Happy Scribe (laissez l'opt-in pour l'entraînement désactivé).
• Développeurs qui construisent un produit : Gladia (refusez l'entraînement, réglez la conservation), ou l'API d'OpenAI avec localisation des données dans l'UE.
• Zero trust ou environnement isolé (air-gapped) : Whisper auto-hébergé.

Check-list RGPD avant d'importer votre premier enregistrement

1. Signez ou acceptez le DPA et gardez une copie datée de la liste des sous-traitants ultérieurs.
2. Ajoutez le traitement à votre registre des activités de traitement (art. 30).
3. Déterminez si vous avez besoin d'une AIPD (art. 35) : c'est probable si les enregistrements contiennent des données de santé, concernent des enfants, des personnes vulnérables ou une surveillance à grande échelle.
4. Informez les participants ou recueillez leur consentement avant d'enregistrer, et dites-leur quel service va transcrire. Voir comment transcrire une interview.
5. Désactivez les fonctions IA optionnelles qui envoient des données à des sous-traitants supplémentaires si vous n'en avez pas besoin, et refusez l'entraînement partout où une option existe.
6. Pseudonymisez : remplacez les noms dans la transcription, puis supprimez l'audio d'origine une fois que vous l'avez vérifiée.
7. Fixez une durée de conservation et supprimez les originaux dans les délais.
8. Consultez votre CSE / comité d'entreprise (Allemagne, Pays-Bas, France et d'autres pays) avant d'enregistrer des salariés.
9. Revérifiez l'éditeur chaque année : les sous-traitants ultérieurs et les mécanismes de transfert changent.

FAQ

La transcription par IA est-elle conforme au RGPD ?

Elle peut l'être. La transcription par IA est licite au regard du RGPD si vous disposez d'une base légale pour enregistrer, d'un accord de traitement des données avec le prestataire, et si le prestataire protège les données et les transfère légalement. L'outil seul ne vous rend pas conforme ; c'est votre configuration qui le fait.

Ai-je besoin d'un DPA avec mon prestataire de transcription ?

Oui, si vous transcrivez des données personnelles d'autres personnes pour le compte de votre organisation. L'article 28 du RGPD impose un contrat écrit entre le responsable du traitement et le sous-traitant. Privilégiez les prestataires qui publient leur DPA ou vous permettent de l'accepter dans votre compte.

Le RGPD impose-t-il de stocker les données de transcription dans l'UE ?

Non. Les transferts hors de l'EEE sont autorisés avec une décision d'adéquation, une certification au titre du Data Privacy Framework UE–États-Unis ou des clauses contractuelles types. Un hébergement dans l'UE avec des sous-traitants ultérieurs exclusivement dans l'UE évite simplement l'analyse de transfert supplémentaire et l'incertitude juridique autour du DPF.

Otter.ai est-il conforme au RGPD ?

Otter.ai peut être utilisé dans le cadre du RGPD : la société est certifiée au titre du Data Privacy Framework UE–États-Unis et propose un DPA. Mais elle traite les données aux États-Unis, et sa politique de confidentialité indique qu'elle entraîne sa propre IA sur des enregistrements et des transcriptions anonymisés. Beaucoup d'organisations européennes préfèrent pour cette raison une alternative hébergée dans l'UE.

OpenAI Whisper est-il conforme au RGPD ?

Whisper auto-hébergé est aussi conforme que votre propre infrastructure, puisqu'aucun tiers ne reçoit l'audio. L'API hébergée d'OpenAI ne s'entraîne pas sur les données de l'API par défaut, propose la conservation zéro des données pour la transcription et la localisation des données dans l'UE pour les projets éligibles, mais OpenAI reste un sous-traitant américain.

Faut-il un consentement pour transcrire une interview ?

Pas toujours. Le consentement est une base légale parmi d'autres ; l'intérêt légitime, le contrat ou la recherche d'intérêt public peuvent s'appliquer à la place. Vous devez toujours informer les personnes qu'elles sont enregistrées et transcrites, et beaucoup de comités d'éthique exigent de toute façon un consentement écrit.

Un enregistrement vocal est-il une donnée biométrique au sens du RGPD ?

En général, non. Une voix ne devient une donnée biométrique que lorsqu'elle est traitée avec une technologie spécifique pour identifier une personne de manière unique. Une simple transcription ne fait pas cela. Le clonage de voix ou l'identification des locuteurs le peuvent : ces fonctions demandent donc une attention particulière et un consentement explicite.

Un service de transcription peut-il utiliser mes fichiers pour entraîner son IA ?

Seulement si ses conditions le permettent. Certains prestataires ne s'entraînent jamais sur les données des clients (Good Tape, Sonix, BlaBlaScribe), d'autres le font sur des données anonymisées (Otter.ai), et d'autres proposent une option d'opt-in ou d'opt-out (Happy Scribe, Gladia, Rev). Lisez la politique de confidentialité, pas seulement la page marketing.

Conclusion

Trois points à retenir :

1. Vérifiez les documents, pas le badge. Un DPA public, un hébergeur nommé et une liste des sous-traitants ultérieurs vous en disent plus qu'un « conforme RGPD » sur une page d'accueil.
2. L'hébergement dans l'UE simplifie la vie, mais il ne remplace pas un DPA. Et une maison mère américaine peut compter même quand les serveurs sont à Francfort.
3. Sachez où vont votre audio et votre texte. Beaucoup d'outils gardent l'audio dans l'UE mais envoient les transcriptions à un modèle d'IA américain pour les résumés ou la traduction.

Si vous voulez la transcription, les sous-titres et la traduction hébergés dans l'UE au même endroit, essayez BlaBlaScribe gratuitement : 30 minutes, sans carte, transcrites sur nos propres serveurs en Allemagne. Lisez précisément comment nous traitons vos enregistrements avant d'importer quoi que ce soit.