Éthique de la transcription d'entretiens : les obligations fondamentales

Les obligations fondamentales

Les chercheurs qui enregistrent et transcrivent des entretiens détiennent des confidences privées sous forme documentaire. Les obligations éthiques attachées à ces documents ne se limitent pas à obtenir le consentement à l'enregistrement. Elles s'étendent à la manière dont les transcriptions sont traitées, stockées, partagées, anonymisées et finalement détruites. Les IRB, les participants et les cadres de protection des données posent chacun leurs questions sur ce terrain. Ce guide cartographie les réponses pratiques.

Les cinq obligations qui reviennent dans les directives des IRB, le Common Rule américain et le RGPD sont : un consentement qui couvre réellement la transcription et le traitement par des tiers ; une anonymisation honnête plutôt qu'une substitution de noms purement cosmétique ; la divulgation du traitement cloud dans votre formulaire de consentement et votre protocole ; un calendrier concret de conservation et de suppression ; et une décision quant à l'opportunité d'offrir aux participants la relecture de leur transcription.

Ce que le consentement doit réellement couvrir

Le Common Rule américain (45 CFR 46.116) exige que le consentement éclairé comprenne « une déclaration décrivant dans quelle mesure, le cas échéant, la confidentialité des documents identifiant le sujet sera maintenue ». Cette formule a plus de poids qu'il n'y paraît. Un formulaire de consentement qui indique « votre entretien sera enregistré » mais ne dit rien de la transcription, des outils cloud ou du traitement des données ne satisfait pas l'esprit de cette exigence.

Les bureaux des IRB de plusieurs universités américaines traitent désormais les outils de transcription par IA comme un élément de divulgation distinct. La directive IRB XI de Penn State exige que la documentation de consentement précise comment les enregistrements « seront stockés, sécurisés, utilisés, transférés et détruits ». L'IRB de l'université Columbia a déclaré explicitement que lorsqu'un service de transcription cloud traite l'audio des participants, l'outil spécifique et sa politique de confidentialité doivent figurer dans le formulaire de consentement et le protocole de recherche.

Concrètement, cela signifie que votre formulaire de consentement doit comporter trois éléments supplémentaires au-delà de « vous serez enregistré » :

• Une déclaration indiquant que l'enregistrement sera transcrit (par vous, par un transcripteur humain ou par un service d'IA).
• Si une transcription par IA est utilisée, le nom de la catégorie de service et une description en langage clair de ce que le service fait de l'audio.
• Une déclaration indiquant combien de temps l'enregistrement sera conservé et quand il sera supprimé.

Pour les participants qui n'ont pas accepté le traitement de leurs données vocales par des tiers, la seule voie défendable consiste à garder la transcription en interne. Des déploiements locaux de Whisper ou des outils chiffrés fonctionnant sur ordinateur portable permettent de transcrire sans faire transiter l'audio par une infrastructure cloud externe.

Pour les recherches impliquant des informations de santé identifiables, un Business Associate Agreement (BAA) avec tout prestataire de traitement audio est une exigence légale au titre de la HIPAA avant que l'audio puisse être transmis ou stocké par ce prestataire.

Anonymisation ou pseudonymisation : la distinction qui compte

L'erreur la plus répandue dans la transcription de recherche consiste à qualifier d'anonymes des données pseudonymisées. Les lignes directrices 2025 de l'EDPB (EDPB Guidelines 04/2025) formalisent ce que le considérant 26 du RGPD a toujours sous-entendu : les données véritablement anonymes échappent entièrement au champ d'application du droit de la protection des données. Ce n'est pas le cas des données pseudonymisées.

Des données sont pseudonymisées lorsque les identifiants sont remplacés mais que le remplacement peut, en principe, être inversé. Une transcription qui utilise « Participant 4 » au lieu du nom d'un participant est pseudonymisée, pas anonyme, car votre clé de correspondance relie le code à la personne. Cette transcription reste une donnée personnelle au sens du RGPD et du RGPD britannique. Elle demeure soumise aux exigences de base légale, aux droits d'accès et aux obligations de suppression.

Des données ne sont véritablement anonymes que lorsque les trois tests cumulatifs de l'EDPB sont satisfaits :

• Vous ne pouvez pas isoler un individu à partir du jeu de données.
• Vous ne pouvez pas relier les enregistrements d'une même personne entre plusieurs jeux de données.
• Vous ne pouvez pas inférer d'attributs concernant un individu à partir des valeurs de données restantes.

Pour la recherche qualitative, réussir les trois tests est rare. Les citations véhiculent des particularités vocales, du vocabulaire, un contexte professionnel et des détails situationnels qui survivent souvent à la suppression des noms. La classification honnête pour la plupart des transcriptions de recherche est « pseudonymisé ».

La conséquence pratique : traitez vos transcriptions comme des données personnelles tant que vous n'avez pas une justification documentée pour une affirmation plus forte. Appliquez les règles de classification des données de votre établissement aux transcriptions pseudonymisées, et non aux documents « désidentifiés ».

Comment pseudonymiser correctement une transcription

Le UK Data Service recommande de planifier la pseudonymisation dès la transcription initiale plutôt que comme une tâche rétrospective. Ses orientations précisent que les identifiants directs (noms, coordonnées) et les identifiants indirects (lieux précis, dates et combinaisons de rôles qui restreignent l'identification) doivent tous deux être traités.

Un système opérationnel :

1. Remplacez le nom de chaque participant par un pseudonyme ou un code alphanumérique cohérent.
2. Remplacez les noms des tiers mentionnés par le participant (collègues, membres de la famille, lieux).
3. Agrégez ou paraphrasez les détails contextuels identifiants : « [une ville du nord du pays] » plutôt qu'une ville nommée ; « [un employeur du secteur public] » plutôt qu'une agence précise.
4. Conservez une clé de correspondance distincte, à accès contrôlé, qui relie les codes aux identités réelles.
5. Consignez chaque remplacement dans un journal d'anonymisation stocké séparément du fichier de transcription.

Le UK Data Service met en garde à la fois contre la sur-anonymisation (supprimer le contexte porteur de sens analytique) et la sous-anonymisation (laisser des combinaisons de détails qui identifient quelqu'un même après la suppression des noms).

Pour les recherches publiées dans des rapports ou des articles, utilisez les mêmes pseudonymes de façon cohérente afin qu'un lecteur suivant plusieurs extraits n'apprenne pas involontairement davantage sur un participant par accumulation.

Traitement cloud : quoi divulguer et quand l'éviter

Tout service de transcription cloud qui traite votre audio est un sous-traitant au sens du RGPD, et un business associate au titre de la HIPAA si des PHI sont en jeu. Il s'agit d'une relation juridique nécessitant une documentation, pas simplement d'un prestataire dont vous espérez qu'il se comporte bien.

Avant de téléverser l'audio d'un entretien vers un service cloud, vérifiez trois points :

• Combien de temps le service conserve-t-il l'audio après la restitution de la transcription ?
• Le service utilise-t-il l'audio pour entraîner ou améliorer ses modèles ? Existe-t-il une option de retrait ?
• Le service propose-t-il un accord de traitement des données (DPA) ou, pour la recherche en santé, un BAA signé ?

Ces questions ont leur place dans votre protocole de recherche. Les IRB les posent de plus en plus souvent. Plusieurs IRB universitaires américains ont commencé à considérer les services de transcription cloud comme des parties prenantes à la recherche lorsqu'ils reçoivent l'audio des participants, ce qui peut déclencher une revue IRB de l'outil lui-même.

Pour les entretiens portant sur des sujets sensibles (traumatismes, problèmes de santé stigmatisants, statut migratoire, signalement de pratiques fautives au sein d'une entreprise), le choix prudent par défaut est le traitement local. Des outils open source comme Whisper d'OpenAI fonctionnent sur un ordinateur portable sans accès réseau pendant la transcription.

Pour les recherches dont le sujet n'est pas sensible et où les participants ont consenti au traitement cloud avec une divulgation claire, les services offrant un DPA et une option explicite de non-utilisation pour l'entraînement constituent la voie médiane entre le traitement local et un acheminement cloud incontrôlé.

Si vous avez simplement besoin de transcriptions précises pour des entretiens non sensibles où les participants ont consenti au traitement en ligne, l'outil audio-vers-texte de ConvertAudioToText utilise l'infrastructure de traitement d'AssemblyAI avec une politique de conservation documentée. Lisez cette politique avant de téléverser de l'audio de recherche.

Conservation et suppression : établissez un calendrier avant de collecter

Beaucoup de chercheurs procèdent à l'envers. Ils collectent, transcrivent, analysent, publient, puis se demandent quoi faire de fichiers qu'ils détiennent depuis deux ans. La décision de suppression devrait être prise avant le début de la collecte des données et documentée dans le protocole IRB.

Un cadre de conservation opérationnel sépare l'audio des transcriptions selon le niveau de risque.

Les enregistrements audio présentent le risque de réidentification le plus élevé. Les voix sont biométriques. Si l'audio est conservé après la transcription, une violation de données ultérieure ou une ordonnance judiciaire pourrait exposer l'identité d'un participant, même dans une étude pseudonymisée. La plupart des directives IRB recommandent de supprimer l'audio une fois que vous avez vérifié que la transcription est complète et exacte. Plusieurs protocoles IRB fixent un délai précis : 24 à 48 heures après vérification.

Les transcriptions pseudonymisées présentent un risque moindre et une valeur analytique supérieure. Elles sont généralement conservées pendant la phase d'analyse de l'étude et, pour les travaux de mémoire ou de thèse, jusqu'à la fin de la période d'examen. Les bailleurs de fonds fédéraux exigent souvent un minimum de trois ans après la publication. Le calendrier précis doit figurer dans votre protocole.

La clé de correspondance (le fichier reliant les codes aux vrais noms) est l'élément le plus risqué de votre archive. Elle doit être stockée sur un stockage institutionnel chiffré à accès contrôlé. Lorsque vous la supprimez, les données des participants dans la transcription deviennent effectivement anonymes en pratique, bien que la transcription elle-même puisse encore contenir des identifiants résiduels.

Créez deux événements d'agenda au démarrage d'une étude : un pour la suppression de l'audio et un pour la suppression de la clé de correspondance. Reliez-les aux jalons de clôture de l'étude dans votre protocole. Les revues annuelles de l'IRB constituent un point de contrôle naturel.

Pour les obligations de traitement des données auxquelles cela se rattache, voir les coûts cachés des services de transcription et la transcription pour la recherche qualitative.

Relecture de la transcription par les participants : de quoi il s'agit et quand la proposer

La vérification auprès des participants (member checking, aussi appelée validation par les répondants ou relecture de la transcription par les participants) est une stratégie de crédibilité dans laquelle le chercheur retourne les données ou les résultats aux participants pour examen. Lincoln et Guba (1985) l'ont décrite comme « la technique la plus cruciale pour établir la crédibilité » dans la recherche qualitative.

Au niveau de la transcription, la forme la plus simple consiste à envoyer aux participants une copie de la transcription de leur entretien et à leur demander de la relire pour en vérifier l'exactitude. Au niveau des résultats, Birt et ses collègues (2016) ont proposé la vérification synthétisée auprès des participants (synthesized member checking), dans laquelle vous partagez vos résultats analytiques plutôt que les transcriptions brutes et demandez si l'interprétation résonne.

La relecture au niveau de la transcription et la relecture au niveau des résultats servent des objectifs différents. La relecture de la transcription concerne l'exactitude factuelle et le confort du participant vis-à-vis du compte rendu. La relecture des résultats concerne la validité interprétative. Ni l'une ni l'autre n'est obligatoire, mais toutes deux sont éthiquement transparentes, et certains cadres de recherche (en particulier ceux à conception participative) les considèrent comme des obligations.

Considérations pratiques avant de proposer la relecture de la transcription :

• Les participants qui voient leur transcription souhaitent souvent modifier, ajouter ou retirer des passages. Décidez à l'avance comment vous traiterez ces demandes et décrivez cette décision dans votre protocole.
• L'envoi des transcriptions crée une nouvelle obligation de traitement. Le mécanisme d'e-mail ou de transfert de fichiers doit être sécurisé.
• Certains participants trouvent éprouvant de lire leur propre propos sous forme de texte, en particulier si l'entretien a abordé un traumatisme. Proposez l'option sans laisser entendre qu'elle est requise.
• La relecture de la transcription rouvre la relation d'entretien. Pour les populations vulnérables, examinez si cette remise en contact est appropriée.

Mon avis : pour la plupart des études par entretiens, offrir la relecture de la transcription est une bonne pratique et peu coûteuse. Les participants qui sentent qu'ils peuvent corriger le compte rendu sont plus susceptibles de parler franchement dès le départ. La charge administrative est gérable si vous créez un formulaire simple de demande de correction et un protocole de réponse documenté avant de commencer.

Pour en savoir plus sur le flux de travail allant de l'entretien à l'analyse dans lequel cela s'inscrit, voir le codage des entretiens qualitatifs et l'analyse thématique à partir des transcriptions.

Une liste de contrôle éthique avant l'analyse

Avant de passer une transcription de recherche à l'analyse, vérifiez chaque point :

• Le consentement couvrait la transcription, la méthode utilisée (humaine/IA/cloud) et la conservation des données.
• L'audio a été supprimé ou une date de suppression est inscrite à l'agenda.
• La transcription est pseudonymisée avec un journal d'anonymisation.
• La clé de correspondance est sur un stockage chiffré à accès contrôlé.
• Tout DPA ou BAA de service cloud est signé et archivé.
• La relecture de la transcription par les participants a été proposée ou une justification documentée de son absence existe.

Six points. Les passer en revue prend moins de cinq minutes et produit une trace écrite qui satisfait la revue IRB et, si vous travaillez dans le champ d'application du RGPD, appuie votre obligation de responsabilité au titre de l'article 5(2).

Questions fréquentes

Comment pseudonymiser correctement une transcription

Le UK Data Service recommande de planifier la pseudonymisation dès la transcription initiale. Remplacez systématiquement les identifiants directs (noms, coordonnées) et les identifiants indirects (lieux précis, dates, combinaisons de rôles). Utilisez un pseudonyme ou un code cohérent pour chaque participant, conservez une clé de correspondance distincte à accès contrôlé et consignez chaque remplacement dans un journal d'anonymisation stocké séparément du fichier de transcription. Agrégez les détails contextuels qui pourraient restreindre l'identification même en l'absence de nom.

Mon formulaire de consentement IRB doit-il mentionner l'outil d'IA spécifique que j'utilise pour la transcription ?

Les pratiques des IRB varient selon les établissements, mais plusieurs comités d'éthique universitaires (dont Columbia et Penn State) recommandent désormais, voire exigent, de nommer la catégorie de service de transcription et de décrire ce qu'il fait de l'audio, à la fois dans le formulaire de consentement et dans le protocole de l'étude. Obtenir le consentement des participants pour un « enregistrement audio » sans mentionner le traitement par une IA tierce est de plus en plus considéré comme une divulgation insuffisante, en particulier pour les sujets de recherche sensibles. En cas de doute, interrogez votre coordinateur IRB avant le début de la collecte des données plutôt qu'après.

Quelle est la différence entre anonymisation et pseudonymisation pour les transcriptions de recherche ?

Au sens du RGPD et du RGPD britannique (et conformément aux lignes directrices 04/2025 de l'EDPB), les données anonymisées échappent entièrement au champ d'application du droit de la protection des données car aucun individu ne peut être identifié à partir de celles-ci. Les données pseudonymisées remplacent les identifiants directs par des codes mais conservent une clé de correspondance, ce qui signifie que les données peuvent en principe être reliées à nouveau à une personne. La plupart des transcriptions de recherche sont pseudonymisées, pas anonymes, et doivent être traitées comme des données personnelles avec tous les droits et obligations que cela implique.

Combien de temps dois-je conserver les enregistrements audio et les transcriptions après la fin d'une étude ?

Les enregistrements audio devraient généralement être supprimés une fois que vous avez vérifié que la transcription est complète et exacte. De nombreux protocoles IRB prévoient un délai de 24 à 48 heures après vérification. Les transcriptions pseudonymisées doivent généralement être conservées pendant les phases d'analyse et de publication ; les bailleurs de fonds fédéraux exigent souvent un minimum de trois ans après la publication. Le calendrier précis doit figurer dans votre protocole IRB avant le début de la collecte des données. Votre clé de correspondance doit être supprimée dès que sa finalité de recherche est remplie.

Ai-je besoin d'un Business Associate Agreement avec un service de transcription si ma recherche implique des entretiens liés à la santé ?

Si votre recherche implique des informations de santé protégées (PHI) au sens défini par la HIPAA, tout prestataire qui traite, stocke ou transmet cet audio est un Business Associate et doit signer un BAA avant toute transmission de l'audio. Cela s'applique aux services de transcription par IA qui traitent l'audio des participants dans le cloud. Téléverser des PHI chez un prestataire sans BAA constitue une violation de la HIPAA, quel que soit le contexte de recherche. Pour une recherche qui n'implique pas de PHI mais porte sur des sujets de santé sensibles, l'obligation de BAA peut ne pas s'appliquer juridiquement, mais l'argument éthique en faveur de protections contractuelles équivalentes est fort.

La relecture de la transcription par les participants est-elle obligatoire ?

Aucune exigence réglementaire universelle n'impose la relecture des transcriptions dans la recherche qualitative. Ce qui varie, c'est l'attente éthique au sein de cadres méthodologiques spécifiques. La recherche-action participative considère la contribution des participants au compte rendu comme un principe fondamental. L'analyse thématique (Braun et Clarke) et les approches de la théorie ancrée considèrent les stratégies de crédibilité telles que la vérification auprès des participants (member checking) comme facultatives mais précieuses. Dans tous les cas, la décision doit être documentée dans votre protocole : proposez-la avec un processus de traitement des modifications demandées, ou documentez pourquoi elle n'était pas adaptée à votre plan d'étude.

Sources

• US Common Rule, 45 CFR 46.116 (version en vigueur en juin 2026) : https://www.law.cornell.edu/cfr/text/45/46.116
• Penn State IRB Guideline XI : https://researchsupport.psu.edu/orp/irb/irb-resources-training-and-events/irb-guidelines/irb-guideline-xi-research-involving-audio-video-or-digital-recordings-of-research-participants/
• Columbia University IRB Blog, Audio and Video Recording in Remote Research (2022) : https://www.tc.columbia.edu/institutional-review-board/irb-blog/2022/audio-and-video-recording-in-remote-research/
• EDPB Guidelines 04/2025 on Anonymization (via Innovires Legal) : https://www.innovires.com/en/blog/edpb-anonimizacia-psevdonimizacia.html
• UK Data Service, Anonymising Qualitative Data : https://ukdataservice.ac.uk/learning-hub/research-data-management/anonymisation/anonymising-qualitative-data/
• ICO, Introduction to Anonymisation : https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/data-sharing/anonymisation/introduction-to-anonymisation/
• ICO, Pseudonymisation : https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/data-sharing/anonymisation/pseudonymisation/
• Lincoln, Y. S., and Guba, E. G. (1985). Naturalistic Inquiry. Sage.
• Birt, L., Scott, S., Cavers, D., Campbell, C., and Walter, F. (2016). Member Checking: A Tool to Enhance Trustworthiness or Merely a Nod to Validation? Qualitative Health Research, 26(13).
• HHS HIPAA BAA guidance : https://www.hhs.gov/hipaa/for-professionals/privacy/guidance/hipaa-audio-telehealth/index.html