Transcription sous NDA : le processus de conformité

Lorsque vous téléversez une conversation enregistrée vers un service de transcription cloud, vous divulguez cette conversation à un tiers. La plupart des accords de confidentialité restreignent précisément cela. Le téléversement ne viole pas automatiquement votre NDA, mais sans la structure contractuelle adéquate, il pourrait le faire.

Cet article passe en revue les clauses contractuelles que vous devez réellement lire, le fonctionnement concret de la chaîne de sous-traitance et un processus d'approbation interne réaliste pour les équipes qui manipulent de l'audio sensible.

Pourquoi le libellé par défaut des NDA pose problème

Une clause de confidentialité standard ressemble à ceci :

Le Destinataire ne divulguera pas les Informations Confidentielles à un tiers sans l'accord écrit préalable de la Partie Divulgatrice.

Un service de transcription cloud est un tiers. Dès que vous téléversez l'audio, le service reçoit le contenu de cet enregistrement. Le téléversement constitue une divulgation au sens ordinaire du terme.

La solution ne vient pas d'une relecture de la section des définitions. Elle passe par l'un de ces deux remèdes structurels :

1. Votre NDA comporte une clause dérogatoire autorisant les services cloud liés par des obligations équivalentes.
2. Vous obtenez un consentement écrit distinct de l'autre partie pour utiliser des services cloud spécifiques.

La plupart des modèles de NDA rédigés après 2018 incluent un libellé du type : « Le Destinataire peut faire appel à des sous-traitants cloud ou SaaS à des fins de traitement interne, à condition que ces sous-traitants soient liés par des obligations de confidentialité au moins aussi restrictives que celles du présent Accord. » Si votre NDA date d'avant cette période, vérifiez la présence de ce libellé. À défaut, il vous faut un avenant ou une lettre annexe avant de téléverser de l'audio confidentiel.

Comment lire la chaîne de sous-traitance

Lorsque vous souscrivez à un service de transcription cloud, vous ne mandatez pas seulement cette entreprise. Vous mandatez toute sa chaîne de sous-traitance. Une chaîne réaliste pour un SaaS de transcription de taille intermédiaire ressemble à ceci :

1. Vous (responsable du traitement de l'audio)
2. Le service de transcription (sous-traitant direct)
3. Stockage cloud (AWS S3, Cloudflare R2, Google Cloud Storage)
4. API du modèle d'IA (Deepgram, AssemblyAI, OpenAI Whisper ou similaire)
5. Éventuellement des sous-traitants supplémentaires : analytique, monitoring, suivi des erreurs

Chaque maillon doit être couvert par une obligation de confidentialité qui se répercute depuis le sommet de la chaîne. En vertu de l'article 28 du RGPD, les sous-traitants doivent imposer à leurs propres sous-traitants les mêmes obligations de protection des données que celles imposées par le responsable du traitement, et ils restent « pleinement responsables » si ces sous-traitants manquent à leurs obligations. Hors UE, la même logique s'applique à la confidentialité fondée sur un NDA : si l'accord initial exige une stricte confidentialité, chaque sous-traitant en aval doit être lié par des termes équivalents.

Lorsque vous évaluez un fournisseur de transcription, demandez sa liste de sous-traitants. Demandez précisément : quelle entité traite l'audio pour la transcription, et quel est l'accord de conservation des données avec cette entité ? Certaines API de modèles d'IA fonctionnent en mode « zéro rétention des données », où l'audio est traité mais non conservé après l'inférence. D'autres peuvent conserver l'audio pour l'assurance qualité ou l'amélioration des modèles, sauf si vous vous y opposez. Ce sont deux postures très différentes pour un travail confidentiel.

La question de l'entraînement des modèles d'IA

Une préoccupation particulière de la transcription par IA est de savoir si le modèle d'IA compte comme une « divulgation » de manière persistante. Le cas idéal : un modèle pré-entraîné traite votre audio au moment de l'inférence, aucune donnée persistante n'est stockée et votre audio n'apparaît jamais dans un jeu de données d'entraînement. Le cas plus trouble : le fournisseur ou son sous-traitant IA utilise l'audio des clients pour améliorer ses futurs modèles.

Si un fournisseur utilise l'audio de ses clients pour entraîner ses modèles, il devient bien plus difficile de soutenir qu'il n'y a pas divulgation. Le recours collectif contre Otter.ai déposé en août 2025 (Brewer c. Otter.ai) reposait précisément sur cette allégation : le service aurait utilisé des réunions enregistrées pour entraîner ses modèles d'IA sans consentement adéquat des participants. L'affaire, consolidée avec des procédures connexes, était toujours en instance à la mi-2026. Quel qu'en soit l'issue, elle illustre le risque pratique et juridique d'utiliser un fournisseur sans engagement clair de « non-entraînement » par écrit.

Demandez à tout fournisseur sa politique explicite dans son DPA ou ses conditions d'utilisation. « Nous ne nous entraînons pas sur vos données » doit figurer dans un accord signé, pas seulement sur une page marketing.

Ce que couvre réellement un bon DPA pour la transcription

Un accord de traitement des données pour un travail sur de l'audio confidentiel devrait aborder, au minimum :

Limitation du périmètre. Traitement uniquement aux fins de la fourniture du service de transcription, sans aucune utilisation secondaire.

Clause de non-entraînement. Interdiction explicite d'utiliser l'audio des clients pour l'entraînement de modèles sans consentement écrit distinct.

Liste des sous-traitants avec notification préalable. Une liste des sous-traitants IA et d'infrastructure actuels, assortie d'un engagement de notification préalable avant tout ajout ou changement de sous-traitant et d'un droit d'opposition pour le client.

Notification des violations. Notification, dans un délai défini — généralement 24 à 72 heures —, de tout incident de sécurité affectant l'audio des clients.

Suppression des données. À la résiliation du contrat, tous les fichiers audio et transcriptions des clients sont supprimés ou restitués, avec confirmation écrite.

Droits d'audit. Le droit pour le client d'auditer, directement ou via un tiers, la conformité du fournisseur à l'accord.

Mécanisme de transfert transfrontalier. Pour de l'audio d'origine européenne traité sur une infrastructure américaine, les Clauses Contractuelles Types adoptées par la Commission européenne en 2021 (ou un mécanisme équivalent au titre de l'article 46 du RGPD) doivent être intégrées. C'est obligatoire, indépendamment de la présence d'un langage RGPD général dans la politique de confidentialité du fournisseur.

La plupart des services professionnels de transcription fournissent un DPA sur demande. Si un fournisseur refuse d'en signer un, c'est un signal fort sur sa posture réelle de gouvernance des données.

Pour un examen détaillé des obligations du RGPD et de ce qu'il faut rechercher dans les accords fournisseurs, consultez l'article sur la transcription conforme au RGPD.

Mettre à jour le NDA signé avec vos clients

L'exposition va dans les deux sens. Lorsque vous êtes le prestataire qui transcrit des enregistrements issus de missions clients, votre NDA avec le client doit anticiper votre usage d'outils cloud.

La clause protectrice ressemble à ceci :

Le Destinataire peut utiliser des services basés dans le cloud, y compris des fournisseurs de transcription par IA, pour traiter les Enregistrements aux fins de la présente mission, à condition que ces services soient liés par des obligations de confidentialité au moins aussi restrictives que celles du présent Accord, et le Destinataire demeure responsable de toute violation commise par ces services.

Sans ce libellé, vous demandez techniquement un consentement à chaque téléversement d'un enregistrement client. La plupart des clients accepteront cette clause sans négociation, car l'alternative — la transcription manuelle de chaque fichier audio — n'est pas une exigence réaliste. Mais les anciens modèles de mission en sont souvent totalement dépourvus. Cherchez les mots « sous-traitant » ou « cloud » dans votre modèle de NDA standard. S'ils n'apparaissent pas, ajoutez la clause avant le début de votre prochaine mission.

Spécificités selon le métier

Secteur juridique

Les avocats font face à l'exigence la plus élevée, car l'obligation de confidentialité y est à la fois contractuelle et professionnelle. L'avis formel 477R de l'ABA (révisé en 2017) a établi que les services cloud sont éthiquement permis pour les données clients si les avocats mènent une diligence raisonnable proportionnée à la sensibilité des données. L'avis 2025-6 du Barreau de New York a ajouté que les avocats doivent obtenir le consentement du client avant tout enregistrement, vérifier indépendamment l'exactitude des transcriptions et comprendre si l'outil s'entraîne sur le contenu.

En 2026, 42 États américains ont adopté le commentaire 8 de la Règle Modèle 1.1 ou un équivalent, faisant de la compétence technologique une norme déontologique opposable. « Je ne savais pas que l'outil s'entraînait sur les données clients » n'est pas une défense recevable.

Checklist pratique pour un usage juridique :

• Vérifiez que le fournisseur ne s'entraîne pas sur l'audio des clients (par écrit, dans le DPA)
• Configurez la suppression automatique pour une période raisonnable après la clôture du dossier
• Documentez votre diligence raisonnable dans le dossier de l'affaire
• Consultez les directives spécifiques du barreau de votre État ; certaines juridictions ont des exigences plus strictes que le modèle de l'ABA

Pour une analyse de l'interaction entre le secret professionnel, la conservation des transcriptions et la discovery, consultez transcription et secret professionnel avocat-client.

Journalisme

Les enjeux de protection des sources diffèrent par nature de la conformité aux NDA. La question n'est pas de savoir si un fournisseur a des obligations de confidentialité, mais si ces obligations peuvent survivre à une ordonnance de réquisition gouvernementale.

Pour le journalisme courant, où les sources sont citées ou où le profil de risque est faible, la transcription cloud avec des clauses DPA standards convient. Pour le journalisme à haut risque impliquant des lanceurs d'alerte, des sources situées dans des juridictions hostiles ou du matériel classifié, un service cloud crée, quel que soit son DPA, une piste de données pouvant être réquisitionnée. Dans ces cas, le bon outil est local : Whisper exécuté sur votre propre matériel, sans qu'aucun audio ne quitte jamais votre appareil. La contrepartie : une installation plus complexe et une précision légèrement inférieure à celle des dernières API cloud.

Pour la plupart du journalisme quotidien, le schéma de transcription cloud convient parfaitement. Configurez la suppression automatique, évitez de consigner des notes identifiant vos sources à côté des transcriptions, et connaissez la juridiction de votre fournisseur avant qu'un sujet ne devienne sensible.

Données sensibles en entreprise

Les discussions de fusions-acquisitions, les décisions RH, la planification stratégique et les projections financières sont courantes dans les flux de transcription en entreprise. L'enjeu ici n'est pas de signer vous-même un DPA, mais de faire approuver votre outil de transcription via le processus de gestion des fournisseurs de votre organisation.

Selon les recommandations 2026 en gestion des fournisseurs, les cycles d'achat d'outils d'IA en entreprise durent désormais en moyenne 6 à 14 semaines, principalement parce que les revues de sécurité sont devenues le goulot d'étranglement, et non l'évaluation fonctionnelle. Anticipez en conséquence si vous devez faire approuver un outil de transcription pour des documents confidentiels.

Les documents généralement requis lors d'une revue de sécurité fournisseur :

• Le DPA du fournisseur et sa liste de sous-traitants
• Un questionnaire de sécurité fournisseur complété (la plupart des fournisseurs destinés aux grandes entreprises disposent d'un format standard)
• Le rapport SOC 2 Type 2 du fournisseur (si votre organisation l'exige)
• Une confirmation écrite de la politique de non-entraînement

Certains fournisseurs de transcription n'ont pas encore atteint le niveau de maturité SOC 2 Type 2. Si votre entreprise exige cette certification, cela réduit considérablement la liste des fournisseurs approuvés. Intégrez ce critère avant de choisir un outil, pas après.

Processus d'approbation interne

Une fois la couche contractuelle comprise, le processus d'approbation de tout nouvel outil de transcription traitant de l'audio confidentiel suit un schéma prévisible. Voici la séquence pratique :

Étape 1 : Lisez votre NDA sous-jacent. Comporte-t-il une clause dérogatoire pour les sous-traitants ? Si oui, documentez-le. Si non, signalez-le pour amendement avant de poursuivre.

Étape 2 : Examinez le DPA du fournisseur. Traite-t-il l'entraînement, la notification des violations, la suppression à la résiliation et la divulgation des sous-traitants ? Si le fournisseur ne propose pas de DPA ou refuse de communiquer sa liste de sous-traitants, arrêtez-vous là.

Étape 3 : Confirmez la politique d'entraînement IA. Cherchez le libellé explicite dans le DPA ou les conditions d'utilisation, pas dans les supports marketing. « Nous n'utilisons pas les données clients pour entraîner nos modèles » doit figurer dans un accord signé.

Étape 4 : Configurez la rétention. Réglez la suppression automatique sur la durée la plus courte compatible avec votre flux de travail. Si le fournisseur prend en charge des durées de suppression configurables, utilisez-les. Consultez l'article sur la suppression automatique des fichiers de transcription pour des réglages pratiques.

Étape 5 : Documentez la chaîne. Conservez une trace des accords en vigueur : le DPA avec le fournisseur, la liste de sous-traitants du fournisseur et le libellé de votre NDA client qui autorise le recours à des sous-traitants. Si un client ou un régulateur vous le demande, vous devez pouvoir produire ces éléments.

Étape 6 : Formez l'équipe. La couche contractuelle ne fonctionne que si les personnes qui téléversent l'audio savent quelles catégories de contenu l'exigent. « Tous les appels clients » est une politique. « Les appels clients portant sur la stratégie ou les fusions-acquisitions » est une politique. Une vague impression qu'il ne faut pas téléverser de contenu sensible n'en est pas une.

La configuration initiale représente l'essentiel du travail. Une fois accomplie, le quotidien devient routinier : téléversez l'audio dans un outil de transcription de réunions, relisez le résultat, archivez la transcription. La couche contractuelle travaille discrètement en arrière-plan.

Quand aucun contrat ne suffit

Certains contenus ne peuvent être envoyés à aucun service cloud, quel que soit le DPA :

• Documents classifiés gouvernementaux : exigent les certifications CJIS, FedRAMP ou équivalentes et des réseaux habilités spécifiques. Aucun SaaS commercial de transcription ne convient.
• Contenus visés par une ordonnance judiciaire de non-divulgation en cours : la simple existence du contenu dans un système tiers peut déjà poser problème.
• Matériau source lorsque la source se trouve dans une juridiction dont les lois de divulgation forcée priment sur les obligations contractuelles de votre fournisseur.
• Secrets d'affaires lorsque le risque d'exposition est catastrophique et qu'aucun recours contractuel ne permettrait à l'organisation d'être intégralement indemnisée après une violation.

Dans ces cas, Whisper en local est la bonne solution. L'écart de précision entre un modèle Whisper large-v3 exécuté localement et les meilleures API cloud s'est resserré, et pour des contenus véritablement critiques, la garantie de confidentialité offerte par l'absence de tout tiers l'emporte sur tout avantage de précision.

Pour tout le reste, le schéma de transcription cloud avec un DPA approprié et une approbation documentée est la pratique standard dans les cabinets d'avocats, les cabinets de conseil et les entreprises réglementées. Si vous avez besoin d'une transcription rapide d'un enregistrement confidentiel sans déployer de bot de réunion, ConvertAudioToText accepte le téléversement direct de fichiers et ne s'entraîne pas sur l'audio des clients. Mais vérifiez cette affirmation dans le DPA comme vous le feriez avec n'importe quel autre fournisseur. La couche contractuelle est la norme, pas l'exception.

FAQ

Téléverser de l'audio vers un service de transcription cloud viole-t-il un NDA ?

Tout dépend du libellé du NDA. La plupart des NDA interdisent toute divulgation à des tiers sans consentement, et un service cloud est un tiers. Cependant, la plupart des NDA commerciaux modernes comportent une clause dérogatoire pour les sous-traitants : le destinataire peut recourir à des services cloud à condition que ceux-ci soient liés par des obligations de confidentialité équivalentes. Si votre NDA est antérieur à ce type de libellé, il vous faut un avenant ou un consentement écrit distinct avant tout téléversement.

Que doit réellement contenir un DPA avec un fournisseur de transcription ?

Au minimum : une obligation de ne traiter l'audio que pour fournir le service ; une interdiction d'utiliser l'audio pour l'entraînement de modèles d'IA sans consentement ; une liste de sous-traitants avec des dispositions de notification préalable ; une notification des violations dans un délai défini (24 à 72 heures est courant) ; la suppression des données à la résiliation ; et, si l'audio franchit les frontières de l'UE, l'intégration des Clauses Contractuelles Types ou d'un mécanisme de transfert équivalent au titre de l'article 46 du RGPD.

Quelles questions poser à un fournisseur de transcription sur sa chaîne de sous-traitance ?

Demandez sa liste de sous-traitants actuelle et les conditions de DPA qu'il impose à chacun. Les questions cruciales sont : quel fournisseur de modèle d'IA traite l'audio, ce fournisseur dispose-t-il d'un accord de zéro rétention des données, et le fournisseur utilise-t-il l'audio des clients pour entraîner ses futurs modèles. Un fournisseur incapable de répondre à ces questions par écrit doit être considéré comme à haut risque pour des travaux confidentiels.

Les avocats peuvent-ils utiliser des outils de transcription par IA pour les enregistrements de leurs clients ?

En général oui, moyennant une diligence raisonnable. L'avis formel 477R de l'ABA (2017) autorise le cloud computing pour les données clients si les avocats mènent une diligence de sécurité raisonnable, proportionnée à la sensibilité. L'avis 2025-6 du Barreau de New York ajoute que les avocats doivent obtenir le consentement du client avant tout enregistrement, vérifier indépendamment l'exactitude des transcriptions et comprendre si l'outil s'entraîne sur le contenu. De nombreux barreaux d'État suivent un raisonnement similaire, mais les détails varient : vérifiez les règles déontologiques de votre juridiction.

Sources

• Article 28 du RGPD : obligations du sous-traitant
• Avis formel 2025-6 du Barreau de New York : questions éthiques liées à l'utilisation de l'IA pour enregistrer, transcrire et résumer
• Avis formel 477R de l'ABA (sécurité cloud et déontologie des avocats)
• Accord de traitement des données Fireflies.ai
• Annexe de traitement des données Otter.ai
• Outils de prise de notes par IA sous pression : enseignements du recours collectif contre Otter.ai
• Commission européenne : Clauses Contractuelles Types
• ICO : ce que doit contenir le contrat (DPA de l'article 28)
• Processus d'intégration des fournisseurs 2026 : Moxo