Pourquoi les avocats européens ne devraient pas traiter les conversations de leurs clients sur des serveurs américains

Le problème que personne ne veut regarder

Si vous êtes avocat en Espagne, en France ou en Allemagne et que vous utilisez, pour vos réunions clients, un outil de transcription hébergé hors de l’UE, il y a une conversation que vous n’avez probablement pas eue avec votre DPO : où résident physiquement les données pendant leur traitement.

Ce n’est pas du marketing. C’est ce que disent leurs DPA et leurs pages de sous-traitants.

Ce qui a changé en avril 2026 : le guide de l’AEPD sur la transcription par IA

Le 20 avril 2026, l’Agence espagnole de protection des données (AEPD) a publié un guide spécifique sur la conformité au RGPD des outils de transcription automatisée par IA. En résumé, il exige quatre choses :

1. Un consentement propre à chaque session. Un avis générique à l’inscription au service ne constitue pas un consentement valable. Chaque enregistrement exige une acceptation explicite.
2. Le droit d’accès s’applique aussi aux enregistrements à plusieurs voix. On ne peut pas refuser l’accès à une personne concernée au motif de protéger les données de tiers présentes dans le même audio.
3. Une diligence raisonnable obligatoire envers le fournisseur. Le responsable du traitement (l’entreprise ou le professionnel qui enregistre) doit documenter que le fournisseur de transcription informe clairement des traitements ultérieurs et de l’endroit où résident physiquement les données.
4. Transcription ≠ fonctionnalité technique. C’est un traitement de données personnelles avec une gouvernance continue, pas un simple utilitaire technique à faible risque.

Cela change la donne en Espagne. Les bots de réunion américains sont passés de « zone grise » à « diligence raisonnable non respectée » en une seule publication officielle.

Pourquoi c’est important : Schrems II reste en vigueur

En juillet 2020, la CJUE a invalidé le Privacy Shield UE-États-Unis (C-311/18). Depuis, transférer des données personnelles européennes vers les États-Unis exige :

• Des clauses contractuelles types (CCT) signées avec le fournisseur.
• Une analyse d’impact du transfert (TIA) documentant les risques.
• Des mesures techniques supplémentaires (chiffrement de bout en bout, pseudonymisation) le cas échéant.

Le Cadre de protection des données UE-États-Unis (successeur du Privacy Shield, en vigueur depuis 2023) est un mécanisme valable, mais fragile : NOYB et d’autres plaident pour son invalidation, comme pour les deux versions précédentes. Fonder sa conformité dessus, c’est bâtir sur du sable.

La conformité est difficile. Les autorités espagnoles ont sanctionné des entreprises pour avoir transféré des données vers les États-Unis sans ces garanties (résolution de l’AEPD PS-00121/2023).

Pour un cabinet d’avocats, le contenu d’une réunion client est une information couverte par le secret professionnel. La traiter dans une juridiction étrangère sans les garanties de Schrems II, c’est un double risque : réglementaire et déontologique.

Ce qu’il faut demander à tout fournisseur

Avoir un DPA est nécessaire mais pas suffisant. La question est où résident physiquement les données pendant le traitement. Avant d’utiliser un outil avec des réunions clients, demandez par écrit la région d’hébergement, la liste des sous-traitants et s’il existe une option de résidence dans l’UE (certains sites ne la mentionnent pas ou la limitent à certains plans). Dans les comparatifs, nous reprenons ce que chaque outil dit sur son propre site officiel, avec sa source et la date de consultation.

Comment AudioMap s’y prend

AudioMap est conçu autrement : l’Europe d’abord par architecture, pas par configuration.

• Stockage : Cloudflare R2 avec la juridiction UE explicitement (pas global, qui route vers les États-Unis).
• Transcription : AssemblyAI via son point d’accès européen (`api.eu.assemblyai.com`).
• Repli Whisper local : sidecar auto-hébergé chez Hetzner en Allemagne (faster-whisper large-v3-turbo). Aucun octet ne quitte l’Allemagne si AssemblyAI ne répond pas.
• Modèles de langage : Google Vertex AI dans `europe-west1` (Pays-Bas).
• Workers et base de données : serveur dédié Hetzner en Allemagne (Falkenstein).
• Sentry : région UE.

Liste publique des sous-traitants · Politique de souveraineté des données · Conformité AEPD avril 2026.

Comment nous répondons aux 4 exigences de l’AEPD

1. Consentement propre à chaque session : chaque note ou enregistrement demande un consentement explicite avant l’envoi. Journal d’audit immuable avec IP + User Agent + version du texte juridique + horodatage en base de données. Types de consentement séparés (audio_storage, processing, marketing, third_party_sharing, biometric_data, recording_party_acknowledgement) conformément aux art. 7 et 9 du RGPD.
2. Droit d’accès à plusieurs voix : l’utilisateur peut accéder à ses notes, les exporter et les supprimer. Nous construisons le point d’accès public pour que des tiers non utilisateurs (un participant enregistré sans compte) puissent demander directement la suppression, sans passer par l’organisateur.
3. Diligence raisonnable envers le fournisseur : documentation publique de chaque sous-traitant avec sa juridiction réelle. Vertex UE + AssemblyAI UE + R2 UE + Hetzner Allemagne. Whisper local supprime entièrement la dépendance au cloud si vous en avez besoin.
4. Transcription = traitement : politique explicite « nous n’entraînons pas de modèles avec votre contenu », conservation de 30 jours après la clôture du compte, base légale documentée (contrat + consentement + intérêt légitime selon l’opération).

Ce que nous ne faisons pas

Nous n’avons pas de bot qui rejoint l’appel vidéo pour enregistrer. Nous ne promettons pas l’« enregistrement silencieux » comme argument de valeur. Nous ne traitons pas les voix aux États-Unis pour ensuite dire que nous « respectons le RGPD ». Nous n’utilisons pas l’OAuth de Google Agenda pour rejoindre automatiquement vos réunions.

Si cela vous parle

Si vous dirigez un cabinet d’avocats, une clinique ou un cabinet fiscal en Espagne et avez besoin de transcription + analyse par IA de vos réunions clients sans risque de transfert international, essayez AudioMap. La première heure est gratuite, sans carte. Et si vous passez en production, nous signons des DPA avec les clauses standard de l’article 28 du RGPD.

Commencer gratuitement · Nous écrire

---

Sources citées : - Guide de l’AEPD sur la transcription vocale automatisée, 20 avril 2026. - Schrems II : CJUE C-311/18 (16 juillet 2020). - Résolution de l’AEPD PS-00121/2023 (transferts internationaux sans CCT). - Art. 542 LOPJ : secret professionnel de l’avocat espagnol. - RGPD art. 6, 7, 9, 12-22, 28, 33-34, 35.