Guide de l’AEPD d’avril 2026 pour les entreprises qui enregistrent des réunions : ce qui a changé et ce que vous devez faire

Ce qui a changé

Le 20 avril 2026, l’Agence espagnole de protection des données (AEPD) a publié un guide spécifique sur la conformité au RGPD des outils de transcription vocale automatisée par IA. C’est le deuxième en quatre mois (le premier datait de janvier 2026) et leur combinaison trace une ligne claire pour toute entreprise ou tout professionnel qui utilise l’IA pour transcrire des réunions, des appels ou tout autre audio contenant des données personnelles.

Si vous enregistrez des réunions avec des clients, des patients, des conseillers, des candidats ou des salariés, ce guide vous concerne. Ce n’est pas facultatif.

Pourquoi maintenant

L’adoption des outils de transcription et de prise de notes par IA a fortement augmenté ces 18 derniers mois. L’AEPD observe deux problèmes parallèles :

1. Une adoption sans esprit critique. La plupart des professionnels et des entreprises qui utilisent ces outils n’ont pas fait de diligence raisonnable sur l’endroit où les données sont traitées, sur ce qui est entraîné avec elles ni sur la gestion des droits des autres participants à l’enregistrement.
2. Un produit conçu aux États-Unis pour le marché américain. Les principaux acteurs sont conçus pour des juridictions où le consentement d’une seule partie suffit (la Californie fait exception). Le modèle du « bot qui rejoint tout seul avec désinscription par e-mail une heure avant » ne répond pas aux standards européens de consentement spécifique et éclairé.

Le guide n’interdit pas ces outils. Il précise ce que doit faire l’entreprise ou le professionnel qui les utilise pour éviter une infraction.

Les quatre exigences, expliquées

1. Un consentement propre à chaque session

Ce que dit l’AEPD : le consentement doit être spécifique à chaque session d’enregistrement. Un avis générique à l’inscription au service (« en utilisant ce produit, vous acceptez que vos réunions soient enregistrées ») ne constitue pas un consentement valable. Chaque enregistrement est un acte de traitement distinct.

En pratique : - Il ne suffit pas que vous, en tant qu’organisateur, ayez accepté les conditions du service. Vous devez vous assurer que chaque participant à chaque réunion accepte que cette réunion précise soit enregistrée. - Le consentement doit être préalable à l’enregistrement, pas postérieur. Avertir « cet appel est enregistré » au bout de 30 secondes pose problème. - Le consentement doit être consigné. Si on vous demande de « prouver que le client X a consenti à l’enregistrement le 11 mars à 16 h », vous devez pouvoir produire la preuve.

Comment s’y conformer : - Une procédure documentée avant chaque réunion. Une phrase précise, non paraphrasée : « cette réunion sera enregistrée et transcrite avec AudioMap. Êtes-vous d’accord ? ». Consignez la réponse. - Si vous utilisez un bot qui rejoint automatiquement : vérifiez que le mécanisme de désinscription par e-mail fonctionne, qu’il ne dépend pas uniquement de l’e-mail (et si le participant ne l’ouvre pas ?) et qu’il est aussi signalé au début de la session. - Si vous utilisez une capture intentionnelle (vous importez l’audio) : demandez un consentement explicite avant de commencer. AudioMap le consigne dans un journal d’audit immuable (IP + User Agent + version + horodatage) chaque fois que vous acceptez la fenêtre de confirmation.

2. Le droit d’accès aussi dans les enregistrements à plusieurs voix

Ce que dit l’AEPD : le droit d’accès de l’art. 15 du RGPD s’applique aussi lorsque l’enregistrement contient plusieurs locuteurs. On ne peut pas refuser l’accès à une personne au motif de protéger les données personnelles des autres participants.

En pratique : - Si un participant à une réunion vous demande l’accès à « ses données » et que l’enregistrement contient d’autres voix, vous ne pouvez pas refuser en invoquant la protection de la vie privée des autres. - Vous devez fournir au moins la partie de la transcription qui le concerne, ou documenter pourquoi ce n’est pas techniquement possible. - Cela s’applique aussi à la portabilité (art. 20), à la rectification (art. 16), à l’effacement (art. 17) et à l’opposition (art. 21).

Comment s’y conformer : - Votre outil de transcription doit offrir une diarisation raisonnablement bonne (séparation par locuteur). Sans diarisation, la conformité est presque impossible. - Une procédure interne claire : quand vous recevez une demande d’accès d’une personne concernée, dans le délai d’un mois (art. 12.3 du RGPD), fournissez sa partie. - Si vous enregistrez des réunions avec des tiers qui ne sont pas vos utilisateurs (clients, candidats, patients), il vous faut un canal pour qu’EUX vous demandent l’accès directement sans passer par l’outil. AudioMap construit ce point d’accès public.

3. La diligence raisonnable envers le fournisseur

Ce que dit l’AEPD : le responsable du traitement (l’entreprise ou le professionnel qui enregistre) doit documenter la diligence raisonnable dans le choix du fournisseur de transcription. Cela inclut : la juridiction réelle du traitement, les sous-traitants, la politique de conservation, la politique d’entraînement des modèles.

En pratique : - « Ils ont un DPA » n’est pas une réponse suffisante. Vous devez pouvoir expliquer ce que dit le DPA, quels sous-traitants ils utilisent et ce qui arrive à votre audio à chaque étape. - « Ils sont dans le Cadre de protection des données UE-États-Unis » n’est pas non plus une réponse suffisante. Le cadre est valable à ce jour, mais NOYB plaide pour son invalidation (c’est la troisième tentative : les deux précédentes sont tombées). Fonder sa conformité dessus, c’est bâtir sur du sable. - Il faut une analyse d’impact du transfert (TIA) pour chaque sous-traitant établi aux États-Unis. L’AEPD a sanctionné des entreprises qui avaient signé des CCT mais n’avaient pas de TIA documentée.

Comment s’y conformer : - Demandez au fournisseur la liste publique de ses sous-traitants. S’il n’en a pas ou ne veut pas la fournir, vous avez votre réponse. - Demandez la politique de conservation par écrit. « 30 jours » n’est pas la même chose que « indéfiniment pour les sauvegardes ou des raisons légales ». - Demandez la politique d’entraînement. « Nous n’entraînons pas sur votre contenu » doit figurer contractuellement dans le DPA, pas seulement dans le marketing. - Envisagez des fournisseurs européens. AudioMap traite 100 % en territoire de l’UE (Hetzner Allemagne + AssemblyAI UE + Vertex UE + R2 UE) et publie tout : /legal/subprocessors, /legal/data-residency, /legal/aepd-compliance.

4. Transcription ≠ fonctionnalité technique

Ce que dit l’AEPD : la transcription n’est pas un utilitaire technique à faible risque. C’est un traitement de données personnelles qui exige une gouvernance continue, une transparence claire et des garanties proactives.

En pratique : - Il vous faut une AIPD (analyse d’impact relative à la protection des données, art. 35 du RGPD) si le traitement est à haut risque. Enregistrer des réunions avec des clients ou des patients en est un : plusieurs voix, des données potentiellement sensibles, un traitement automatisé par IA. - Il vous faut un registre des activités de traitement (art. 30 du RGPD) qui inclut la transcription par IA comme activité documentée. - Il vous faut une politique de conservation écrite et appliquée (pas « nous conservons ce que veut le fournisseur »). - Il vous faut un processus de notification des violations (art. 33 du RGPD, 72 heures) qui inclut le scénario « fuite chez le fournisseur de transcription ».

Comment s’y conformer : - AIPD : si vous ne savez pas en faire une, engagez un DPO externe. Les tarifs commencent à 80 euros de l’heure. Une AIPD de transcription par IA bien faite tient en 4 à 6 pages. - Registre des activités : ajoutez une entrée concrète « Transcription automatisée de réunions clients » avec base légale, finalité, catégories de données, durées de conservation. - Politique de conservation : documentez combien vous conservez et combien le fournisseur conserve. AudioMap conserve 30 jours après la clôture du compte et publie cet engagement sur /privacy.

Ce qui NE change PAS

Le guide de l’AEPD n’interdit pas la transcription par IA. Il n’impose pas d’utiliser des outils européens. Il n’annule pas les DPA déjà signés. Ce qu’il fait, c’est relever le niveau de ce qui compte comme « usage conforme » en Espagne.

Les entreprises qui avaient déjà un programme de conformité mature (consentement consigné, AIPD, traitement des demandes d’exercice de droits, gestion des fournisseurs) sont bien placées pour continuer ainsi. Celles qui pensaient qu’« avoir un DPA » suffisait ont du travail.

Sanctions possibles

L’AEPD peut sanctionner le non-respect par des amendes pouvant atteindre 4 % du chiffre d’affaires annuel mondial ou 20 millions d’euros, le montant le plus élevé étant retenu (art. 83 du RGPD). En pratique, les sanctions infligées à des entreprises espagnoles de taille moyenne pour des affaires liées à la transcription ou à l’enregistrement vont de 5 000 à 200 000 euros, selon la gravité et la coopération avec l’inspecteur.

Plus pertinents que l’amende potentielle, il y a le coût en réputation et la perturbation opérationnelle d’une inspection de l’AEPD. Si votre activité dépend de la confiance de vos clients (cabinet fiscal, cabinet d’avocats, clinique), une inspection ouverte est déjà un problème avant toute décision.

Comment AudioMap s’y conforme

AudioMap répond aux quatre exigences point par point. La page /legal/aepd-compliance les détaille techniquement. En bref :

1. Consentement spécifique : consentement par note + journal d’audit immuable + types séparés (art. 7 et 9 du RGPD).
2. Accès à plusieurs voix : tableau de bord utilisateur + point d’accès public pour les tiers en construction + diarisation par locuteur.
3. Diligence raisonnable envers le fournisseur : traitement 100 % UE, sous-traitants publics, repli Whisper local pour supprimer la dépendance au cloud.
4. Gouvernance continue : AIPD en construction, conservation de 30 jours, processus de notification des violations sous 72 h, sous-traitants avec notification préalable de tout changement.

Prochaine étape

Si vous dirigez un cabinet fiscal, un cabinet d’avocats, une clinique ou un cabinet de conseil en Espagne et n’avez pas encore passé en revue la conformité de votre transcription par IA au regard de ce guide, je vous recommande :

1. Un audit rapide (2 heures) : liste des outils d’IA que vous utilisez, où ils traitent les données, quel consentement vous obtenez.
2. Des gains rapides (1 semaine) : registre du consentement par réunion, politique écrite sur l’intranet, liste des DPA signés.
3. Un travail de fond (1 mois) : AIPD, TIA, procédure de demandes d’exercice de droits.
4. Un changement de fournisseur le cas échéant (dans les 3 prochains mois) : si votre outil actuel traite aux États-Unis et que vous manipulez des données sensibles, évaluez une alternative européenne.

Si AudioMap correspond à votre cas, essayez-le gratuitement ou écrivez-nous. Nous signons des DPA conformes à l’art. 28 du RGPD le jour même.

---

Sources : - Guide de l’AEPD sur la transcription vocale automatisée, 20 avril 2026. - Règlement général sur la protection des données (RGPD), art. 6, 7, 9, 12-22, 28, 30, 33-34, 35, 83. - Arrêt Schrems II, CJUE C-311/18, 16 juillet 2020. - Résolution de l’AEPD PS-00121/2023.