Dictée vocale et RGPD : où vont vraiment vos données ?

Quand vous dictez un email, un compte rendu ou une conclusion juridique, vous prononcez à voix haute des informations souvent confidentielles : noms, montants, éléments d'un dossier. La question n'est pas seulement « la transcription est-elle bonne ? », mais « où part ma voix, et qui peut y accéder ? ». C'est exactement ce que cadre le RGPD. Ce guide explique ce que le règlement exige réellement d'un outil de dictée vocale, pourquoi la localisation des serveurs ne suffit pas, et comment reconnaître une solution conforme et souveraine.

Votre voix est une donnée personnelle

Premier point, souvent mal compris : un enregistrement vocal est une donnée personnelle au sens du RGPD dès lors qu'il permet, directement ou indirectement, d'identifier une personne. La voix elle-même, un nom prononcé, un numéro de client cité à l'oral : tout cela relève du règlement. Le RGPD s'applique donc à la dictée vocale du moment qu'un humain parle.

Faut-il en conclure qu'il s'agit de données « sensibles » ? Pas automatiquement, et la nuance est importante. D'après la CNIL, la voix ne devient une donnée biométrique (catégorie sensible, encadrée par l'article 9 du RGPD) que lorsqu'un système l'utilise pour reconnaître ou authentifier un locuteur à partir de ses caractéristiques vocales. Un outil de dictée ne fait pas cela : il transforme la parole en texte, il n'identifie personne par sa voix. La conséquence pratique :

• L'audio est une donnée personnelle, mais pas une donnée biométrique, car il n'y a pas d'identification vocale.
• Le contenu dicté, lui, peut être tout sauf anodin : un dossier médical mentionné, des données bancaires, le nom d'un client et la nature de son litige. C'est là que se concentre le vrai risque.

Autrement dit, le danger n'est pas que votre timbre de voix serve à vous identifier ; c'est que ce que vous dictez se retrouve stocké, réutilisé, ou accessible à un tiers. D'où l'importance de savoir précisément ce que l'outil fait de votre audio.

Ce que le RGPD exige concrètement d'un outil de dictée vocale

Le RGPD ne se résume pas à une bannière de consentement. Pour un service qui transcrit votre voix, six obligations comptent vraiment :

• Une finalité et une base légale claires. Vos données ne servent qu'à produire votre transcription, pas à autre chose.
• La minimisation. L'outil ne doit traiter que le strict nécessaire. La CNIL, dans son livre blanc sur les assistants vocaux, recommande même de ne transférer aux serveurs que les données indispensables.
• La limitation de conservation. Le RGPD interdit de garder les données plus longtemps que nécessaire. Pour de la dictée, le mieux-disant est simple : zéro conservation, l'audio est supprimé aussitôt transcrit.
• La non-réutilisation. Votre voix et vos textes ne doivent pas servir à entraîner des modèles d'IA sans votre accord.
• Un sous-traitant encadré. L'éditeur doit vous proposer un accord de traitement (DPA, article 28 du RGPD) qui liste ses sous-traitants et leurs garanties.
• La sécurité et l'encadrement des transferts. Chiffrement, mesures techniques sérieuses, et surtout un cadre strict si les données sortent de l'Union européenne (articles 44 et suivants).

Ces critères sont vérifiables. Un éditeur sérieux répond à chacun par écrit. C'est précisément le dernier point, les transferts hors UE, qui fait le plus souvent défaut, et c'est le plus mal compris.

Le vrai sujet n'est pas le serveur, c'est la juridiction

La plupart des outils de dictée vocale grand public sont édités par des sociétés américaines, et votre audio transite par des serveurs soumis au droit américain. Beaucoup mettent en avant des datacenters situés en Europe pour rassurer. C'est insuffisant, et voici pourquoi.

Le Cloud Act, loi américaine de 2018, permet aux autorités des États-Unis de contraindre un fournisseur soumis au droit américain à communiquer les données qu'il contrôle, où qu'elles soient stockées, y compris dans un datacenter situé en Union européenne. Tant qu'une société est américaine ou contrôlée par une maison mère américaine, elle reste dans le champ du Cloud Act. La localisation des serveurs n'y change rien : ce qui compte, c'est la nationalité juridique de l'entreprise qui les opère.

Ce n'est pas une hypothèse d'école. En juin 2025, auditionné devant le Sénat français, le directeur juridique de Microsoft France a reconnu, sous serment, ne pas pouvoir garantir que les données de citoyens français hébergées par l'entreprise ne seraient jamais transmises aux autorités américaines sans l'accord de la France. Un acteur majeur, avec des datacenters en Europe, admet lui-même la limite. Pour des professions tenues au secret, c'est un signal qui ne se discute pas.

Et le Data Privacy Framework, alors ?

Pour transférer légalement des données personnelles vers les États-Unis, les outils américains s'appuient en général sur le Data Privacy Framework (DPF), une décision d'adéquation adoptée par la Commission européenne le 10 juillet 2023. Une entreprise américaine s'auto-certifie, et peut alors recevoir des données de l'UE sans formalité supplémentaire. Sur le papier, le transfert est donc légal.

Deux réserves, cependant, que tout professionnel devrait connaître :

• Ce cadre est juridiquement fragile. C'est le troisième du genre. Les deux précédents, le Safe Harbor puis le Privacy Shield, ont été annulés par la Cour de justice de l'Union européenne (arrêts Schrems I en 2015 et Schrems II en 2020), au motif que la surveillance américaine ne protégeait pas assez les Européens. Le DPF a survécu à un premier recours (rejeté par le Tribunal de l'UE en septembre 2025), mais cette décision fait l'objet d'un appel devant la CJUE depuis fin octobre 2025. Bâtir sa confidentialité sur un cadre déjà invalidé deux fois est un pari.
• Le DPF ne neutralise pas le Cloud Act. Ce sont deux sujets distincts : le DPF rend le transfert commercial légal ; le Cloud Act concerne l'accès des autorités américaines. Un outil peut être parfaitement certifié DPF et rester contraignable par une injonction américaine. La conformité du transfert ne vous protège pas de l'accès.

La seule manière d'écarter ce risque n'est pas de mieux encadrer le transfert vers les États-Unis : c'est de ne pas dépendre du droit américain du tout.

Professions à secret : avocats, notaires, experts du chiffre

Pour un avocat, un notaire ou un expert-comptable, le RGPD se double d'une obligation plus stricte encore : le secret professionnel. Dicter le nom d'un client et la nature de son dossier dans un outil qui pourrait être contraint de communiquer ces données, c'est exposer une information couverte par le secret.

Le Conseil national des barreaux l'a rappelé dans son guide déontologique sur l'intelligence artificielle : l'usage d'outils d'IA ne peut jamais justifier une levée du secret professionnel, et il ne faut jamais confier à une IA générative grand public des données qui en sont couvertes. Le guide souligne aussi que les solutions hébergées dans l'Union européenne, qui ne réutilisent pas les requêtes pour entraîner leurs modèles, présentent un profil de risque nettement inférieur à celui des outils grand public.

C'est exactement le critère à appliquer à un outil de dictée : traitement en UE, zéro conservation, pas de réutilisation, et un éditeur qui n'est pas soumis à une législation extraterritoriale. Nous détaillons ce point pour les cabinets dans notre guide dédié à la dictée vocale pour avocats et juristes.

5 questions à poser avant de choisir un outil de dictée vocale

Un moyen simple de trancher : posez ces cinq questions à n'importe quel éditeur. Les réponses doivent être claires et écrites.

1. Conservez-vous mon audio et mes transcriptions ? La bonne réponse est : non, suppression immédiate après transcription.
2. Mes données servent-elles à entraîner vos modèles ? La bonne réponse est : non.
3. Où mes données sont-elles traitées, et par quelle société ? Cherchez un traitement en UE par une société européenne, pas seulement un « datacenter en Europe ».
4. Êtes-vous soumis au Cloud Act ou à une autre loi extraterritoriale ? Un éditeur européen non détenu par une maison mère américaine peut répondre non.
5. Proposez-vous un DPA conforme à l'article 28 du RGPD ? Indispensable pour un usage professionnel.

L'option la plus stricte : le 100 % local

Soyons honnêtes : si vous voulez la garantie absolue que votre voix ne quitte jamais votre ordinateur, la solution la plus protectrice n'est pas le cloud, c'est le traitement 100 % local. Rien ne part en ligne : ni le RGPD ni le Cloud Act ne sont même en jeu, puisqu'aucune donnée n'est transmise à un tiers. Des outils open source comme Handy (gratuit, sous licence libre, pour Windows, macOS et Linux) font tourner la transcription directement sur votre machine, sans aucun envoi vers un serveur.

La contrepartie est réelle, et nous la détaillons dans notre comparatif dictée vocale en local vs cloud : le 100 % local se limite le plus souvent à une transcription brute, sans le nettoyage ni la mise en forme par IA, et il réclame une machine assez puissante. Pour beaucoup de professionnels, l'enjeu est donc de retrouver le confort du cloud, un texte propre, dans n'importe quelle application et sur n'importe quel ordinateur, sans renoncer à la souveraineté. C'est précisément ce que vise Fast Dictate.

L'approche de Fast Dictate

Fast Dictate est une alternative européenne pensée pour répondre à ces questions sans détour :

• Zéro conservation des données sur toutes les offres. Votre audio est transcrit puis immédiatement supprimé, et n'est jamais réutilisé pour entraîner des modèles.
• Offre Pro : traitement exclusivement en France, sur des serveurs certifiés ISO/IEC 27001, hors du champ du Cloud Act américain, avec un DPA RGPD avancé. Conçue pour les avocats, notaires et toute personne manipulant des dossiers confidentiels.
• Offres Free et Standard : une infrastructure internationale rapide, toujours sans conservation des données.
• Fonctionne partout : Word, Gmail, Notion, votre navigateur, n'importe quel champ de texte, avec un seul raccourci sur Windows et Mac.
• Offre gratuite : 2 000 mots par semaine, sans carte bancaire.

Questions fréquentes