L'actu qui fait du bien
Les outils d’IA qui transcrivent et résument une réunion séduisent parce qu’ils font gagner du temps : compte-rendu plus rapide, décisions listées, tâches attribuées. Le risque, c’est qu’une réunion contient aussi des informations sensibles (RH, clients, stratégie, santé, incidents) et des données personnelles.
Donc l’objectif n’est pas “utiliser l’IA coûte que coûte”, mais de poser une méthode : minimiser ce qui sort, sécuriser ce qui est stocké, et valider ce qui est produit. C’est exactement l’esprit des recommandations RGPD sur l’IA publiées par la CNIL CNIL.
Avant d’enregistrer : informer, limiter, justifier
Première règle : ne pas enregistrer “par défaut”. Si un résumé suffit, préférez une prise de notes classique ou une synthèse manuelle. La CNIL insiste régulièrement sur la proportionnalité : collecter moins, c’est réduire le risque (exemple de position sur des captures/collectes excessives) CNIL (proportionnalité). Données & IA : la checklist zéro panique pour éviter de p… — un repère utile.
Deuxième règle : informer clairement les participants (invitation, ordre du jour, début de réunion) et rappeler l’usage : transcription ? résumé ? extraction d’actions ? stockage ? durée ? Côté CNIL, les Q&R télétravail donnent des repères pratiques sur le cadre et les bonnes pratiques lors de réunions à distance CNIL (télétravail).
Réduire le risque : pseudonymiser, contrôler, garder la main
Un bon geste “pro” : pseudonymiser avant d’envoyer à un outil externe (remplacer noms/prénoms/clients par des rôles, supprimer numéros, adresses, identifiants). L’EDPB a publié des lignes directrices dédiées à la pseudonymisation, utiles pour faire ça correctement et montrer sa conformité EDPB (pseudonymisation).
Autre point : risque de “mémorisation” ou d’extraction indirecte quand on utilise des systèmes d’IA sur des données personnelles. La CNIL détaille des recommandations de développement (et de maîtrise du risque) quand un système d’IA est soumis au RGPD CNIL (développement IA), et l’EDPB a aussi rendu un avis sur les modèles d’IA et les principes RGPD EDPB (avis modèles IA).
Stockage et sécurité : le vrai “point dur”
Une transcription + un résumé, ce sont des données : elles doivent être protégées comme vos autres documents sensibles. Pour l’hébergement cloud de systèmes d’information sensibles, l’ANSSI publie des recommandations d’aide à la décision (niveau de sensibilité, exigences, solutions qualifiées) ANSSI.
Et si vous cherchez une boussole “organisationnelle”, la norme ISO/IEC 27001 est une référence largement utilisée pour structurer un système de management de la sécurité de l’information (qui a accès, comment on stocke, comment on trace, comment on supprime) ISO 27001. Passkeys : la connexion sans mot de passe devient enfin s… — un repère utile.
Workflow simple et prudent : 1) annoncer l’enregistrement et obtenir un accord explicite, 2) enregistrer seulement l’audio si possible, 3) anonymiser/pseudonymiser avant traitement externe, 4) demander un résumé “actions + décisions + points ouverts”, 5) relire et corriger humainement (risque d’erreurs/hallucinations), 6) stocker le compte-rendu final dans un espace maîtrisé, avec une durée de conservation définie.
Enfin, gardez un principe : l’IA produit un brouillon, pas une vérité. Les cadres de gestion des risques aident à formaliser cette discipline, notamment le profil Generative AI du NIST (évaluation, gouvernance, contrôle) NIST. Ce qui fait gagner du temps sur le long terme, c’est une méthode qui protège les personnes et le confidentiel, pas une automatisation “sans garde-fous”.
