Otter.ai et le RGPD / AI Act : transcription des réunions et transferts

Présentation et données traitées

Otter.ai est un service américain de transcription et de prise de notes de réunion. Son assistant OtterPilot rejoint les réunions (Zoom, Teams, Google Meet), enregistre, transcrit et résume.

Otter traite la voix des participants, les transcriptions, les résumés et les métadonnées. Éditeur américain : hébergement/traitement aux États-Unis probable, avec exposition au CLOUD Act. Vérifiez l'usage éventuel des données pour l'amélioration des modèles selon l'offre.

Les risques pour votre entreprise

Le transfert hors UE de données vocales, le consentement des participants (surtout externes) et la conservation constituent les principaux risques, aggravés par la sensibilité potentielle des propos.

Principaux risques RGPD :

• Information insuffisante (un bandeau ne suffit pas) ; en interne, consentement salarié rarement valide (intérêt légitime/contrat).
• Réunions avec des tiers : information et consentement indispensables.
• Transfert hors UE (CLOUD Act) ; garanties à établir (SCC).
• Usage éventuel des données pour l'entraînement (à vérifier/désactiver) ; conservation et minimisation.

Les obligations RGPD

1. Informer dans l'invitation et oralement ; recueillir le consentement des tiers.
2. Signer le DPA ; encadrer les transferts (SCC) ; vérifier/désactiver l'entraînement sur vos données.
3. Définir des durées de conservation courtes ; minimiser (audio).
4. Consulter le CSE si surveillance/évaluation ; inscrire au registre ; AIPD si analyse comportementale.
5. Impliquer le DPO ; former les équipes. Pas de DPO ? Voir notre DPO externalisé.

Les obligations AI Act

Transparence (article 50) : informer de l'IA et signaler les comptes rendus IA. GPAI (obligations fournisseurs) ; littératie IA requise. Interdiction (article 5) : analyse du ton/humeur/stress/engagement émotionnel interdite au travail — désactivez ces fonctions. Les analyses de participation alimentant des décisions RH basculent en haut risque (Annexe III). Voir le guide AI Act.

Risques AI Act : participants non informés de l'IA ; analyses de ton/émotion (interdites) ; analyses de participation à visée RH (haut risque).

Cybersécurité et bonnes pratiques

Risques cyber : enregistrements vocaux hors UE ; accès aux transcriptions à cloisonner ; bot dans des réunions confidentielles ; NIS 2 selon la taille.

Bonnes pratiques : encadrer les transferts (SCC), vérifier/désactiver l'entraînement ; information + consentement des tiers ; audio plutôt que vidéo ; conservation minimale ; désactiver l'analyse émotionnelle ; pour les réunions sensibles, préférer une solution souveraine ; charte IA, registre, formation IA.

Checklist :

• Information + consentement des participants, DPA + transferts encadrés (SCC), entraînement vérifié/désactivé
• Conservation courte, aucune analyse d'émotion/ton, CSE consulté si surveillance/évaluation
• AIPD si analyse comportementale, alternative souveraine pour le sensible, équipes formées

Sanctions, conclusion et recommandations

Sanctions : RGPD (jusqu'à 20 M€ ou 4 %) ; AI Act (35 M€/7 % ou 15 M€/3 %) ; volet pénal (article 226-1 du code pénal) ; délit d'entrave (CSE).

Recommandation : Otter.ai est efficace mais cumule transfert hors UE et enregistrement de la voix. Encadrez les transferts, vérifiez l'entraînement, informez/faites consentir, minimisez et supprimez vite. Pour les réunions confidentielles, une alternative souveraine comme tl;dv est préférable. Comparez avec Fireflies.ai et Fathom. Voir le comparatif des outils d'IA.