Vous lancez une visioconférence avec un client, un prestataire ou un partenaire. La discussion commence normalement… jusqu’à ce qu’un petit indicateur vous révèle qu’une intelligence artificielle est en train d’assister à la réunion.
- Elle écoute, retranscrit les échanges et prépare éventuellement un compte rendu.
- Vous n’avez rien demandé. Personne ne vous a prévenu. Et lorsque vous posez la question, on vous répond que l’outil était simplement là « pour gagner du temps ».
- Cette situation, de plus en plus fréquente avec les assistants intégrés aux outils de visioconférence, pose une vraie question juridique : peut-on faire intervenir une IA dans une réunion professionnelle sans en informer les autres participants ?
- La réponse mérite quelques nuances. Mais une chose est certaine : une IA qui traite la voix, les propos ou les informations échangées pendant une réunion ne peut pas être considérée comme un simple spectateur invisible.
Une réunion en visioconférence peut déjà impliquer des données personnelles
Le simple fait de participer à une visioconférence implique le traitement de données personnelles.
La CNIL considère ainsi que les outils de visioconférence peuvent traiter notamment l’identité des participants, leur image et leur voix, mais également les messages échangés, les documents partagés ou certaines données techniques.
La voix constitue elle-même une donnée personnelle lorsqu’elle permet d’identifier une personne. Les conversations professionnelles peuvent par ailleurs contenir des informations confidentielles, voire des données particulièrement sensibles.
Lorsqu’un assistant IA intervient dans la réunion, le traitement peut aller beaucoup plus loin : transcription automatique, résumé, extraction d’informations, analyse des échanges ou conservation d’un compte rendu.
Le responsable du traitement doit donc savoir quelles données sont traitées, pourquoi elles le sont, par qui et pendant combien de temps.
La CNIL rappelle d’ailleurs que les informations collectées ne doivent pas l’être à l’insu des personnes et recommande de vérifier précisément les conditions d’utilisation des solutions de visioconférence ainsi que la manière dont les données sont enregistrées et réutilisées.
Une IA qui retranscrit ou analyse une réunion peut entraîner un traitement de données personnelles. Le fait que l’outil soit intégré à Teams, Zoom, Meet ou à une autre solution ne dispense pas l’entreprise de vérifier les règles applicables.
RGPD : attention au piège du « consentement obligatoire »
C’est probablement le point le plus important à corriger dans de nombreux articles consacrés au sujet.
Le RGPD n’impose pas systématiquement d’obtenir le consentement de chaque participant avant qu’une IA puisse traiter les données d’une réunion.
Le consentement n’est que l’une des bases juridiques permettant de rendre un traitement licite.
Selon les circonstances, le traitement peut notamment reposer sur l’exécution d’un contrat, une obligation légale, une mission d’intérêt public ou l’intérêt légitime du responsable du traitement, sous réserve du respect des conditions prévues par le RGPD.
En revanche, l’obligation d’information est bien distincte de celle relative au consentement.
Les personnes concernées doivent recevoir une information claire sur le traitement de leurs données : identité du responsable, finalités, destinataires, base juridique, durée de conservation et droits, notamment. La CNIL précise que cette information doit intervenir au moment approprié, notamment avant la collecte lorsque les données sont directement collectées auprès de la personne.
Informer un participant de l’existence d’une IA ne signifie pas nécessairement qu’il faut lui demander de cocher une case « J’accepte ». Tout dépend de la base juridique du traitement. En revanche, l’absence d’information sur un traitement de données personnelles peut poser problème même lorsque le traitement ne repose pas sur le consentement.
Et si l’IA enregistre la conversation ?
La situation devient évidemment plus sensible lorsqu’un outil conserve l’audio ou la transcription de la réunion.
La CNIL rappelle, dans le contexte professionnel, que les personnes concernées par un dispositif d’écoute ou d’enregistrement doivent notamment être informées de son existence, de l’identité du responsable du traitement, de la finalité, de la base juridique, des destinataires et de la durée de conservation.
Le principe de minimisation doit également être respecté : seules les informations nécessaires à la finalité poursuivie doivent être traitées.
Autrement dit, « l’IA fait un compte rendu » ne suffit pas comme justification.
Il faut pouvoir répondre à plusieurs questions très concrètes :
- Pourquoi la réunion est-elle transcrite ?
- Quelles données sont envoyées au service d’IA ?
- Le son est-il conservé ?
- La transcription est-elle conservée ?
- Pendant combien de temps ?
- Qui peut consulter le compte rendu ?
- Le fournisseur de l’IA peut-il réutiliser les données ?
- Les données sont-elles transférées hors de l’Union européenne ?
- Quelle est la base juridique du traitement ?
Le Code pénal peut également entrer en jeu
Dans certaines situations, le sujet dépasse le seul RGPD.
L’article 226-1 du Code pénal sanctionne notamment le fait de capter, enregistrer ou transmettre, sans le consentement de leur auteur, des paroles prononcées à titre privé ou confidentiel. La peine prévue est d’un an d’emprisonnement et de 45.000 euros d’amende.
Il faut toutefois éviter un raccourci : toute réunion professionnelle enregistrée sans consentement ne constitue pas automatiquement une infraction pénale.
L’application de ce texte dépend notamment du caractère privé ou confidentiel des propos et des circonstances précises de l’enregistrement.
Pour une entreprise, cela constitue néanmoins une raison supplémentaire de ne pas activer discrètement un outil d’enregistrement ou de transcription dans une réunion avec des tiers.
L’article 226-1 du Code pénal vise la captation ou l’enregistrement sans consentement de paroles prononcées à titre privé ou confidentiel. Une réunion professionnelle peut donc nécessiter une analyse particulière lorsque les échanges présentent un caractère confidentiel.
Et l’AI Act depuis le 2 août 2026 ?
C’est la nouveauté à connaître.
Le règlement européen sur l’intelligence artificielle, plus connu sous le nom d’AI Act, prévoit à son article 50 plusieurs obligations de transparence.
Ces obligations de transparence s’appliquent depuis le 2 août 2026. La Commission européenne a publié ses lignes directrices sur le sujet en juillet 2026.
L’article 50 prévoit notamment que les fournisseurs de certains systèmes d’IA doivent concevoir ces systèmes afin que les personnes soient informées lorsqu’elles interagissent directement avec une IA. L’information doit être fournie de manière claire et identifiable, au plus tard lors de la première interaction ou exposition concernée.
Mais attention : cela ne signifie pas que toute IA utilisée pendant une réunion professionnelle relève automatiquement de cette obligation précise.
Une IA qui répond directement aux participants n’est pas dans exactement la même situation qu’un outil qui écoute une conversation en arrière-plan pour produire ensuite une transcription.
La qualification dépend du fonctionnement concret du système et de l’usage qui en est fait.
La Commission européenne vient justement de publier des lignes directrices destinées à préciser le champ d’application de ces obligations de transparence.
Les nouvelles obligations de transparence prévues par l’article 50 de l’AI Act sont applicables. Mais il faut examiner le fonctionnement précis de l’outil : l’obligation visant une personne qui « interagit directement » avec une IA ne se confond pas avec les règles RGPD applicables à l’enregistrement ou à la transcription d’une réunion.
Teams, Zoom, Meet : le nom de l’outil ne change rien
Une entreprise ne peut pas considérer qu’elle est automatiquement en conformité simplement parce que l’IA est une fonctionnalité native de son logiciel de visioconférence.
Le raisonnement doit partir du traitement réellement effectué.
Une fonctionnalité peut par exemple :
- retranscrire automatiquement la réunion ;
- générer un résumé ;
- identifier les différents intervenants ;
- extraire les décisions prises ;
- analyser certains éléments de la conversation ;
- conserver une transcription ;
- transmettre les données à un prestataire technologique ;
- utiliser certaines données pour d’autres finalités.
Chacun de ces éléments doit être examiné.
La CNIL recommande précisément de vérifier les garanties offertes par les solutions de visioconférence et de s’assurer notamment de ce qui est enregistré, réutilisé et dans quel but.
Que doit faire une entreprise avant d’activer une IA dans ses réunions ?
La bonne méthode consiste à traiter l’assistant IA comme un traitement supplémentaire à examiner, et non comme une simple option technique.
Avant de l’activer, l’entreprise devrait notamment :
- Identifier les données traitées : voix, vidéo, transcription, noms, documents, messages, etc.
- Déterminer la finalité : compte rendu, recherche, assistance, archivage…
- Identifier la base juridique RGPD.
- Informer les participants de manière claire et accessible.
- Vérifier les destinataires des données.
- Contrôler les éventuels transferts hors UE.
- Définir une durée de conservation adaptée.
- Vérifier les conditions contractuelles du fournisseur.
- Déterminer si l’outil peut réutiliser les données pour d’autres finalités.
- Vérifier les obligations supplémentaires découlant de l’AI Act.
Lorsque les traitements présentent un risque élevé pour les droits et libertés des personnes, une analyse d’impact relative à la protection des données peut également être nécessaire.
Et côté utilisateur, peut-on demander à couper l’IA ?
Oui.
Si vous découvrez en pleine réunion qu’une transcription ou un assistant IA est actif alors que vous n’en aviez pas été informé, vous pouvez demander des explications : quel traitement est réalisé, pour quelle finalité, par quel responsable, avec quelle conservation et quelle base juridique ?
Si le dispositif est un enregistrement ou une transcription de propos confidentiels, la question du consentement peut également se poser au regard du droit français.
Dans tous les cas, le simple fait de demander « Pourquoi cette IA est-elle activée ? » est parfaitement légitime.
Vous découvrez une IA que vous n’attendiez pas ? Demandez immédiatement : « Quel outil est utilisé, quelles données sont traitées, à quelles fins et où sont-elles conservées ? » Si une transcription ou un enregistrement est en cours, demandez également comment l’arrêter et quelles données ont déjà été collectées.
Le vrai problème : une IA ne doit pas devenir un participant invisible
L’intérêt pratique de ces outils est évident : produire automatiquement un compte rendu, retrouver les décisions prises ou éviter à un collaborateur de prendre des notes.
Mais ce gain de temps ne fait pas disparaître les obligations juridiques.
Une réunion peut contenir des informations commerciales, contractuelles, financières, stratégiques ou personnelles. La voix des participants est elle-même une donnée personnelle lorsqu’elle permet leur identification.
La CNIL souligne d’ailleurs que les conversations professionnelles peuvent révéler des informations intimes ou être couvertes par des obligations de confidentialité.
L’IA peut donc parfaitement être utilisée dans une réunion professionnelle. Mais elle ne doit pas être introduite à l’insu des personnes concernées.
Et surtout, il faut éviter de résumer la règle à « il faut toujours obtenir le consentement ». Juridiquement, le sujet est plus subtil : information des personnes, base juridique du traitement, finalité, minimisation, conservation, destinataires et, selon les cas, consentement ou droit d’opposition doivent être examinés ensemble.
Les textes et sources à consulter
- RGPD, notamment ses articles 6, 7, 13 et 14.
- Article 50 du règlement européen sur l’IA (AI Act), applicable depuis le 2 août 2026 pour les obligations de transparence concernées.
- Article 226-1 du Code pénal, concernant notamment la captation ou l’enregistrement sans consentement de paroles prononcées à titre privé ou confidentiel.
- Recommandations de la CNIL sur les outils de visioconférence, notamment sur l’information des personnes et la réutilisation des données.
En pratique, donc : une IA cachée dans une réunion n’est pas nécessairement, à elle seule, synonyme de violation du RGPD ou de l’AI Act. Mais activer un outil de transcription ou d’analyse sans avoir vérifié au préalable le cadre juridique applicable est une très mauvaise idée.