Votre prise de notes IA pourrait être une mise sur écoute : ce que les petites entreprises risquent quand un bot IA rejoint l'appel

Vous avez invité un assistant IA à prendre des notes pour pouvoir vous concentrer sur le client. Il a rejoint votre Zoom à l'heure, transcrit chaque mot, identifié qui disait quoi et envoyé un résumé soigné avant que vous ne raccrochiez. Vous pensiez avoir acheté du confort. Dans une douzaine d'États, vous venez peut-être de réaliser un enregistrement sans le consentement légal requis — et de créer un fichier de données biométriques que vous n'aviez jamais eu l'intention de collecter.

Ce n'est pas une hypothèse d'école. Au cours de l'année écoulée, des outils de transcription de réunions largement utilisés ont fait face à des allégations de recours collectif pour interception et enregistrement de conversations en tant que tiers, stockage de données vocales pour entraîner des modèles, et création d'empreintes vocales identifiant les locuteurs sans l'information écrite et la libération requises par la loi de l'Illinois. L'issue de ces plaintes sera décidée par les tribunaux, mais les lois invoquées — l'Invasion of Privacy Act de Californie, la loi fédérale Wiretap Act et l'Illinois Biometric Information Privacy Act (BIPA) — s'appliquent à votre entreprise dès aujourd'hui, pas après un verdict.

Si votre équipe utilise un preneur de notes IA et qu'un participant se trouve en Californie, dans l'Illinois, en Floride ou dans un autre État à consentement unanime, l'obligation de conformité a changé de nature au moment où le bot a dit « bonjour ». Ce guide explique ce que la loi exige réellement, ce qui fait trébucher les petites entreprises, et le plan d'action simple qui préserve la productivité sans l'exposition au risque.

Pourquoi les preneurs de notes IA se situent à l'intersection de deux régimes de confidentialité​

Deux cadres juridiques différents entrent en collision quand un bot rejoint une réunion.

Les lois sur l'écoute et les écoutes clandestines demandent : tout le monde a-t-il accepté d'être enregistré ? Les lois sur la confidentialité biométrique demandent : tout le monde a-t-il accepté que sa voix soit transformée en identifiant mesurable et stockée ?

La plupart des fondateurs connaissent la première question. Peu anticipent la seconde.

Un preneur de notes IA fait plus qu'appuyer sur « enregistrer ». Il capture l'audio sur ses propres serveurs, identifie qui parle, crée souvent une empreinte vocale pour étiqueter les futures interventions de la même personne, et peut conserver cette empreinte pour améliorer la reconnaissance. Selon le BIPA de l'Illinois et des lois similaires au Texas et dans l'État de Washington, une empreinte vocale est un identifiant biométrique — traité comme une empreinte digitale. La collecter sans information écrite spécifique, sans but déclaré ni fenêtre de conservation, sans politique de conservation et de destruction accessible au public, et sans libération écrite, c'est là que commence la réclamation légale.

D'un point de vue comptable et opérationnel, considérez ceci : le compte-rendu de réunion est un actif, l'empreinte biométrique sous-jacente en est un autre. Ils ont des règles de consentement et de conservation différentes.

La carte du consentement : le consentement unanime ou non n'est pas un choix qui vous appartient​

La loi fédérale américaine exige le consentement d'une seule partie pour enregistrer. Environ 38 États suivent cette règle. Mais 11 à 12 États exigent le consentement de toutes les parties — en fait, de chaque participant — avant d'enregistrer une communication confidentielle. En 2026, les États à consentement unanime couramment cités sont :

La Californie, le Connecticut, le Delaware, la Floride, l'Illinois, le Maryland, le Massachusetts, le Montana, le New Hampshire, la Pennsylvanie et Washington. L'Oregon et le Nevada appliquent des règles mixtes selon que la communication est en personne ou électronique, et l'Illinois impose un consentement unanime pour l'enregistrement, la transmission ou l'écoute de certaines conversations. Les tribunaux font évoluer les interprétations, considérez donc ceci comme une liste de contrôle de départ et confirmez auprès d'un conseil.

Le Code pénal californien, article 632, interdit l'enregistrement intentionnel d'une communication confidentielle sans le consentement de toutes les parties, et l'article 632.7 étend la protection aux appels cellulaires et sans fil sans exiger la confidentialité. La Cour suprême de Californie a également statué qu'une entreprise hors de Californie qui enregistre un appel vers la Californie depuis un État à consentement unilatéral enfreint tout de même la loi californienne. En pratique : si un participant s'attend légitimement à la confidentialité et se trouve physiquement en Californie, la règle de consentement californienne s'applique.

Le défaut sûr pour une opération multi-états est le consentement unanime pour chaque réunion où un bot pourrait être présent. Déterminer la localisation d'un participant en temps réel n'est pas fiable — quelqu'un peut se connecter d'un hôtel à Sacramento même si son indicatif est new-yorkais. Si vous opérez à l'échelle nationale ou recevez des clients à distance, concevez pour l'État le plus strict de l'appel, pas le plus permissif.

Ce que le BIPA de l'Illinois exige réellement avant une empreinte vocale​

L'Illinois donne le ton que les autres lois biométriques imitent. Pour qu'une entité privée collecte, capture ou stocke un identifiant biométrique tel qu'une empreinte vocale, le BIPA exige trois choses en séquence :

1. Une politique publique de conservation et de destruction avant toute collecte​

Vous devez avoir une politique écrite, accessible au public, indiquant quelles données biométriques vous collectez, à quelles fins et pour combien de temps, avec un échéancier de destruction définitive. Une cour d'appel de l'Illinois a jugé que cette politique doit exister avant la création de la première empreinte vocale, pas après que vous ayez réalisé que vous en aviez une. Si votre fournisseur crée des empreintes vocales en votre nom lors de réunions que vous hébergez, vous et le fournisseur pouvez être impliqués.

2. Un avis écrit éclairé et une libération écrite avant la collecte​

Avant qu'une voix ne soit transformée en modèle, vous devez informer la personne par écrit qu'un identifiant biométrique est collecté, pourquoi, et pour combien de temps, et obtenir une libération écrite. Les cases pré-cochées, les conditions d'utilisation enterrées ou la mention orale de l'hôte « nous enregistrons aujourd'hui » ne satisfont pas au « consentement écrit éclairé » en vertu de cette loi. Le consentement doit être spécifique à la collecte biométrique, pas intégré dans un avis général de réunion.

3. Pas de vente, pas de conservation indéfinie, pas de divulgation silencieuse​

Vous ne pouvez pas tirer profit des données biométriques et vous ne devez pas les divulguer sans consentement, sauf pour compléter une transaction financière que la personne a demandée ou si la loi l'exige. Vous devez détruire les données dans les trois ans suivant la dernière interaction avec la personne ou lorsque l'objectif initial est atteint, selon la première échéance.

Les dommages-intérêts légaux sont de 1 000 $par violation par négligence et de 5 000$ par violation intentionnelle ou imprudente, plus les honoraires d'avocat. Les lois fédérales et californiennes sur les écoutes électroniques ajoutent leurs propres dommages-intérêts par violation ou par jour. Vous n'avez pas besoin de prouver un préjudice réel pour intenter une action — la perte de contrôle sur l'enregistrement ou les données biométriques est le préjudice que les tribunaux ont reconnu.

Comment les petites entreprises se font piéger — même avec de bonnes intentions​

Les tendances récentes en matière de litiges pointent vers les mêmes schémas d'échec. Utilisez-les comme liste de contrôle préalable.

Faire reposer la charge du consentement sur le seul hôte. De nombreux outils d'IA placent une option « demander la permission » dans les paramètres du compte et supposent que l'hôte obtiendra la permission de tout le monde. Les plaignants ont fait valoir que déléguer le consentement à un participant ne peut pas remplacer le consentement individuel et éclairé de chaque personne dont la voix et les paroles sont capturées. Si vous êtes l'hôte, vous restez responsable des divulgations lors de vos réunions, même si le fournisseur affirme que vous contrôlez le paramètre.

Traiter le bot comme n'étant pas une partie. Certaines équipes supposent que, parce qu'elles ont acheté une licence pour l'outil, le bot est une extension d'elles-mêmes et ne nécessite donc que le consentement d'une seule partie. La jurisprudence a présenté le preneur de notes comme un intercepteur tiers qui reçoit l'audio sur ses propres serveurs, et non comme un simple dispositif que le client utilise localement. Quoi qu'un tribunal en décide, le risque est qu'un non-utilisateur qui n'a jamais créé de compte, n'a jamais vu la politique de confidentialité de l'outil et n'a jamais cliqué sur « autoriser » puisse prétendre avoir été enregistré par un tiers à la conversation.

Rejointe automatique silencieuse et étiquetage des locuteurs. Un assistant IA qui rejoint toutes les réunions par défaut, affiche une petite bannière que les participants peuvent ne pas voir sur mobile et construit des modèles de locuteur en arrière-plan générera des réclamations selon lesquelles le consentement n'était pas valable. La jonction automatique à toutes les réunions multiplie l'exposition : une mauvaise valeur par défaut est démultipliée sur chaque appel client.

Utiliser les enregistrements pour entraîner les modèles sans divulgation séparée. Entraîner un modèle de reconnaissance vocale est un objectif distinct de la prise de notes. Si les conditions de votre fournisseur autorisent l'entraînement sur le contenu client et que vous ne pouvez pas le désactiver, vous avez ajouté un objectif que vous n'avez jamais divulgué lors de la demande de consentement.

Aucun calendrier de conservation pour les transcriptions et les empreintes vocales. Les équipes gardent les transcriptions pour toujours « au cas où » et ne traitent pas du tout le modèle biométrique, de sorte que les données restent au-delà de la fenêtre d'objectif sans déclencheur de destruction.

Un manuel de mise en conformité pratique pour les équipes de moins de 50 personnes​

Vous n'avez pas besoin d'un programme de confidentialité d'entreprise pour bien faire. Vous avez besoin d'une habitude de réunion reproductible et conforme aux lois.

Étape 1 : Connaissez votre empreinte d'appel​

Énumérez les lieux où se trouvent les participants. Si vous rencontrez régulièrement des clients, des entrepreneurs ou des candidats dans un État à consentement unanime ou réglementant la biométrie, marquez votre option par défaut comme étant le consentement unanime avec traitement conforme au BIPA. Documentez cette décision en un paragraphe : « Parce que nous organisons des réunions à distance qui peuvent inclure des participants en Californie, dans l'Illinois, en Floride et dans d'autres États à consentement unanime, nous obtenons le consentement exprès de tous les participants avant tout enregistrement IA et nous traitons les empreintes vocales selon des normes équivalentes au BIPA. »

Étape 2 : Modifiez les valeurs par défaut avant de changer le script​

Dans la console d'administration de votre outil d'IA :

• Désactivez la jonction automatique partout. Exigez que l'hôte ajoute le bot explicitement à chaque réunion.
• Désactivez l'identification des locuteurs et la création d'empreintes vocales si vous n'en avez pas besoin. La plupart des outils permettent la transcription sans étiquetage vocal. Si vous avez besoin d'étiquettes pour plus de clarté, faites-les éditer par des humains, et non par biométrie.
• Désactivez toute option « autoriser l'entraînement sur les données des clients » ou « améliorer les modèles avec votre contenu ».
• Réglez la conservation des transcriptions sur la durée la plus courte possible d'un point de vue opérationnel — 30 à 90 jours pour la plupart des entreprises de services — et activez la suppression automatique.

Si l'outil ne peut pas désactiver les empreintes vocales ou l'entraînement, c'est un signal pour choisir un autre fournisseur.

Étape 3 : Obtenez un consentement que vous pouvez prouver, de la part de tous​

Le « tout le monde est d'accord pour un preneur de notes ? » à l'oral, sur un enregistrement déjà commencé, n'est pas un consentement avant la collecte. Utilisez cette séquence :

1. Avant la réunion, dans l'invitation ou l'e-mail de planification : « Nous prévoyons d'utiliser un preneur de notes IA pour transcrire cet appel à des fins de notes internes. Il enregistrera l'audio et générera une transcription. Il ne créera pas d'empreintes vocales biométriques. La transcription sera conservée pendant [X] jours puis supprimée. Merci de répondre pour confirmer votre consentement, ou de nous faire savoir si vous préférez que nous ne l'utilisions pas et nous prendrons des notes manuellement. Le fait de rejoindre la réunion sans consentement sera considéré comme un refus de consentement — nous n'enregistrerons pas. »

2. Au début de la réunion, sans que le bot ne soit encore là : Lisez une divulgation de 15 secondes à l'écran, puis ajoutez le bot. Exemple : « Cet appel va maintenant être enregistré et transcrit par [Outil]. La transcription sera conservée pendant 45 jours à des fins de documentation du projet, puis supprimée. Veuillez confirmer que vous consentez, ou dites-nous si vous ne le souhaitez pas et nous mettrons le preneur de notes en pause. »

3. Par écrit, consignez-le : Consignez le consentement exprès dans la réponse à l'invitation du calendrier, par une confirmation de chat ou un formulaire d'une ligne. Conservez le journal avec l'enregistrement de la réunion aussi longtemps que la transcription existe, plus votre marge de prescription.

Pour les réunions internes récurrentes, un accusé de réception écrit annuel peut fonctionner s'il décrit l'objectif et la durée de conservation et est actualisé en cas de changement. Pour les clients externes et les candidats, le consentement par réunion est plus propre.

Si quelqu'un refuse ou reste silencieux, n'ajoutez pas le bot. Proposez une alternative de prise de notes humaine.

Étape 4 : Préparez les documents BIPA même si vous n'êtes pas dans l'Illinois​

Comme les plaignants ont intenté des actions BIPA contre des hôtes hors de l'Illinois lorsqu'un participant de l'Illinois était en ligne, créez l'artefact une fois et réutilisez-le :

• Une politique de conservation et de destruction publique d'une page publiée sur votre site Web (par exemple, /confidentialite#conservation-biometrique). Indiquez quelles données biométriques vocales vous créez, le cas échéant, que vous désactivez les empreintes vocales par défaut, la durée de conservation et la méthode et le calendrier de destruction.
• Une note de traitement des données du fournisseur indiquant le nom du fournisseur d'IA, les données qui lui sont transmises, l'interdiction de les utiliser pour l'entraînement et la manière dont vous avez vérifié ce paramètre.
• Un calendrier de conservation — quand chaque transcription et toute donnée de localisation associée sont supprimées. Mettez un rappel récurrent pour que la suppression ait réellement lieu.

C'est là que la discipline opérationnelle rejoint la comptabilité. Traitez les journaux de consentement et les dates de conservation comme vous traitez les documents fiscaux : classés, horodatés et récupérables.

Étape 5 : Mettez à jour vos contrats de service et vos documents d'emploi standard​

• Accords de service et conventions-cadres : Ajoutez une clause stipulant que tout enregistrement nécessite le consentement écrit et mutuel et qu'aucune des parties n'introduira de preneur de notes IA sans l'autorisation expresse de l'autre.
• Manuel de l'employé et contrats des entrepreneurs : Indiquez que les preneurs de notes IA ne peuvent pas être ajoutés aux réunions avec des parties externes sans suivre les étapes de divulgation et que la jonction automatique doit rester désactivée.
• Avis aux candidats : Les appels de recrutement incluent souvent des participants dans des États sensibles. Divulguez l'utilisation de l'IA dans l'invitation à l'entretien.

Étape 6 : Conservez la transcription minimale suffisante​

La transparence n'exige pas de tout garder éternellement. La transcription conforme la plus courte est la transcription la moins risquée.

• Ne conservez que ce dont vous avez besoin pour l'objectif commercial qui a justifié l'enregistrement.
• Révisez ou supprimez les détours sensibles avant d'enregistrer la version finale.
• Limitez l'accès à la transcription aux participants et à leurs responsables, pas à tout le disque de l'entreprise.

Que faire lundi matin​

Si des preneurs de notes IA sont déjà dans votre flux de travail, faites un audit de 60 minutes avant la prochaine semaine de classeur :

1. Inventaire : Répertoriez les outils installés, qui les a installés et si la jonction automatique ou l'identification des locuteurs est activée. Supprimez les bots redondants — deux ne valent jamais mieux qu'un.
2. Paramètres : Désactivez la jonction automatique, les empreintes vocales et l'utilisation des données d'entraînement. Réduisez la conservation à 45-90 jours.
3. Publiez votre politique : Rédigez la déclaration de conservation d'une page et publiez-la. Le débat sur le temps que cela prend dure plus longtemps que la mise en ligne.
4. Modèle d'invitation : Copiez le texte de divulgation ci-dessus dans votre modèle de calendrier.
5. Journalisez une semaine : Au cours des cinq prochaines réunions externes, consignez le consentement par écrit et indiquez si vous avez utilisé le bot. Passez en revue le journal à la fin de la semaine et pérennisez l'habitude.
6. Consultez le grand livre : Créez une catégorie de dépenses récurrente pour les outils de réunion IA, mais ajoutez une balise conformité pour le temps passé par le personnel à recueillir et à examiner le consentement. Connaître le coût réel permet de juger du retour sur investissement lorsque vous comparez les notes manuelles aux notes IA.

En quoi cela se connecte à vos livres comptables​

Les journaux de consentement et les calendriers de conservation semblent être des documents juridiques, mais ils reposent sur la même habitude qui rend les registres financiers fiables : la capture une fois, à la source, et la conservation des enregistrements retrouvables.

Si vous étiquetez les dépenses liées aux outils d'IA, transcrivez les factures des fournisseurs et stockez les journaux de consentement près de la note de réunion qu'ils couvrent, trois choses s'améliorent à la fois. Votre clôture de fin de mois comporte moins de mystères, votre justificatif fiscal est plus propre si vous déduisez les coûts logiciels et de mise en conformité, et votre réponse à un participant qui dira plus tard « Je n'ai jamais accepté d'être enregistré » est une recherche de deux minutes au lieu d'une dispute de deux semaines.

La comptabilité en texte brut de type Beancount aide précisément ici car elle préserve l'historique. Un grand livre versionné n'écrase pas silencieusement le plan comptable du dernier trimestre, et une transcription archivée à côté de son entrée de consentement ne se perd pas dans le bazar d'un disque partagé. Le modèle est le même : des enregistrements structurés et horodatés que vous contrôlez valent mieux que des coffres-forts opaques dont vous espérez qu'ils sont conformes. Pour démarrer simplement, consultez la documentation sur l'organisation des comptes et le tableau de bord Fava pour parcourir les enregistrements conservés en regard de leurs soldes — la même habitude d'étiquetage qui classe une dépense marketing classe une étiquette de conformité.

Un script de divulgation à copier​

Pour les invitations à un calendrier :

Nous souhaiterions utiliser [Outil] pour transcrire cette réunion à des fins de notes internes. Si tout le monde est d'accord, il enregistrera l'audio, produira une transcription et ne créera ni ne conservera d'empreintes vocales biométriques. Les transcriptions sont supprimées après [45] jours. Merci de répondre « Je consens » si vous êtes d'accord, ou de nous prévenir si vous préférez des notes manuelles. Si nous n'avons pas le consentement de tous les participants, nous n'utiliserons pas l'outil.

Pour la réunion en direct, avant d'ajouter le bot :

Avant d'ajouter le preneur de notes, confirmons le consentement : cette réunion sera enregistrée et transcrite par [Outil], la transcription conservée [45] jours pour [objectif], non utilisée pour l'entraînement de modèles, aucune empreinte vocale créée. Veuillez confirmer verbalement votre consentement. Si quelqu'un n'est pas d'accord, nous procéderons sans le preneur de notes.

Enregistrez la transcription du chat ou les réponses à l'invitation avec l'enregistrement de la réunion.

Questions courantes des petites équipes​

Devons-nous nous inquiéter si nous ne sommes pas en Californie ou dans l'Illinois ? Si vous rencontrez quelqu'un qui s'y trouve, oui. Les protections contre les écoutes électroniques et biométriques suivent souvent le participant, pas seulement l'adresse de l'entreprise. Concevoir pour l'État le plus strict de votre zone d'appel est la seule approche évolutive pour les équipes à distance.

Et si un client invite son propre bot à notre appel ? Traitez un bot inconnu comme un participant inconnu. Faites une pause et confirmez qui l'a ajouté, si tout le monde est d'accord et si vous voulez que sa transcription entre dans le champ de conservation. Votre avis d'enregistrement ne couvre pas automatiquement la collecte de leur fournisseur.

Une bannière indiquant « Cette réunion est enregistrée » est-elle suffisante ? Pour de nombreux statuts, non — pas pour la collecte biométrique et pas quand la bannière passe inaperçue. Un avis écrit avant la collecte, un but et une durée énoncés, et un acte de consentement exprès sont la norme à viser.

Nous utilisons la transcription intégrée de Zoom. Sommes-nous exonérés ? Aucun nom de produit n'exempte les lois. Les fonctions natives enregistrent et peuvent créer des données de localisation. Les étapes de mise en conformité restent les mêmes : configurez les paramètres, divulguez, obtenez le consentement et limitez la conservation.

Simplifiez votre gestion financière​

Bien gérer la conformité des preneurs de notes IA fait partie d'une exploitation disciplinée où les enregistrements sont complets et récupérables — des journaux de consentement aux catégories de dépenses. Beancount.io vous offre une comptabilité en texte brut, transparente, versionnée et prête pour l'IA, afin que vos données financières restent les vôtres et soient auditées sans verrouillage fournisseur. Commencez gratuitement et apportez la même rigueur à vos livres comptables que vous l'apportez désormais à vos réunions.