Assistant de réunion IA certifié SOC 2 : le guide 2026

Au sens strict, aucun assistant de réunion IA n’est « certifié SOC 2 » : SOC 2 est un rapport d’audit émis par un cabinet d’expertise comptable (CPA) indépendant, pas une certification. Fireflies, Otter, Granola, Fathom, Noota, Modjo, MeetGeek et tl;dv annoncent un SOC 2 Type II. Demandez le rapport, puis vérifiez son type, sa période et son périmètre.

Nous éditons Reline : lisez ce guide comme celui d’un fournisseur. Reline n’a pas de rapport SOC 2 aujourd’hui ; nous expliquons plus bas ce qu’il a à la place. Chaque information sur un autre outil vient de la page de cet éditeur, vérifiée le 22 octobre 2026, et peut changer.

SOC 2 est un cadre de l’AICPA, l’ordre des experts-comptables américains. Un cabinet indépendant examine les contrôles d’un prestataire au regard des Trust Services Criteria, qui comptent cinq catégories : sécurité, disponibilité, intégrité du traitement, confidentialité et vie privée. La sécurité est obligatoire ; les quatre autres sont choisies par le prestataire. À la fin, l’auditeur rend une opinion dans un rapport, généralement communiqué aux clients sous accord de confidentialité.

La documentation de Microsoft le résume simplement : un audit de Type 1 ne regarde pas en arrière sur une période. Microsoft fait d’ailleurs auditer Office 365 sur une fenêtre glissante de 12 mois, du 1er octobre au 30 septembre, et publie entre deux rapports des « bridge letters » qui couvrent l’intervalle : ce sont des déclarations de Microsoft elle-même, pas des rapports d’auditeur.

ISO 27001 est une certification : un organisme certifie un système de management de la sécurité, avec un certificat valable trois ans. SOC 2 est une attestation : un rapport qui décrit un système et donne une opinion. L’expression « certifié SOC 2 » est courante, y compris chez les éditeurs, mais la bonne question reste : « Pouvez-vous m’envoyer votre dernier rapport SOC 2 Type II ? » En France, les acheteurs demandent aussi souvent ISO 27001, et des référentiels propres à certains secteurs, comme HDS pour les données de santé ou SecNumCloud de l’ANSSI pour les besoins publics sensibles.

1. Le type et la période : Type II, et une période terminée il y a moins de 12 mois. Sinon, demandez la bridge letter qui couvre l’intervalle.
2. Le périmètre (la description du système) : l’assistant de réunion et ses fonctions IA y figurent-ils ? Un rapport peut couvrir la plateforme principale et laisser de côté un produit récent. Zoom, par exemple, liste explicitement AI Companion dans le périmètre de son rapport.
3. Les critères couverts : sécurité seule, ou aussi confidentialité et vie privée ? Pour des enregistrements de réunions, ces deux derniers comptent.
4. L’opinion de l’auditeur : une opinion sans réserve est la norme attendue ; une opinion avec réserve mérite une explication écrite.
5. Les exceptions et les réponses de la direction : quelques écarts sont normaux ; ce qui compte, c’est leur nature et leur correction.
6. Les sous-traitants : hébergeur, fournisseur de transcription, fournisseur d’IA. S’ils sont exclus du périmètre (méthode dite « carve-out »), demandez leurs propres rapports.
7. Les contrôles qui vous incombent (les « complementary user entity controls », ou CUEC, listés dans le rapport) : SSO, revue des accès, départs. Le rapport suppose que vous les appliquez.

Le tableau ci-dessous reprend ce que chaque éditeur écrit sur sa propre page, vérifiée le 22 octobre 2026. C’est une déclaration de l’éditeur, pas un audit de notre part : seul le rapport fait foi.

Comment lire ce tableau : si un SOC 2 Type II est une condition d’achat, Fireflies, Otter, Granola, Fathom, Noota, Modjo, MeetGeek et tl;dv l’annoncent ; demandez-leur le rapport. Jamie annonce un Type II encore en cours. Si vous voulez à la fois un SOC 2 Type II et un hébergement en Europe, Noota, Modjo et tl;dv l’annoncent ; Noota déclare aussi ISO 27001. Si l’outil de visio de l’entreprise suffit, les fonctions IA de Zoom et de Teams héritent des rapports de leur plateforme, sous réserve du périmètre.

• Le RGPD. Un rapport SOC 2 ne remplace ni le contrat de sous-traitance de l’article 28, ni la base légale, ni l’information des personnes enregistrées.
• Le lieu d’hébergement et les transferts. SOC 2 ne dit pas où vivent les données. Pour un fournisseur américain, il faut un mécanisme de transfert : Data Privacy Framework ou clauses contractuelles types.
• L’entraînement des modèles. Un prestataire peut avoir un excellent SOC 2 et entraîner ses modèles sur des données dé-identifiées : la politique de confidentialité d’Otter le dit, par exemple. Lisez le DPA et la politique de confidentialité.
• La conservation des enregistrements. Combien de temps l’audio, la transcription et les comptes rendus restent-ils stockés, et la suppression est-elle complète ?
• Le consentement des participants. Bot visible ou capture sans bot, l’obligation d’informer chaque participant reste la vôtre.
• Le futur. Un rapport décrit une période passée. Ce qui a changé depuis (nouvelle fonction IA, nouveau sous-traitant) n’y figure pas.

Pour le volet RGPD en détail (DPA, transferts, conservation, comité social et économique), voyez notre guide des preneurs de notes IA conformes au RGPD. Pour la grille complète d’une équipe IT, voyez notre checklist d’approbation.

1. Pouvez-vous m’envoyer votre dernier rapport SOC 2 Type II et la bridge letter en cours ?
2. L’assistant de réunion, la transcription et les fonctions IA sont-ils dans le périmètre ?
3. Quels critères sont couverts, en plus de la sécurité ?
4. Quelles exceptions l’auditeur a-t-il relevées, et comment les avez-vous corrigées ?
5. Quels sous-traitants traitent l’audio et les transcriptions, dans quel pays, et ont-ils leur propre rapport ?
6. Où les données sont-elles stockées et traitées, et sous quel mécanisme de transfert ?
7. Entraînez-vous des modèles sur nos réunions, et vos fournisseurs d’IA en ont-ils le droit ?
8. Le DPA couvre-t-il l’offre que nous achetons, ou seulement Enterprise ?

Reline n’a pas de rapport SOC 2 aujourd’hui. SOC 2 Type II est sur sa feuille de route ; Reline n’a pas non plus d’ISO 27001 ni de BAA HIPAA. Si un rapport SOC 2 Type II est une condition ferme de votre service achats, Reline n’est pas le bon choix aujourd’hui.

Voici ce que Reline a, tel que publié sur sa page sécurité : TLS 1.2 ou plus sur chaque requête, chiffrement au repos de la base et des enregistrements, notes privées par défaut avec des permissions sur cinq niveaux, un journal d’activité en ajout seul sur chaque note (toutes offres) et un journal d’audit de l’espace de travail sur Enterprise, et le SSO Google et Microsoft sur demande pour Enterprise. Le DPA est pré-signé à reline.so/dpa, la liste des sous-traitants est publique et Reline n’entraîne pas de modèles sur vos données. Les données sont hébergées aux États-Unis, sous les clauses contractuelles types de l’UE. La documentation de sécurité est partagée sous accord de confidentialité.

Côté produit, Reline capte le micro et le son système localement, sans bot dans l’appel ; la transcription, l’IA et le stockage tournent dans le cloud. Si le bot visible est votre vrai problème, notre comparatif des preneurs de notes IA sans bot passe en revue les options.