Meilleur preneur de notes IA conforme RGPD pour l’UE (2026)

Aucun preneur de notes IA n’est « certifié RGPD » : ce certificat n’existe pas. Le meilleur preneur de notes IA conforme au RGPD pour une entreprise de l’UE offre un DPA au titre de l’article 28, un lieu et un transfert de données défendables, aucun entraînement sur vos réunions, et respecte vos règles de consentement et de représentation du personnel. Pour un hébergement UE : Jamie et tl;dv ; pour des notes d’équipe sans bot : Reline (hébergé aux États-Unis).

Nous développons Reline : lisez donc ce guide comme celui d’un fournisseur. Reline capture l’audio sans bot sur votre appareil, mais la transcription, l’IA et le stockage tournent dans le cloud aux États-Unis, encadrés par les clauses contractuelles types de l’UE. Reline n’offre pas de résidence des données dans l’UE et n’a pas de SOC 2. Chaque fait sur les autres outils vient des pages du fournisseur lui-même, vérifiées le 21 octobre 2026, et peut changer.

Quand votre entreprise enregistre une réunion, vous êtes responsable du traitement et le fournisseur est votre sous-traitant. Un enregistrement de réunion est une donnée personnelle : voix, noms, opinions, parfois des catégories particulières comme la santé. La conformité repose donc sur vous, et le fournisseur doit la rendre possible. Voici les six points qu’examinera votre DPO.

Il vous faut un accord de traitement des données avec chaque fournisseur qui traite des données de réunion pour vous, avec ou sans bot. Vérifiez qu’il couvre l’offre que vous achetez vraiment. La page tarifs de Jamie ne mentionne les DPA que pour Enterprise. L’article d’aide de Fireflies décrit son rôle de sous-traitant pour Business et Enterprise. Le DPA de Reline, sur reline.so/dpa, est pré-signé et s’applique à tous les espaces de travail. Lisez aussi la liste des sous-traitants ultérieurs : elle indique qui d’autre traite les données, et dans quel pays.

« Hébergé dans l’UE » et « conforme au RGPD » sont deux affirmations différentes. Le RGPD n’interdit pas un traitement aux États-Unis ; il exige un mécanisme de transfert. Les deux plus courants sont le EU-U.S. Data Privacy Framework (une décision d’adéquation de juillet 2023 qui couvre les entreprises américaines certifiées) et les clauses contractuelles types, en général avec une analyse d’impact des transferts. Le Tribunal de l’UE a confirmé le Data Privacy Framework le 3 septembre 2025 ; un pourvoi est pendant devant la Cour de justice (affaire C-703/25 P). Son prédécesseur, le Privacy Shield, a été annulé en 2020, ce qui explique pourquoi beaucoup de DPO préfèrent un traitement dans l’UE quand il existe.

Distinguez aussi stockage et traitement. Selon la FAQ sécurité de Fireflies, l’option Private Storage conserve le contenu dans l’UE, mais Fireflies le traite toujours aux États-Unis. Le site allemand de tl;dv indique que les données sont hébergées et stockées dans l’UE, sans préciser où a lieu le traitement par l’IA. Posez les deux questions.

La limitation de la conservation (art. 5, paragraphe 1, point e, RGPD) impose de ne pas garder les enregistrements plus longtemps que nécessaire. Demandez combien de temps vivent l’audio, les transcriptions et les résultats de l’IA, si supprimer une réunion supprime tout, et combien de temps les sauvegardes les gardent. Selon leurs propres pages, Jamie et Granola ne stockent pas l’audio des réunions. Fireflies purge immédiatement une réunion supprimée et efface les données du compte sous 30 jours. Reline purge les notes supprimées de la corbeille après 30 jours, avec transcription, enregistrement et résultats de l’IA, et garde les sauvegardes jusqu’à 30 jours.

Deux questions : le fournisseur entraîne-t-il ses propres modèles sur vos données, et ses fournisseurs d’IA en ont-ils l’interdiction ? Les réponses varient plus que le marketing ne le laisse croire. La politique de confidentialité d’Otter indique qu’il entraîne sa propre IA sur des enregistrements audio et des transcriptions dé-identifiés. Celle de Fathom indique que, selon les réglages du compte, il peut utiliser des données de réunion dé-identifiées pour entraîner ses modèles internes. La page sécurité de Granola indique qu’il s’entraîne sur des données anonymisées sauf si vous refusez, l’entraînement étant désactivé par défaut sur Enterprise. Jamie, tl;dv et Fireflies disent ne pas s’entraîner sur vos données. Reline n’entraîne pas de modèles sur vos données, et ses fournisseurs d’IA en sont empêchés par leurs conditions d’API.

Chaque personne présente doit savoir qu’elle est enregistrée et pourquoi (articles 13 et 14 du RGPD), et il vous faut une base légale au titre de l’article 6. Le droit national ajoute ses règles : en Allemagne, l’article 201 du Code pénal punit l’enregistrement non autorisé de paroles prononcées en privé. En pratique, prévenez tout le monde dans l’invitation puis au début, et recueillez le consentement là où la loi l’exige. Un outil sans bot retire le bot visible de l’appel, pas cette obligation. Reline publie un avis destiné aux participants sur reline.so/participants.

1. Obtenir le DPA et vérifier qu’il couvre votre offre, pas seulement Enterprise.
2. Lire la liste des sous-traitants ultérieurs : qui traite les données et dans quel pays.
3. Demander où les données sont stockées et où elles sont traitées, et quel mécanisme de transfert s’applique (Data Privacy Framework, clauses contractuelles types).
4. Vérifier la conservation : audio, transcriptions, résultats de l’IA, sauvegardes, et ce qui se passe à la suppression d’une réunion ou du compte.
5. Vérifier l’entraînement de l’IA : modèles propres du fournisseur et ses fournisseurs d’IA, et l’existence d’un refus possible.
6. Décider si un bot dans l’appel est acceptable pour vos clients et candidats.
7. Préparer un avis d’enregistrement pour les participants et une étape de consentement là où la loi l’exige.
8. Impliquer tôt votre DPO et la représentation du personnel ; réaliser une AIPD si nécessaire.

Les faits ci-dessous viennent des pages des fournisseurs eux-mêmes, vérifiées le 21 octobre 2026 (accueil, tarifs, page sécurité ou politique de confidentialité). « Selon le fournisseur » est voulu : nous rapportons ce qu’il dit, ce n’est pas un audit. Quand une page ne dit rien, nous l’indiquons.

Comment lire ces tableaux : si l’hébergement UE est obligatoire, commencez par Jamie (stockage et traitement dans l’EEE, en Suisse et au Royaume-Uni, selon Jamie) ou tl;dv (demandez où a lieu le traitement par l’IA). Si les certifications formelles décident, Fireflies, Granola, Otter et Fathom affichent un SOC 2 Type 2 et Jamie une certification ISO 27001. Si l’entraînement sur vos réunions est rédhibitoire, lisez la politique de confidentialité, pas la page d’accueil : Otter, Fathom et Granola décrivent tous une forme d’entraînement sur des données dé-identifiées ou anonymisées.

Reline capture votre micro et l’audio système localement sur votre ordinateur : aucun participant ne rejoint l’appel et aucune notification d’arrivée n’apparaît. La transcription en direct en plus de 60 langues, les résumés IA et le stockage tournent ensuite dans notre cloud aux États-Unis. Vous gardez la transcription complète et l’enregistrement, avec un bouton de lecture sur chaque ligne, dans un bloc-notes que votre équipe édite à plusieurs. Les notes sont privées par défaut, avec cinq niveaux de permission par note et par dossier, et l’interface existe en anglais, allemand, français, espagnol, japonais, portugais et arabe.

Le compromis est net : Reline n’offre ni résidence des données dans l’UE ni SOC 2. Il convient quand le bot dans l’appel est votre principal problème et que votre DPO accepte un traitement aux États-Unis sous clauses contractuelles types, dans un DPA qui couvre toutes les offres. Sinon, choisissez l’un des outils hébergés dans l’UE ci-dessus.

Vous voulez remplacer Fireflies en particulier ? Notre guide sur l’alternative à Fireflies détaille le changement étape par étape. Pour un panorama en allemand de tous les outils sur l’axe protection des données, voyez notre comparatif RGPD des assistants de réunion IA.