Résumés de réunion par IA et RGPD : quel endpoint choisir

Dans Autorec, la transcription se fait sur votre machine. Le résumé IA est la seule étape qui peut en sortir. Si vous l’activez, la transcription part chez un fournisseur de LLM que vous choisissez, et ce fournisseur devient dès lors sous-traitant de toutes les données personnelles que contenait la réunion.

Cet article porte sur le choix de ce fournisseur. Ce n’est pas un avis juridique : c’est votre DPO ou votre conseil qui détermine ce que votre base légale et votre tolérance au risque permettent. Les informations sur les fournisseurs ci-dessous proviennent de leur propre documentation, vérifiée en octobre 2026. Les politiques changent : consultez les pages citées avant de vous fier à une ligne du tableau.

Ce qu’Autorec envoie réellement

Le résumé IA d’Autorec reste désactivé tant que vous n’avez pas ajouté de fournisseur dans Paramètres → Résumé IA. Quand il s’exécute, une requête HTTPS part directement de votre ordinateur vers l’URL de base de l’API que vous avez configurée. Aucun serveur Autorec ne s’intercale.

Le corps de la requête contient :

votre prompt de résumé, comme message système
le texte de la transcription, comme message utilisateur
le nom du modèle et la longueur maximale du résumé

Il transporte aussi les champs supplémentaires que vous ajoutez vous-même sous Extra request fields (JSON), comme des options de routage propres au fournisseur. Ce sont des réglages, pas des données sur la réunion. Rien d’autre ne sort : ni audio, ni vidéo, ni captures d’écran, ni noms de fichiers, ni liste des participants. La transcription est envoyée en entier, donc une longue réunion représente beaucoup de texte.

Le titre et le résumé qui reviennent sont enregistrés à côté de l’enregistrement, sur votre disque. Votre clé API se trouve dans la configuration locale d’Autorec, et elle est facultative pour les serveurs locaux.

L’audio et la vidéo, qui contiennent voix et visages, ne quittent jamais la machine. Le texte, si, et un texte reste une donnée personnelle dès que quelqu’un prononce à voix haute des noms, des informations de santé ou des salaires. Une transcription n’est pas anonyme du simple fait qu’elle n’est que du texte.

Notre article RGPD et HIPAA couvre le volet enregistrement : base légale, consentement, conservation. Tout ce qui y est dit reste valable. Cet article-ci ajoute l’étape du fournisseur.

Les réglages Résumé IA d’Autorec avec la liste des fournisseurs ouverte : préréglages regroupés en agrégateurs, API directes, inférence rapide, serveurs locaux et Custom

Ce qu’il faut vérifier avant de choisir

Quatre questions règlent l’essentiel.

Où les données sont-elles traitées ? « UE » n’est pas une formule magique, mais cela évacue l’essentiel de la question des transferts. Un traitement aux États-Unis exige un mécanisme de transfert et une analyse d’impact du transfert.

Existe-t-il un contrat de sous-traitance (DPA) ? Si le fournisseur traite des données personnelles pour votre compte, l’article 28 du RGPD impose un contrat. Vérifiez que vous pouvez en accepter un sans passer par un commercial.

Combien de temps le contenu est-il conservé ? Beaucoup de fournisseurs d’API conservent les prompts quelque temps pour détecter les abus, même s’ils ne s’en servent pas pour l’entraînement. La « conservation zéro » est en général un accord que vous demandez, pas le comportement par défaut.

Le contenu sert-il à l’entraînement ? Pour le trafic API, c’est désormais rarement le cas par défaut chez les grands noms, mais ce n’est pas uniforme, et cela peut varier entre une offre gratuite et une offre payante.

Fournisseurs hébergés dans l’UE

Mistral

Mistral est la première option européenne de la liste des fournisseurs d’Autorec (Fournisseur → Mistral, URL de base https://api.mistral.ai/v1, modèle par défaut mistral-small-latest).

Région : le centre d’aide de Mistral indique que les données sont hébergées par défaut dans l’Union européenne, et aux États-Unis uniquement si vous utilisez explicitement son endpoint API américain. Mistral publie aussi la liste de ses sous-traitants ultérieurs, dont certains hors UE, dans son Trust Center.
DPA : Mistral publie un Data Processing Addendum rattaché à ses conditions commerciales.
Entraînement : c’est la ligne à lire attentivement. Le centre d’aide de Mistral précise qu’en paiement à l’usage, vous pouvez refuser l’entraînement à tout moment, et décrit l’interrupteur : dans Mistral Studio, Privacy → Anonymous improvement data. Le mode gratuit de Studio indique que Mistral peut utiliser vos données pour entraîner ses modèles. Le chat grand public et l’API ont des interrupteurs distincts. Ne présumez donc de rien : ouvrez la page Privacy du compte dont vous avez mis la clé dans Autorec, et vérifiez.
Conservation : Mistral propose une option Zero Data Retention pour les appels API compatibles, dont les chat completions, sur les offres payantes. Elle se demande auprès du support, et Mistral peut l’accepter ou la refuser. Les pages d’aide de Mistral que j’ai pu consulter n’indiquent pas la durée de conservation par défaut du contenu API, je ne donnerai donc pas de chiffre. Demandez-la ou lisez le DPA.

Scaleway

Les Generative APIs de Scaleway sont hébergées à Paris et annoncent une compatibilité OpenAI, endpoint chat completions compris. Il n’existe pas de préréglage dans Autorec : choisissez Custom… et saisissez l’URL de base indiquée dans la console Scaleway.

Selon la page de Scaleway consacrée à la confidentialité des données, Scaleway ne collecte, ne lit, ne réutilise ni n’analyse les prompts ou les réponses, et ne s’en sert pas pour entraîner des modèles. L’exception : une enquête sur un abus ou une panne, pour laquelle les données peuvent être conservées jusqu’à deux semaines. La page désigne Scaleway comme sous-traitant et renvoie à sa politique de confidentialité et à ses conditions des services d’IA pour le volet contractuel.

IONOS

IONOS AI Model Hub décrit des endpoints compatibles OpenAI et affirme que tout le traitement a lieu dans ses centres de données allemands (Berlin) et que les données clients ne servent jamais à entraîner des modèles. Je n’ai trouvé aucune durée de conservation affichée : posez-leur la question avant d’y faire passer le contenu de vos réunions. Là aussi, utilisez Custom….

Les autres

OVHcloud AI Endpoints et Aleph Alpha sont également européens. Je n’ai pas pu confirmer leurs conditions actuelles ni leur compatibilité API à partir de sources de première main au moment d’écrire ces lignes ; ils ne figurent donc pas dans le tableau.

Fournisseurs américains

OpenAI et Anthropic ont tous deux un préréglage dans Autorec. Leurs comportements par défaut côté API sont meilleurs qu’on ne le croit souvent. La vraie question, c’est le transfert vers les États-Unis, pas l’entraînement.

OpenAI : sa documentation indique que les données API ne servent pas à entraîner ses modèles sauf si vous l’acceptez explicitement, et que les journaux de détection des abus sont conservés jusqu’à 30 jours par défaut. La Zero Data Retention nécessite une approbation préalable. La résidence des données dans l’UE (le préfixe eu.api.openai.com) est un réglage de projet, assorti de conditions comme la Zero Data Retention ou une détection des abus modifiée, et tous les modèles ne sont pas pris en charge.
Anthropic : son centre de confidentialité indique que les entrées et sorties des utilisateurs de l’API sont supprimées du backend sous 30 jours, et que les entrées et sorties des produits commerciaux ne servent pas à l’entraînement par défaut. Son DPA, avec clauses contractuelles types, est automatiquement intégré aux Commercial Terms. Je n’ai pas pu confirmer d’option de traitement exclusivement dans l’UE, je n’en revendique donc pas.

En un coup d’œil

Fournisseur	Région de traitement	Conservation	Entraînement	DPA
Mistral	UE par défaut ; endpoint US sur choix explicite	ZDR sur demande pour les offres payantes ; durée par défaut non indiquée sur les pages consultées	Désactivable dans Studio ; l’offre gratuite peut être utilisée	Addendum publié
Scaleway	Paris, France	Pas de stockage des prompts ; jusqu’à deux semaines en cas d’enquête sur une panne	Non utilisé	Conditions de sous-traitance dans la politique de confidentialité et les conditions IA
IONOS	Allemagne (Berlin)	Non indiquée	Jamais utilisé, selon IONOS	Non vérifié
OpenAI	États-Unis ; résidence UE en option, sous conditions	Jusqu’à 30 jours (journaux anti-abus) ; ZDR sur approbation	Non utilisé sauf accord explicite	Non vérifié
Anthropic	Pas d’option UE exclusive indiquée	Supprimé sous 30 jours	Pas par défaut	Intégré aux Commercial Terms

« Non vérifié » signifie que je ne l’ai pas lu, pas que cela n’existe pas.

Une passerelle ajoute un acteur

Un agrégateur comme OpenRouter placé devant un modèle devient lui aussi sous-traitant, en plus de l’entreprise qui fait tourner le modèle. Vous pouvez restreindre cela, notamment avec des options au niveau de la requête comme le drapeau zero-data-retention d’OpenRouter, à renseigner dans Extra request fields (JSON). Notre article sur la confidentialité avec OpenRouter passe ces réglages en revue. Si vous visez une documentation sans faille, un contrat direct avec un seul fournisseur européen est plus simple à justifier qu’une couche de routage.

Quand le local est la meilleure réponse

Un endpoint européen réduit le risque. Un modèle sur votre propre machine supprime carrément le sous-traitant : pas de fournisseur, pas de DPA, pas de transfert, pas de question de conservation. Pour les réunions qui touchent à la santé, au secret professionnel de l’avocat, aux dossiers RH ou à tout ce qui relève d’un NDA client strict, c’est souvent la décision la plus facile à défendre.

Le prix à payer, c’est le matériel et la qualité. Un petit modèle sur un portable rédige un résumé plus approximatif qu’un grand modèle hébergé, et les longues transcriptions sont lentes. Notre guide LLM local montre comment brancher Autorec sur Ollama ou LM Studio.

Une répartition raisonnable :

réunions internes courantes : un endpoint hébergé dans l’UE, entraînement désactivé, DPA signé
réunions sensibles : un modèle local, ou pas de résumé du tout et une simple transcription

Vous pouvez changer de fournisseur dans les Paramètres à tout moment, et les résumés sont générés enregistrement par enregistrement : la répartition n’a pas à être tout ou rien.

Une courte checklist

Choisissez le fournisseur et acceptez son DPA sur le compte dont vous utiliserez la clé.
Vérifiez le réglage d’entraînement sur ce compte précis, pas en général.
Demandez la Zero Data Retention si le fournisseur la propose et que votre niveau de risque le justifie.
Informez les participants qu’un fournisseur d’IA traite la transcription. Votre mention d’enregistrement doit indiquer la catégorie de sous-traitant.
Inscrivez le fournisseur dans votre registre des activités de traitement.
Laissez Résumer automatiquement après la transcription désactivé pour les réunions que vous voulez relire d’abord.

Autorec garde l’audio sur votre machine et vous montre exactement quel texte en sort. Les contrats et la politique interne, c’est à vous de les régler. Pour le volet enregistrement, voyez le guide RGPD et HIPAA, et pour comprendre pourquoi nous nous passons des bots de réunion, l’article sur l’enregistreur sans bot.