Où sont traités vos messages vocaux ? Souveraineté et hébergement des données d'un cabinet

Où partent vos messages vocaux : schéma du flux de données, sous-traitants, durée de conservation et les questions à poser avant de signer.

2026-07-25 — Équipe VoxNow — 9 min de lecture

Vos messages vocaux passent par plusieurs prestataires techniques avant d'arriver dans votre boîte mail : un service de téléphonie qui redirige l'appel, un moteur qui transcrit l'audio, un service qui envoie l'email et le SMS. Chaque maillon a un nom, un pays et un contrat. La question à poser n'est pas « mes données sont-elles en sécurité ? » — trop vague pour être vérifiée — mais « qui a accès, où, combien de temps, et sur quelle base juridique ? ».

Pourquoi cette question se pose maintenant

Il y a deux ans, un avocat qui adoptait un outil d'IA se souciait surtout de son efficacité. Aujourd'hui, la question de l'hébergement arrive avant celle de la fonctionnalité — et c'est un changement récent, pas une évolution graduelle.

Le Conseil national des barreaux a publié en septembre 2024 un guide pratique sur l'utilisation des systèmes d'IA générative, qui pointe explicitement « la réutilisation possible des données des clients par les modèles de langage » et appelle à la vigilance sur la souveraineté, la confidentialité et la sécurité des données de cabinet. Ce texte n'interdit rien, mais il fixe une grille de lecture que la profession applique désormais à chaque outil.

Du côté réglementaire, la CNIL a publié le 22 juillet 2025 ses premières recommandations sur l'application du RGPD au développement des systèmes d'IA, pour aider les professionnels à concilier innovation et respect des droits des personnes. Deux textes, deux autorités, la même direction : la localisation et le sort des données ne sont plus un détail contractuel, ils sont devenus un critère de sélection.

Pour un cabinet d'avocats, cette exigence se double d'une contrainte que peu d'autres secteurs connaissent : le secret professionnel. Un message vocal laissé par un client ne raconte pas seulement qu'il a appelé — il peut mentionner un nom de partie adverse, un montant de préjudice, une date d'audience. Ce contenu est protégé avant même d'être transcrit. Nous avions détaillé cette articulation entre secret professionnel et outils d'IA dans cet article sur l'IA et le secret professionnel de l'avocat en Belgique : le RGPD encadre le traitement des données personnelles, le secret professionnel encadre en plus la confidentialité de la relation avocat-client, et les deux s'appliquent en même temps, sans que l'un dispense de l'autre.

Le trajet d'un message vocal, étape par étape

Voici les étapes que traverse un message vocal, depuis l'appel manqué jusqu'à la suppression des données. Ce schéma vaut pour tout service de transcription vocale, pas seulement pour VoxNow — c'est la grille à appliquer à n'importe quel fournisseur que vous évaluez.

Chacune de ces étapes est en principe assurée par un sous-traitant distinct au sens de l'article 28 du RGPD, avec un contrat de sous-traitance propre. C'est ce que nous détaillons dans notre article sur le RGPD et la transcription de messages vocaux : le responsable de traitement — votre cabinet — reste responsable même quand l'exécution technique est déléguée. La bonne question à poser à un fournisseur n'est donc pas « êtes-vous conforme au RGPD ? » — personne ne répond non — mais « pouvez-vous me montrer, étape par étape, qui traite quoi ? ». Un fournisseur qui répond par une liste plutôt qu'une formule marketing est un fournisseur qui a fait le travail. Nous détaillons le fonctionnement concret de cette chaîne dans cet article sur la transcription de la messagerie vocale pour un avocat.

Qui sont les sous-traitants, et où sont-ils

Sur ce point, la transparence attendue par un cabinet suppose une liste nominative : nom du sous-traitant, pays d'établissement, base légale du transfert si le pays est hors Union européenne. Cette liste évolue — un fournisseur change parfois d'hébergeur ou de moteur de transcription au fil des mises à jour techniques — ce qui explique pourquoi elle figure normalement en annexe du contrat de traitement plutôt que dans une page web figée : une page marketing n'est jamais mise à jour aussi vite qu'un contrat.

Quand un sous-traitant est établi hors de l'Union européenne, le RGPD n'interdit pas la relation, mais il impose une garantie. La CNIL rappelle que ce transfert doit s'appuyer sur les clauses contractuelles types (CCT) adoptées par la Commission européenne, qui obligent le destinataire hors UE à respecter des garanties équivalentes à celles du RGPD. Ce n'est pas une formalité cosmétique : depuis l'arrêt Schrems II, l'exportateur et l'importateur doivent aussi vérifier concrètement que la législation du pays tiers ne vide pas ces clauses de leur substance — un service qui répond « on a signé des CCT » sans pouvoir expliquer ce que ça couvre n'a probablement pas fait cette vérification.

Pour un cabinet qui veut challenger sérieusement un fournisseur, la charte interne d'utilisation de l'IA du cabinet — voir notre modèle de charte d'utilisation de l'IA en cabinet d'avocat — peut fixer par avance les critères non négociables : hébergement UE exigé pour telle catégorie de dossiers, refus de tout sous-traitant hors UE sans CCT documentées, droit d'audit. C'est plus efficace que de vérifier fournisseur par fournisseur, dossier par dossier.

Les 8 questions à poser avant de signer

Un fournisseur sérieux répond à chacune de ces questions sans détour. Un fournisseur qui élude l'une d'elles mérite une relance écrite avant signature.

1. Où sont localisés les serveurs qui stockent l'audio et le texte ? La réponse doit nommer un pays ou une région, pas « le cloud ». Si la réponse est « ça dépend du module », demandez le détail module par module.

2. Qui opère le modèle de transcription, et où tourne-t-il ? Le moteur de reconnaissance vocale est souvent un sous-traitant distinct de l'hébergeur principal. Son identité et son pays doivent figurer dans le contrat de sous-traitance, pas seulement dans une documentation technique généraliste.

3. Mes messages servent-ils à entraîner un modèle ? La réponse attendue est non, ou une clause contractuelle explicite l'excluant. C'est un point à vérifier ligne par ligne dans le DPA plutôt qu'à l'oral.

4. Combien de temps mes données sont-elles conservées ? Une durée précise, pas « le temps nécessaire ». Et la possibilité, pour un cabinet qui le demande, de raccourcir cette durée contractuellement.

5. Les données sont-elles chiffrées au repos et en transit ? Deux garanties distinctes : le chiffrement pendant le transfert (entre les serveurs) et le chiffrement pendant le stockage. Un fournisseur qui ne distingue pas les deux n'a probablement vérifié ni l'un ni l'autre en détail.

6. Qui, en interne chez le fournisseur, a accès aux données en clair ? La réponse doit décrire une gestion des accès par rôle, pas « toute l'équipe technique en cas de besoin ».

7. Que se passe-t-il en cas de violation de données ? Le RGPD impose une notification à l'autorité de contrôle sous 72 heures (article 33) et, selon les cas, aux personnes concernées (article 34). Le contrat doit préciser le délai dans lequel le fournisseur vous alerte, vous, en amont de cette échéance.

8. Quel droit s'applique au contrat ? Un fournisseur belge soumis au droit belge et à la compétence des tribunaux belges donne un recours plus direct qu'un contrat régi par un droit étranger avec clause d'arbitrage à l'autre bout du monde.

VoxNow, société belge, répond à ces huit questions dans son contrat de traitement des données. Certaines réponses — durée de conservation exacte, sous-traitants nominatifs actuels — sont fixées dans cette annexe contractuelle plutôt que publiées ici, précisément parce qu'elles doivent rester vérifiables et à jour : demandez le document à sacha@voxnow.be.

Le DPA, contrat de traitement des données

Le DPA (Data Processing Agreement, ou contrat de sous-traitance au sens de l'article 28 du RGPD) est le document qui formalise, noir sur blanc, la relation entre votre cabinet — responsable de traitement — et le fournisseur — sous-traitant. Il doit préciser l'objet et la durée du traitement, la nature des données traitées, les catégories de personnes concernées, les obligations et droits du responsable de traitement, et les garanties offertes en cas de sous-traitance ultérieure (ce qu'on appelle la sous-traitance en cascade).

Un DPA qui se limite à une page de généralités ne protège personne. Un DPA utile liste les sous-traitants ultérieurs autorisés, précise le sort des données à la fin du contrat, et engage le fournisseur à assister le responsable de traitement en cas de demande d'un client exerçant ses droits d'accès ou de suppression. VoxNow met ce contrat à disposition, signable, pour tout cabinet qui en fait la demande avant ou pendant l'essai gratuit.

La qualité du français, un argument technique

La qualité de la transcription n'est pas qu'une question de confort de lecture — c'est un indicateur de la robustesse du modèle utilisé, et donc, indirectement, de la maturité du fournisseur.

Les modèles de reconnaissance vocale modernes sont entraînés sur des volumes considérables. Le modèle Whisper d'OpenAI, référence largement citée dans le secteur, a été entraîné sur 680 000 heures d'audio multilingue et multitâche, dont 117 000 heures couvrant 96 langues autres que l'anglais, selon le papier de recherche publié par Alec Radford et ses coauteurs en décembre 2022. Sa version large-v3, publiée en novembre 2023, a été entraînée sur 1 million d'heures d'audio faiblement labellisé et 4 millions d'heures pseudo-labellisées, avec une réduction de 10 à 20 % des erreurs par rapport à la version précédente sur les jeux d'évaluation Common Voice 15 et FLEURS.

Ces chiffres impressionnent, mais ils cachent une réalité que tout avocat belge connaît par expérience : la performance d'un modèle varie selon la langue, l'accent et le vocabulaire. Un modèle entraîné majoritairement sur de l'anglais et du français de France transcrit un accent bruxellois ou liégeois avec un taux d'erreur plus élevé qu'un français standard — pas parce que le modèle est mauvais, mais parce que la part d'audio belge dans son corpus d'entraînement est proportionnellement faible face au volume total. Le vocabulaire de procédure pose un problème comparable : « conclusions », « exequatur », « saisie-arrêt » ne sont pas des mots fréquents dans un corpus d'entraînement généraliste, et un modèle peut les déformer en un mot phonétiquement proche mais absurde dans le contexte.

C'est une limite réelle, pas un détail à minimiser. La transcription automatique se trompe parfois sur les noms propres — nom d'une partie adverse, nom d'une commune, référence de dossier — et l'audio original reste la source de vérité en cas de doute sur un point précis. Un cabinet qui traite un dossier sensible sur la base d'un résumé transcrit devrait, par réflexe, réécouter le message original avant toute décision qui repose sur un détail contesté. La transcription accélère la prise de connaissance du message, elle ne remplace pas l'écoute attentive quand l'enjeu le justifie.

Questions fréquentes

Où sont hébergées les données traitées par VoxNow ?

L'hébergement est réparti entre plusieurs prestataires selon la fonction — téléphonie, stockage, transcription, envoi d'email — et le détail nominatif figure dans le DPA fourni sur demande. Cette répartition peut évoluer avec les mises à jour techniques, ce qui explique pourquoi elle est documentée dans le contrat plutôt que figée sur une page web.

Mes messages vocaux servent-ils à entraîner un modèle d'IA ?

Ce point doit être vérifié dans le DPA signé avec votre cabinet plutôt que sur la base d'une réponse orale. Demandez la clause exacte avant de signer, et exigez qu'elle soit écrite noir sur blanc si elle ne l'est pas déjà.

Combien de temps mes données sont-elles conservées ?

La durée de conservation de l'audio brut, de la transcription et du résumé est définie contractuellement. Un cabinet peut demander une durée plus courte que la durée par défaut si la nature de ses dossiers l'exige.

Puis-je obtenir un contrat de traitement des données (DPA) signé ?

Oui. VoxNow met ce contrat à disposition avant ou pendant l'essai gratuit, sur simple demande à sacha@voxnow.be.

Que se passe-t-il si je résilie mon abonnement ?

La résiliation doit s'accompagner d'un sort défini pour les données déjà collectées — suppression ou restitution, selon ce que prévoit le contrat. C'est un point à clarifier avant signature, pas après résiliation.

Tester avant de trancher

VoxNow transcrit vos messages vocaux et les résume dans votre boîte mail, pendant que votre correspondant reçoit un SMS de réponse. Le meilleur moyen de vérifier si l'hébergement et les garanties contractuelles conviennent à votre cabinet reste de poser ces questions directement, DPA en main. Testez VoxNow gratuitement pendant 30 jours, sans carte bancaire, et demandez le contrat de traitement des données avant la fin de l'essai.