Synthèse et reconnaissance vocale au travail

Un outil de transcription reçoit un audio, le confie à un modèle et rend un texte. À chacune de ces étapes se posent deux questions pratiques : où se trouve la donnée, et combien de temps y reste-t-elle.

Le Centre national de cybersécurité britannique (NCSC) vise des fournisseurs de systèmes d'IA, qu'ils aient créé le système eux-mêmes ou qu'ils l'aient bâti sur des outils et services fournis par d'autres⁶. Ses lignes directrices ont été publiées le 27 novembre 2023⁶. Elles ont pour but de construire des systèmes qui fonctionnent comme prévu et « work without revealing sensitive data to unauthorised parties »⁶. Un salarié n'est pas leur destinataire, mais l'idée se traduit simplement : un outil d'IA doit pouvoir dire qui a accès aux données qu'on lui confie.

Côté RGPD, le texte demande au responsable du traitement et au sous-traitant d'évaluer les risques et de mettre en œuvre des mesures pour les atténuer, par exemple le chiffrement, afin d'assurer un niveau de sécurité approprié, y compris la confidentialité³. Il cite parmi les risques la divulgation non autorisée de données transmises, conservées ou traitées³. Dans une entreprise, c'est l'entreprise qui choisit l'outil et signe le contrat. C'est pourquoi le salarié passe par l'outil validé.

Avant d'enregistrer ou de transcrire, quatre vérifications sont utiles.

• Vérifier que l'outil est validé. Un compte personnel ouvert sur un service gratuit n'a pas été examiné par l'entreprise. Si aucun outil n'est validé, ne pas transcrire d'échange sensible.
• Savoir où va l'audio et combien de temps il reste. Cette information figure dans les conditions d'utilisation de l'outil ou dans la documentation interne. Si elle est introuvable, la demander avant de s'en servir.
• Écarter les échanges confidentiels. Un entretien individuel, un sujet de santé, une négociation commerciale ou un incident de sécurité ne vont pas dans un outil non validé.
• Prévenir les participants. Dire au début de la réunion qu'elle est enregistrée et transcrite, et par quel outil.

Après la transcription, la relecture avant diffusion est recommandée. Elle porte sur les noms propres, les chiffres, les décisions et les engagements, car le texte part ensuite dans des courriels et des dossiers. Si un passage paraît étrange, on le confronte à l'enregistrement plutôt que de le corriger de mémoire.

Le premier piège est la confiance dans le texte. Selon l'article de recherche cité plus haut, un système peut approcher la précision humaine¹. Une phrase peut malgré tout être mal comprise. Le dossier ne chiffre pas le taux d'erreur ni ne décrit les transcriptions inventées, mais l'OWASP recense les risques de sécurité des applications fondées sur de grands modèles de langage⁷. Sa présentation cite notamment la « dissemination of sensitive information » et la « compromised decision-making »⁷. Une transcription diffusée sans relecture peut produire des effets de ce genre.

Le deuxième piège est le résumé automatique. Le NIST a publié le 26 juillet 2024 un profil consacré à l'IA générative⁸. Ce profil est destiné à aider les organisations à identifier les risques propres à cette technologie⁸. Un résumé de réunion produit par un modèle relève de cette famille d'outils, ce qui justifie de le relire comme une transcription.

Le troisième piège est la réutilisation des données. La CNIL note que des modèles comme les modèles de langage peuvent contenir des données personnelles, et que les droits d'accès, de rectification, d'opposition et d'effacement peuvent être particulièrement difficiles à mettre en œuvre dans un modèle d'IA⁴. Le quatrième piège est l'enregistrement sans information. Le RGPD prévoit une information des personnes concernées (articles 13 et 14)³. La CNIL a également édité, avec l'autorité sud-coréenne PIPC, une affiche « IA générative et vie privée »⁹. Elle a été publiée le 27 mai 2026⁹. Elle explique comment protéger ses données personnelles quand on utilise une IA⁹.

Enfin, la fraude par voix imitée, souvent appelée fraude au président, ne peut pas être détaillée ici : aucune source du dossier ne la documente. Retenir qu'une voix connue au téléphone ne suffit pas à valider une demande de virement ou de mot de passe est un réflexe de prudence, pas un fait établi par ce dossier.