Choisir un outil de réunion souverain : le guide 2026

1. Pourquoi la souveraineté des réunions est devenue critique

Une réunion enregistrée concentre ce qu'une organisation a de plus sensible : décisions stratégiques, négociations, données clients, situations individuelles. Trois évolutions ont transformé le choix de l'outil qui traite ces contenus en décision de conformité.

Le droit d'abord. Le Cloud Act (2018) permet aux autorités américaines d'exiger l'accès aux données hébergées par tout fournisseur de droit américain — y compris dans ses datacenters européens. L'arrêt Schrems II (CJUE, 2020) a tiré la conséquence inverse côté européen : les transferts vers les États-Unis n'offrent pas de protection équivalente au RGPD sans garanties supplémentaires démontrables.

La commande publique ensuite. La doctrine « cloud au centre » impose aux systèmes sensibles de l'État des offres qualifiées SecNumCloud et immunisées contre les lois extraterritoriales. L'effet ruisselle sur les collectivités, la santé et les opérateurs publics, qui alignent leurs appels d'offres.

L'IA enfin. La plupart des outils de compte rendu envoient vos échanges à un modèle opéré par un tiers — souvent américain. La question n'est plus seulement « où sont stockées mes données » mais « qui exécute le modèle qui les lit ». C'est le point aveugle de la plupart des politiques d'achat.

2. Les trois niveaux de souveraineté d'une IA de réunion

La souveraineté d'un outil s'évalue à trois étages distincts — un fournisseur peut être irréprochable sur l'un et disqualifié sur l'autre.

1. Niveau 1 — L'hébergement des données

   Où sont stockés les audios, transcriptions et comptes rendus, et surtout qui opère l'infrastructure. Un datacenter parisien d'un opérateur américain ne protège pas du Cloud Act ; un opérateur européen (OVHcloud, Scaleway, Outscale) si.

2. Niveau 2 — L'exécution des modèles d'IA

   Quel modèle transcrit et synthétise, et où s'exécute-t-il. Une interface française qui appelle l'API d'OpenAI ou d'Azure n'est pas souveraine : vos contenus transitent par le fournisseur du modèle. Les architectures réellement souveraines s'appuient sur des modèles spécialisés (SLM) ou open-weight exécutés sur infrastructure maîtrisée.

3. Niveau 3 — Le devenir des données

   Vos réunions servent-elles à entraîner des modèles — les vôtres, ceux du fournisseur, ceux d'un tiers ? Qui peut y accéder en support ? Combien de temps les audios sont-ils conservés ? Les réponses doivent figurer par écrit dans le DPA et la politique de confidentialité.

3. La grille d'évaluation fournisseur — 10 questions

À envoyer telles quelles à tout fournisseur pressenti. Un acteur réellement souverain répond aux dix par écrit, avec références publiques ; les réponses évasives sont une réponse en soi.

4. Le tableau des juridictions — qui peut accéder à quoi

Quatre configurations reviennent sur le marché. La différence ne se voit pas dans l'interface — elle se voit le jour où une réquisition, un contentieux ou un audit arrive.

Détails dans nos comparatifs : Gilbert vs Microsoft Teams, Gilbert vs Otter.ai, Gilbert vs Microsoft Copilot.

5. Les référentiels qui font foi (et ce qu'ils couvrent)

• SecNumCloud (qualification ANSSI) — le niveau le plus exigeant : sécurité auditée ET immunité aux lois extraterritoriales. Référence des marchés publics sensibles.
• HDS (hébergement de données de santé) — obligation légale dès qu'un enregistrement contient des données patients (staffs, RCP, transmissions).
• ISO 27001 / SOC 2 — attestent d'un management de la sécurité sérieux, mais ne disent rien de la juridiction : un outil américain peut être ISO 27001 et soumis au Cloud Act.
• RGPD + DPA art. 28 — le socle contractuel : sous-traitants listés, durées de conservation, droits des personnes. L'AI Act ajoute depuis 2024 des obligations de transparence sur les systèmes d'IA.

6. Ce que votre secteur exige concrètement

7. Détecter le « souveraineté-washing » : 6 signaux

Le mot « souverain » ne coûte rien à écrire. Six signaux distinguent le marketing de la réalité :

1. « Hébergé en Europe » sans nommer l'opérateur — si c'est AWS/Azure/GCP, le Cloud Act s'applique.
2. Aucune mention du modèle d'IA — l'interface est française, mais qui lit vos réunions ?
3. Des sceaux sans lien de vérification — une qualification réelle a une référence publique consultable (liste ANSSI, certificat HDS).
4. Un DPA introuvable ou générique — la souveraineté se lit dans la liste des sous-traitants, pas dans la page d'accueil.
5. Le silence sur l'entraînement — « vos données sont sécurisées » ne répond pas à « servent-elles à entraîner des modèles ? ».
6. Aucune reconnaissance tierce — référencements publics, clients institutionnels nommés, presse vérifiable : la confiance se démontre par des tiers.

8. Questions fréquentes