La réunion commence, et la liste des participants compte un nom de trop : « Notetaker ». Quelqu'un de votre équipe a relié son agenda à Otter, à Fireflies ou à un outil semblable, et le robot peut désormais s'inviter à chaque appel. Il écoute, enregistre, transcrit, puis envoie un résumé. Le client en face n'a jamais créé de compte chez ce fournisseur.
Quand nous prenons en charge la sécurité et la conformité d'une PME, la question arrive sous la forme « est-ce légal? ». Elle en cache deux. Le Code criminel dit si vous pouvez enregistrer. La Loi sur la protection des renseignements personnels dans le secteur privé (la Loi 25) dit ce que votre entreprise doit faire de l'enregistrement. La première se règle en un paragraphe.
La réponse courte, pour les pressés
Au Québec, enregistrer une réunion à laquelle on participe n'est pas un crime : l'article 184 du Code criminel exempte la personne qui a le consentement de l'auteur de la communication ou de la personne à qui il la destine, et, selon notre lecture, un participant est l'un ou l'autre. Le Code criminel ne règle toutefois que l'interception. Dès qu'un preneur de notes IA comme Otter, Fireflies ou Plaud enregistre une réunion d'entreprise, la Loi sur la protection des renseignements personnels dans le secteur privé s'applique aux voix et aux propos de chaque participant. L'entreprise doit fixer les fins avant la collecte, informer chaque personne des fins, des moyens et d'une possible communication hors du Québec, faire une évaluation des facteurs relatifs à la vie privée avant de confier les enregistrements à un fournisseur établi aux États-Unis, encadrer ce fournisseur par un contrat écrit, et détruire la transcription une fois ces fins accomplies. Le client en ligne n'a rien accepté : c'est à vous de l'informer.
Deux lois, deux questions
L'article 184 du Code criminel punit quiconque, au moyen d'un dispositif, « intercepte sciemment une communication privée ». Intercepter, selon l'article 183, comprend le fait d'écouter ou d'enregistrer. Le paragraphe 184(2) écarte l'infraction pour la personne qui a obtenu le consentement, « exprès ou tacite », de l'auteur de la communication ou de la personne à qui il la destine. C'est la règle dite du consentement d'une seule partie, que nous lisons ainsi : un participant qui enregistre sa propre réunion ne commet pas d'infraction.
Le fournisseur, lui, est un tiers qui garde la conversation sur ses serveurs. Aux États-Unis, le dossier In re Otter.AI Privacy Litigation, ouvert en août 2025 devant le tribunal fédéral du district nord de la Californie, porte là-dessus : les demandeurs allèguent que l'assistant d'Otter se joint aux réunions sans le consentement de tous les participants et que l'entreprise entraîne ses modèles sur les conversations. La loi fédérale américaine retire l'exemption du consentement d'une seule partie quand l'interception vise un but criminel ou délictuel, et le 13 août 2026, en statuant sur la requête en rejet d'Otter, la juge Eumi K. Lee a refusé d'écarter ce volet de la plainte. À ce stade, le tribunal tient les allégations pour vraies sans trancher le fond, et le droit américain n'est pas le nôtre. La leçon tient quand même, selon nous : le consentement de celui qui branche l'outil couvre mal ce que le fournisseur fait ensuite de la conversation.
La Loi 25 pose une autre question. Elle s'applique au renseignement personnel quelle que soit sa forme, sonore comprise (article 1). Une réunion enregistrée contient des voix, des noms et des opinions sur des personnes : voir notre article sur les cas limites du renseignement personnel.
Qui recueille, au juste?
Les fournisseurs vous renvoient eux-mêmes la question. La politique de confidentialité d'Otter (en vigueur le 16 juin 2026) fait de l'entreprise cliente la responsable du traitement sous un contrat Otter Business, et demande à l'utilisateur d'obtenir les permissions nécessaires des tiers avant de téléverser un enregistrement. Celle de Fireflies (mise à jour le 28 septembre 2026) dit au participant sans compte de s'adresser à l'hôte de la réunion pour faire effacer l'enregistrement.
L'hôte, c'est votre entreprise. Elle doit déterminer les fins avant la collecte (article 4), ne recueillir que le nécessaire (article 5) et, au moment de la collecte, informer chaque personne des fins, des moyens, de ses droits, des tiers qui recevront les renseignements et de leur possible communication hors du Québec (article 8). Découvrir le robot en ouvrant l'appel ne remplit pas cette obligation.
Un détail technique l'alourdit. Otter range ses renseignements d'identification des locuteurs avec les renseignements biométriques, et Fireflies écrit que les caractéristiques vocales extraites pour distinguer les voix peuvent être considérées comme biométriques dans certains territoires. Selon nous, une technologie qui reconnaît qui parle tombe sous l'article 8.1 : il faut informer la personne au préalable de son utilisation et des moyens d'activer la fonction d'identification.
Reste le compte personnel. L'employé qui branche un compte gratuit à son nom fait d'Otter le responsable du traitement, sous sa propre politique : les propos de vos clients partent sous un contrat que votre entreprise n'a jamais signé. C'est le cas d'école de l'IA fantôme.
Le mandat, et l'entraînement des modèles
La Loi 25 permet de confier des renseignements personnels à un fournisseur sans le consentement des personnes, à condition que ce soit nécessaire à un mandat ou à un contrat de service (article 18.3). Le contrat écrit doit indiquer les mesures qui assurent que les renseignements ne servent qu'à ce mandat et ne sont pas conservés après son expiration.
C'est là que les réglages d'entraînement comptent. Otter indique entraîner sa propre technologie d'IA sur des enregistrements dépersonnalisés et sur des transcriptions qui peuvent contenir des renseignements personnels, et partager des données avec des fournisseurs d'annotation. Fireflies affirme ne pas entraîner de modèles sur les renseignements personnels et l'interdire par contrat à ses fournisseurs. Plaud, dans sa politique mise à jour le 16 juin 2026, s'engage à ne jamais le faire sans votre consentement explicite et préalable. Selon nous, un fournisseur qui réutilise vos réunions pour améliorer son produit sort de l'article 18.3, qui limite l'usage au mandat. Il faudrait alors le consentement de chaque participant.
Les serveurs sont aux États-Unis
Otter, société du Delaware, nomme Amazon Web Services aux États-Unis parmi ses hébergeurs. Fireflies traite les données sur des serveurs aux États-Unis et ailleurs. Plaud déclare des serveurs aux États-Unis, en Allemagne, au Japon et à Singapour.
L'article 17 exige, avant de communiquer un renseignement personnel hors du Québec, une évaluation des facteurs relatifs à la vie privée, qui pèse notamment le régime juridique de l'État de destination, puis une entente écrite. La règle vaut aussi quand vous confiez la conservation à un organisme hors du Québec, et l'article 3.3 en exige déjà une pour tout projet d'acquisition d'un système d'information, ce qu'est selon nous l'abonnement à un preneur de notes. Le raisonnement complet est dans notre article sur les agents IA hébergés hors du Québec, et notre générateur d'ÉFVP produit le document.
La transcription est un document comme un autre
Une fois enregistrée, la réunion est un renseignement que l'entreprise détient. Un client peut en demander une copie, et l'article 27 vous oblige à la lui communiquer. La marche à suivre est dans notre article sur la demande d'accès en 30 jours : ajoutez votre outil de notes à la liste des endroits à fouiller.
La conservation dépend de vous. Fireflies et Plaud indiquent conserver les données associées à un compte tant qu'il reste actif, alors que l'article 23 exige de détruire ou d'anonymiser un renseignement quand les fins de sa collecte sont accomplies. Une fois le compte rendu validé, l'enregistrement a rarement une raison d'exister.
Un outil qui transforme un « je vais voir » en « s'engage à livrer vendredi » crée un renseignement inexact, que la personne peut faire rectifier (article 28). Et l'article 11 exige qu'un renseignement soit exact quand vous l'utilisez pour décider au sujet de la personne, dans une évaluation de rendement par exemple. Une relecture humaine avant l'envoi règle les deux.
Le secret professionnel ne se partage pas avec un robot
L'article 9 de la Charte des droits et libertés de la personne garantit le droit au secret professionnel, et l'article 60.4 du Code des professions oblige le professionnel à respecter le secret de tout renseignement confidentiel appris dans l'exercice de sa profession. Quand un comptable ou un notaire laisse un robot enregistrer une rencontre avec un client, la conversation passe par les serveurs d'un fournisseur qui n'est pas tenu à ce secret. Selon nous, le minimum est un outil qui n'entraîne aucun modèle sur les conversations, sous contrat d'entreprise, et l'avis de votre ordre avant de l'adopter. Pour les cliniques, le Collège des médecins a ses propres règles : voir notre article sur le scribe IA en clinique.
Plaud, ou la question qui entre dans la salle
Dans un appel vidéo, le robot apparaît dans la liste des participants. Le NotePin de Plaud, lui, se porte en épinglette magnétique, en pince, en bracelet ou en collier, et annonce 20 heures d'enregistrement continu. L'application de bureau de Plaud peut aussi lancer l'enregistrement quand elle détecte qu'un logiciel de réunion est ouvert.
Pour le Code criminel, la personne qui le porte participe à la conversation et peut y consentir. Selon nous, l'exemption ne couvre plus la discussion de deux collègues à côté, à laquelle elle ne prend pas part. Pour la Loi 25, si l'appareil sert l'entreprise, les obligations sont les mêmes, avec une difficulté de plus : personne ne voit qu'on enregistre.
Une politique courte
Voici la règle que nous proposerions. On n'enregistre qu'avec un outil choisi par l'entreprise, sous un compte d'entreprise et un contrat qui exclut l'entraînement sur nos contenus. La participation automatique est désactivée : une personne lance l'enregistrement, l'annonce dans l'invitation et au début de l'appel, et l'arrête si quelqu'un s'y oppose. On n'enregistre ni les rencontres couvertes par le secret professionnel, ni les discussions disciplinaires ou de santé. Un humain relit le résumé avant l'envoi, et l'enregistrement est supprimé dès le compte rendu validé.
Si le but est de verser le compte rendu dans votre CRM, c'est le travail d'un agent IA bâti sur vos outils. Et si vous travaillez déjà chez Google, voyez notre comparaison entre Gemini Enterprise et un agent sur mesure.
Par où commencer
Cette semaine : demandez à votre équipe qui a relié un preneur de notes à son agenda, lisez la page sur l'utilisation des données de l'outil retenu en notant sa date, et ajoutez une phrase à vos invitations. Si vous hésitez sur un réglage ou une clause du contrat du fournisseur, nous pouvons les relire avec vous.
Ce texte vulgarise des obligations légales pour aider une PME à poser les bonnes questions; il ne constitue pas un avis juridique. Le texte du Code criminel, de la Loi sur la protection des renseignements personnels dans le secteur privé, de la Charte des droits et libertés de la personne, du Code des professions et les politiques des fournisseurs à la date de votre lecture font foi : pour une situation particulière, consultez un juriste ou votre ordre professionnel.
Écrit parXavier Peich