Souveraineté et droit
CLOUD Act : ce qu’il change pour vos comptes rendus de réunion
Une loi américaine de 2018 permet d’exiger d’un fournisseur les données qu’il contrôle, où qu’elles soient stockées. Ce mécanisme touche l’enregistrement et la transcription de vos réunions ; la situation de Recapro (recapro.ai) est détaillée offre par offre.
En bref
- Le CLOUD Act (18 U.S.C. § 2713) oblige un fournisseur soumis à la juridiction des États-Unis à communiquer, sur demande légale des autorités américaines, les données qu’il a en sa possession, sous sa garde ou sous son contrôle, y compris quand elles sont stockées hors des États-Unis.
- Héberger des données en France règle la question de leur emplacement ; le droit applicable dépend de chaque société qui opère un maillon de la chaîne, qu’il s’agisse du traitement, du stockage ou du transit.
- Chez Recapro, l’offre On-Premise en mode air-gap est la configuration sans aucun maillon extérieur ; en offre Cloud, l’inférence tourne sur nos serveurs en France et les données sont stockées chez Scaleway à Paris, mais Cloudflare, société américaine, termine le chiffrement des connexions.
Faits vérifiés le 21 octobre 2026.
Ce que dit la loi
Trois textes suffisent pour comprendre le mécanisme. Chacun renvoie à sa source.
Une obligation attachée au fournisseur
Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) a été adopté le 23 mars 2018 (Public Law 115-141, division V). Sa section 103 a créé le 18 U.S.C. § 2713, selon lequel un fournisseur de service de communications électroniques ou de service informatique à distance doit préserver, sauvegarder ou communiquer les contenus et données qu’il a en sa possession, sous sa garde ou sous son contrôle, que ces données se trouvent aux États-Unis ou ailleurs.
18 U.S.C. § 2713, texte officiel (Office of the Law Revision Counsel), consulté le 21 octobre 2026
Une contestation possible dans des cas étroits
La même loi permet au fournisseur de demander la modification ou l’annulation d’une demande portant sur des contenus. Il doit alors estimer que le client n’est pas une personne américaine, ne réside pas aux États-Unis, et que la communication créerait un risque sérieux qu’il enfreigne le droit d’un État lié aux États-Unis par un accord exécutif en vigueur (18 U.S.C. § 2703(h)).
La lecture des autorités européennes
Dans leur réponse conjointe à la commission LIBE du Parlement européen, datée du 10 juillet 2019, l’EDPB et l’EDPS estiment qu’une demande fondée sur le CLOUD Act ne constitue pas, à elle seule, une base légale de transfert au regard du RGPD (article 48). Sans accord international, par exemple un traité d’entraide judiciaire, la communication ne pourrait être licite que sur une base de l’article 6, combinée à l’une des dérogations étroites de l’article 49. Un fournisseur soumis aux deux droits peut donc se trouver face à deux obligations contraires.
EDPB-EDPS, réponse conjointe à la commission LIBE sur le CLOUD Act, 10 juillet 2019
Résidence ou juridiction : la distinction qui compte
La résidence des données
Où se trouvent les serveurs ?
Un hébergement en France ou en Europe répond à cette question. C’est souvent une exigence contractuelle ou sectorielle, et elle se vérifie dans la liste des sous-traitants.
La juridiction
Quel droit s’impose à la société qui opère chaque maillon ?
Une société soumise au droit américain reste tenue par le CLOUD Act pour les données qu’elle contrôle, y compris dans un centre de données situé à Paris ou à Francfort.
L’hébergement en Europe répond à une exigence de résidence des données. Il ne neutralise pas, à lui seul, l’exposition au droit américain lorsqu’un maillon de la chaîne est opéré par une société qui y est soumise. Ce raisonnement s’applique à tout outil de compte rendu de réunion, y compris le nôtre, et c’est pourquoi la suite de cette page détaille Recapro offre On-Premise et offre Cloud séparément.
Les trois couches d’un outil de compte rendu
Pour chacune, posez deux questions : qui l’opère, et de quel droit relève cette société ?
L’inférence
C’est le moment où un modèle transcrit l’audio et rédige le compte rendu. Le contenu y est lu en clair, car un modèle ne travaille pas sur des données chiffrées. Notre décryptage de la souveraineté à l’inférence détaille ce point.
Le stockage
La base de données, les fichiers audio, les transcriptions et leurs sauvegardes. Le chiffrement au repos protège contre le vol d’un disque. Une demande légale, elle, vise la société qui exploite le stockage et ses clés.
Le transit
Le chemin entre votre appareil et les serveurs. Quand un intermédiaire termine le chiffrement TLS pour filtrer ou accélérer le trafic, le contenu passe déchiffré dans son infrastructure pendant ce transit.
Recapro On-Premise et air-gap
Avec l’offre Forteresse, la chaîne de traitement est installée chez vous.
Toute la chaîne sur votre serveur
La base de données, les fichiers, la transcription (whisper), la rédaction (vLLM) et la séparation des intervenants (pyannote) tournent sur un serveur dédié installé dans vos murs. Aucun port n’est ouvert sur internet et le contenu des réunions reste sur ce serveur. Le détail est sur la page Recapro On-Premise.
En mode standard, ce qui sort
La machine envoie des signaux de présence à api.recapro.ai et des métriques machine (processeur, mémoire, disque, durée de fonctionnement). Elle garde aussi un tunnel de supervision opéré par Cloudflare. Aucun contenu de réunion ne passe par ces canaux, mais un accès technique de supervision existe.
En mode air-gap, rien ne sort
Aucune connexion sortante : ni télémétrie, ni signal de présence, ni tunnel. L’installation et les mises à jour passent par un support physique. C’est la configuration qui répond à l’exigence « hors de portée du CLOUD Act », puisque aucun prestataire de la chaîne Recapro, Recapro inclus, n’a d’accès technique à vos données. Voir le déploiement air-gap.
Recapro Cloud, couche par couche
Ce que fait l’offre Cloud à chaque maillon, et ce que cela implique au regard du CLOUD Act.
| Couche | Qui l’opère, et où | Ce que cela implique |
|---|---|---|
| Inférence | Recapro, sur nos serveurs en France. Transcription (whisper), rédaction (vLLM) et séparation des intervenants (pyannote) avec des modèles open-weight. | Aucun LLM tiers ne lit vos réunions à l’inférence. |
| Stockage | Scaleway, hébergeur français, en région Paris (fr-par). La base de données tourne sur une machine virtuelle Scaleway ; les fichiers et les sauvegardes chiffrées sont sur Scaleway Object Storage. | Vos données sont stockées en France, chez une société française. |
| Ancienne base, en cours de retrait | Supabase, société américaine, sur l’infrastructure AWS à Francfort. Elle conserve la copie de la base et des fichiers antérieure à notre migration du 8 octobre 2026, gardée pour un retour arrière. | Les versions anciennes de l’application mobile peuvent encore y écrire jusqu’à leur mise à jour. Sa suppression est prévue au plus tôt le 7 novembre 2026. |
| Transit | Cloudflare, société américaine, termine le chiffrement TLS des connexions, trafic d’inférence compris. | Le contenu passe déchiffré dans son infrastructure pendant le transit. |
| Notifications | Expo, Apple et Google, sociétés américaines, acheminent les notifications push. Quand l’option est active, la notification de compte rendu prêt contient le titre de la réunion. | Le titre de la réunion transite par ces services. Désactivez l’option pour recevoir un libellé générique. |
Pour ces raisons (le transit par Cloudflare, les notifications push et l’ancienne base en cours de retrait), nous n’écrivons pas que Recapro Cloud est hors de portée du CLOUD Act. Si vos réunions exigent une chaîne sans aucun maillon extérieur, l’offre On-Premise en mode air-gap y répond. La liste de nos prestataires et leur rôle figure sur la page Sécurité.
Configuration d’infrastructure relue le 21 octobre 2026. Cette section est mise à jour à la suppression de l’ancienne base.
Les questions à poser à un éditeur
Elles valent pour tout outil de compte rendu, le nôtre compris. Demandez une réponse écrite et datée.
- 01 Sur quels serveurs, et chez quel fournisseur, la transcription et le résumé sont-ils calculés ?
- 02 Un modèle d’IA externe reçoit-il tout ou partie du contenu ? Lequel, et sous quel contrat ?
- 03 Où sont stockés la base, les fichiers audio et les sauvegardes, et quelle société exploite cet hébergement ?
- 04 Qui termine le chiffrement TLS de vos connexions ?
- 05 Parmi les sociétés de cette chaîne, lesquelles relèvent du droit américain, directement ou par leur maison mère ?
- 06 Existe-t-il des copies anciennes ou de secours, et où se trouvent-elles ?
- 07 L’outil peut-il être installé dans votre infrastructure, avec ou sans connexion sortante ?
- 08 Où la liste des sous-traitants est-elle publiée, et quelle est la date de sa dernière mise à jour ?
CLOUD Act : vos questions
01
Le CLOUD Act s’applique-t-il à des données hébergées en France ?
02
Recapro Cloud est-il hors de portée du CLOUD Act ?
03
Qu’est-ce qu’un déploiement air-gap pour un outil de transcription ?
04
Quel outil de compte rendu IA n’envoie pas les réunions à un LLM tiers ?
05
Le chiffrement suffit-il face au CLOUD Act ?
06
Un contrat ou des clauses contractuelles types protègent-ils de ces demandes ?
07
Le Data Privacy Framework protège-t-il de ces demandes ?
08
Recapro est-il certifié SecNumCloud ou HDS ?
Méthode et sources
Les faits juridiques viennent des textes et documents officiels ci-dessous. Les faits sur Recapro viennent de notre configuration d’infrastructure, relue le 21 octobre 2026.
- 18 U.S.C. § 2713, Office of the Law Revision Counsel, consulté le 21 octobre 2026
- 18 U.S.C. § 2703, Office of the Law Revision Counsel, consulté le 21 octobre 2026
- EDPB-EDPS, réponse conjointe à la commission LIBE sur le CLOUD Act, datée du 10 juillet 2019
- Règlement (UE) 2016/679 (RGPD), article 48, EUR-Lex, consulté le 21 octobre 2026
- Décision d’exécution (UE) 2023/1795 de la Commission (Data Privacy Framework), EUR-Lex, consultée le 26 octobre 2026
Cette page explique un mécanisme juridique. Elle ne constitue pas un avis juridique sur votre situation.
Une erreur, une information dépassée ? Écrivez-nous, nous corrigeons et datons la correction : [email protected].
L’offre se choisit selon votre exigence
Cloud pour démarrer vite, avec une inférence en France et un stockage à Paris. On-Premise, avec ou sans air-gap, quand aucun maillon extérieur n’est acceptable.
Aller plus loin
Le CLOUD Act pose la question du droit applicable. Ces pages détaillent les réponses par mode de déploiement.
- Déploiement on-premise Le serveur d’inférence installé dans vos murs, avec ce qui entre et ce qui sort en mode standard. Voir le déploiement on-premise
- Déploiement air-gap La configuration sans aucune connexion sortante, et ce qu’elle demande au quotidien. Voir le déploiement air-gap
- Souveraineté & inférence IA Le moment où un modèle lit vos données en clair, et pourquoi l’hébergement seul ne le couvre pas. Lire le décryptage
- Sécurité et hébergement Nos hébergeurs, nos prestataires avec leur rôle, et notre posture de conformité. Lire la page Sécurité
- Souveraineté & certifications SecNumCloud, HDS, niveaux SEAL : ce que prouve chaque référentiel, avec son statut daté. Lire le guide des référentiels