Votre voix peut-elle être utilisée pour entraîner une IA sans votre autorisation ?
Une série de recours collectifs aux États-Unis vise à déterminer si un enregistrement vocal accessible au public peut être légalement utilisé pour créer un modèle d’IA vocale. Pour une entreprise de logiciels commercialisant ses produits en Europe, la question la plus pertinente à court terme est de savoir quelles sont les exigences actuelles de la législation européenne concernant un produit qui enregistre des appels, transcrit des réunions, identifie les intervenants ou génère de la parole synthétique, et dans quelle mesure ces exigences dépendent d’un consentement que l’entreprise n’a peut-être jamais obtenu.
En quoi consistent ces affaires aux États-Unis ?
En mai 2026, neuf recours collectifs ont été intentés devant le tribunal fédéral de première instance du district nord de l’Illinois contre Adobe, Alphabet et Google, Amazon, Apple, ElevenLabs, Meta, Microsoft, NVIDIA et Samsung. Les plaignants sont des journalistes, des podcasteurs, des narrateurs de livres audio et des doubleurs de l’Illinois, parmi lesquels figurent Carol Marin et Phil Rogers, deux animateurs de radio à la retraite de Chicago. Ils allèguent que des enregistrements de leurs voix ont été utilisés sans leur consentement pour extraire des empreintes vocales et entraîner les modèles vocaux de base qui sous-tendent des produits tels que les services de synthèse vocale et les outils de génération audio par IA.
Ces plaintes s’appuient en grande partie sur la loi de l’Illinois relative à la protection des informations biométriques (Illinois Biometric Information Privacy Act), qui désigne expressément les empreintes vocales comme des identifiants biométriques et exige une notification écrite, une finalité précisée, un délai de conservation et un consentement écrit avant toute collecte. À la fin du mois d’août 2026, les défendeurs avaient déposé des requêtes en irrecevabilité, arguant notamment que les plaignants n’avaient pas démontré que leurs enregistrements spécifiques avaient été utilisés, et Apple a demandé que les affaires soient regroupées devant un seul juge. Aucune décision n’a encore été rendue, et l’issue du litige dépendra probablement de ce que la procédure de communication des pièces révélera concernant le contenu des ensembles de données d’entraînement spécifiques.
La voix est-elle considérée comme une donnée à caractère personnel dans l’UE ?
Oui, l’enregistrement de la voix d’une personne identifiable constitue une donnée à caractère personnel au sens du RGPD ; son traitement nécessite donc une base légale, une finalité définie, une durée de conservation et une transparence vis-à-vis de la personne concernée. Cela s’applique à tout enregistrement, y compris ceux obtenus légalement et ceux accessibles au public depuis des années.
L’analyse change lorsqu’une entreprise va plus loin et établit une empreinte vocale, c’est-à-dire une représentation mathématique des caractéristiques vocales utilisée pour identifier une personne spécifique. Il s’agit de données biométriques traitées dans le but d’identifier de manière unique une personne physique, ce qui relève de l’article 9 du RGPD et est interdit sauf si une condition spécifique s’applique, le plus souvent le consentement explicite. Cette distinction a des conséquences tant commerciales que techniques. La transcription d’une réunion et la vérification de l’identité d’un intervenant ne constituent pas la même activité au regard de la réglementation, même si les deux impliquent des données audio ; un produit qui commence par la première activité puis intègre la seconde aura modifié son statut de conformité sans pour autant changer quoi que ce soit de perceptible pour le client.
En France, il existe une dimension supplémentaire qui échappe totalement au champ d’application de la législation sur la protection des données. L’article 9 du Code civil français protège la vie privée, et la jurisprudence française reconnaît depuis longtemps l’image et la voix d’une personne comme des attributs de la personnalité qui ne peuvent être exploités sans son consentement. Un plaignant français dont la voix aurait été clonée pourrait donc intenter une action en matière de droits de la personnalité indépendamment de toute plainte au titre du RGPD, les deux procédures suivant des voies différentes et offrant des recours distincts. C’est un point que les entreprises américaines négligent souvent, car il n’existe pas d’équivalent direct dans le cadre fédéral auquel elles sont habituées.
Le fait que les enregistrements aient déjà été rendus publics joue-t-il en votre faveur ?
Non. Il n’existe aucun principe général dans la législation européenne sur la protection des données selon lequel les données à caractère personnel accessibles au public peuvent être réutilisées librement. L’article 9(2)(e) autorise certes le traitement de données relevant de catégories particulières que la personne concernée a manifestement rendues publiques, mais il s’agit là d’une voie très restreinte. La publication d’un podcast correspond à la décision de partager un enregistrement, et non à une décision manifeste de mettre ses données biométriques à disposition pour l’entraînement d’un modèle.
Les entreprises sont également soumises à des obligations de transparence lorsqu’elles collectent des données à caractère personnel auprès d’une source autre que la personne concernée. L’article 14 vous impose de les informer, sous réserve d’une exemption limitée lorsque cela impliquerait un effort disproportionné, auquel cas vous devez prendre d’autres mesures pour protéger leurs intérêts, notamment en rendant ces informations accessibles au public. La collecte d’enregistrements audio à grande échelle ne supprime que rarement cette obligation et rend généralement plus difficile son respect, ce qui plaide en faveur d’une conception tenant compte de cette obligation dès le départ.
La CNIL est allée plus loin que la plupart des régulateurs européens dans ce domaine. Elle a publié des lignes directrices sur le recours à l’intérêt légitime comme base légale pour le développement de systèmes d’IA, ainsi qu’un document d’accompagnement sur la collecte de données par web scraping. La CNIL a reconnu que l’extraction de données accessibles au public à des fins de développement de l’IA n’est pas interdite, mais a précisé ce qu’elle attend en contrepartie. Cela inclut une évaluation documentée couvrant les trois volets du critère de l’intérêt légitime, une liste par défaut des sites que l’entreprise ne « scrapera » en aucun cas en raison de la nature des informations qu’ils contiennent, le respect des moyens techniques par lesquels les exploitants de sites signalent leur opposition, l’élimination des données sensibles non pertinentes au regard de la finalité au moment de la collecte, ainsi qu’une procédure permettant aux personnes concernées de s’opposer avant que leurs données ne soient collectées, et non pas uniquement après coup.
Qu’ont déclaré les autorités de régulation au sujet de la formation sur les données à caractère personnel en général ?
La recommandation la plus importante est l’avis 28/2024 du Comité européen de la protection des données, adopté en décembre 2024 à la demande de l’autorité de contrôle irlandaise. Trois de ses conclusions revêtent une importance commerciale.
La première concerne l’anonymat. Un modèle entraîné à partir de données à caractère personnel ne devient pas anonyme du simple fait que l’entraînement est terminé, et le CEPD a refusé de considérer cela comme une règle générale. Chaque cas doit être évalué individuellement, et il incombe au responsable du traitement de démontrer qu’il n’existe aucune perspective réaliste de récupération de données à caractère personnel à partir du modèle, que ce soit en l’interrogeant directement ou par d’autres moyens raisonnables. Un modèle vocal capable de reproduire de manière reconnaissable la voix d’une personne en particulier aurait du mal à satisfaire à cette norme.
La deuxième conclusion est que l’intérêt légitime peut servir de base légale tant pour le développement que pour le déploiement, mais uniquement à l’issue d’un test documenté en trois étapes portant sur l’intérêt poursuivi, la nécessité du traitement et la mise en balance avec les droits des personnes concernées, en accordant une importance particulière à leurs attentes raisonnables.
Le troisième point est susceptible d’avoir le plus d’importance pour les entreprises qui achètent des capacités d’IA plutôt que de les développer elles-mêmes. Lorsque des données à caractère personnel ont été traitées sans base légale pendant la phase de développement du modèle, ce vice de forme ne disparaît pas nécessairement une fois que le modèle est mis en service, et il peut également compromettre la licéité du déploiement. La responsabilité d’un client peut donc remonter jusqu’à la manière dont son fournisseur a constitué ses données d’apprentissage. Une autorité de contrôle peut demander quelle évaluation l’entreprise déployant le modèle a effectuée avant de le mettre en service, ce qui en fait une question de diligence raisonnable plutôt qu’une simple question contractuelle.
Quelles sont les nouveautés apportées par la loi sur l’IA ?
Depuis le 2 août 2026, les règles de transparence prévues par la loi sur l’IA s’appliquent. Les fournisseurs de systèmes générant des contenus audio synthétiques doivent marquer les résultats dans un format lisible par machine afin qu’ils puissent être identifiés comme générés artificiellement, et les exploitants produisant du contenu « deepfake » doivent le signaler. La mise en œuvre de ces règles est assurée conjointement par le Bureau de l’IA de la Commission et les autorités nationales.
Ces règles n’ont aucune incidence sur la possibilité pour une entreprise d’entraîner un modèle à partir de la voix d’une personne. Elles régissent ce qu’elle doit faire des résultats obtenus. Lorsqu’un produit clone ou synthétise une voix, le marquage et la divulgation constituent des exigences opérationnelles qui relèvent du produit lui-même plutôt que d’un document de politique générale, et elles doivent s’appliquer quelle que soit la manière dont les clients utilisent concrètement cette fonctionnalité.
Que devez-vous vérifier si vous commercialisez des logiciels à commande vocale en Europe ?
La première question est de savoir si le produit crée ou non des empreintes vocales, car la réponse détermine s’il relève de l’article 9 ou du cadre général des données à caractère personnel, ces deux cas impliquant des exigences de consentement très différentes ainsi que des implications très différentes en matière de conception du produit. De nombreuses équipes découvrent qu’elles créent un élément fonctionnant comme une empreinte vocale sans l’avoir défini ainsi en interne.
La deuxième question concerne les fournisseurs, et plus précisément le fait de savoir s’ils utilisent les enregistrements audio que vous leur envoyez pour améliorer leurs propres modèles. C’est le point le plus souvent omis dans les contrats des fournisseurs d’IA et celui qui a le plus de chances d’apparaître lors d’un audit de sécurité mené par une entreprise européenne. Les accords de traitement des données doivent indiquer clairement si l’entraînement sur les données des clients est autorisé et, le cas échéant, sur quelle base, avec quels contrôles et quelles possibilités de refus.
Le troisième point se situe au début de la chaîne. Lorsqu’un produit enregistre des réunions ou des appels, les participants doivent en être informés avant le début de l’enregistrement, et l’entreprise doit disposer d’une base légale capable de résister à un examen minutieux. Dans un contexte professionnel, il s’agit généralement d’intérêts légitimes plutôt que de consentement, car le consentement donné par un salarié à son employeur est difficile à considérer comme librement accordé. Un fournisseur américain de SaaS commercialisant un enregistreur de réunions en France constatera généralement que son processus de consentement américain existant, fondé sur les règles du consentement unilatéral, ne répond absolument pas aux exigences européennes.
Lorsque les données d’entraînement proviennent de sources publiques, il est également utile de pouvoir en expliquer l’origine. La provenance est devenue une question courante dans les marchés publics européens, et il est nettement plus facile de la documenter pendant le développement d’un produit que de la reconstituer une fois que le client en fait la demande.
Les affaires américaines pourraient prendre des années à être résolues, et leur raisonnement ne sera pas directement transposable, puisque l’UE ne dispose pas d’équivalent aux dommages-intérêts forfaitaires par infraction pour les violations biométriques et s’appuie plutôt sur les mesures coercitives des autorités de contrôle, les demandes d’indemnisation au titre de l’article 82 et les recours collectifs.
Ce qui s’applique en revanche, c’est le principe commercial qui les sous-tend, à savoir qu’une voix est considérée comme appartenant à la personne dont elle provient. Les entreprises capables de démontrer l’origine de leurs données audio se trouveront dans une position nettement plus solide que celles qui ne le peuvent pas. Lorsqu’un produit repose sur des données vocales dont l’origine est incertaine, ou lorsqu’il n’est pas clair si le produit génère ou non des données biométriques, ces questions méritent d’être résolues avant qu’un audit ou un examen de sécurité mené par un client ne les soulève.
Comment Gerrish Legal peut vous aider?
Gerrish Legal est un cabinet juridique numérique et dynamique. Nous sommes fiers de prodiguer des conseils juridiques experts et de haute qualité à nos précieux clients. Nous sommes spécialisés dans de nombreux aspects du droit numérique tels que le RGPD, la confidentialité des données, le droit numérique et technologique, le droit commercial et la propriété intellectuelle.
Nous offrons aux entreprises le soutien dont elles ont besoin pour gérer leurs activités avec succès et en toute confiance tout en se conformant aux réglementations légales, sans avoir à se plier aux exigences numériques en constante évolution.
Nous sommes là pour vous aider, contactez-nous dès aujourd’hui pour plus d’informations.
Article de Nathalie Pouderoux, Consultante pour Gerrish Legal