Page du service : Commerce numérique et IA : un avocat pour les conditions générales, la vie privée et la prospection directe.
Que se passe-t-il quand vous parlez à Alexa, Siri ou Assistant ?
Quand vous dites « Dis Siri », l’appareil se réveille, enregistre ce qui est dit et envoie l’enregistrement aux serveurs d’Apple. Là, l’algorithme interprète, répond et parfois conserve. Le même processus a lieu avec Alexa, Google Assistant et d’autres outils semblables.
Ce n’est pas une théorie du complot : c’est l’architecture technique. Et avec des assistants vocaux déjà présents dans les maisons, les voitures, les montres connectées et les enceintes, la quantité d’informations collectées sur les particuliers est énorme. Et qui conserve tout cela ? En général, la société qui vous a vendu l’appareil.
Qu’est-ce qui est dangereux, précisément, pour la vie privée ?
Les trois problèmes principaux :
- Activation involontaire (faux positifs) : les mots d’activation (« Alexa », « OK Google ») sont mal interprétés, et l’appareil enregistre même quand vous n’en aviez pas l’intention. C’est arrivé, et c’est documenté.
- Écoute continue : pour reconnaître un mot d’activation, l’appareil doit toujours « écouter ». Certains appareils conservent des extraits vocaux même sans activation volontaire.
- Partage avec des tiers : des sociétés ont transmis des enregistrements vocaux à des vérificateurs humains (salariés et sous-traitants) pour la transcription et le contrôle qualité ; Amazon, Google et Apple ont été mis en cause pour cela. « L’amélioration de l’algorithme » est parfois réalisée par des personnes qui écoutent des conversations privées.
Une question sur un site internet, la vie privée, les conditions d’utilisation ou l’IA dans votre entreprise ?Je vous réponds dans un délai d’un jour ouvré.
Appels et réponses en hébreu ou en anglais
Ce qui se passe après votre message
- Vous écrivez ce qui s’est passé et avec qui. Sans documents.
- Je vous recontacte dans un délai d’un jour ouvré pour un court appel de quelques minutes, en hébreu ou en anglais.
- S’il s’agit d’une affaire que je traite : après l’appel, vous recevrez par écrit ce qui sera fait et quelle est la prochaine étape. Le travail ne commence qu’après votre accord.
À la fin de l’appel, vous saurez l’une de ces trois choses : c’est une affaire que je traite, et quelle est la prochaine étape ; vous pouvez vous passer d’avocat, et quel guide vous convient ; ou ce n’est pas mon domaine, et vers qui vous tourner.
Que dit le droit israélien ?
- Les entreprises en Israël qui utilisent une IA vocale avec leurs clients doivent au minimum : informer selon l’article 11 de la loi sur la protection de la vie privée, en indiquant le but de la collecte, à qui les informations seront transmises et si la communication des informations est obligatoire ; obtenir un consentement éclairé lorsque la collecte repose sur le consentement (article 3) ; et assurer la sécurité selon le règlement sur la protection de la vie privée (sécurité des données), 5777-2017 (תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017). Le droit d’accès s’exerce en hébreu, en arabe ou en anglais (article 13(b)).
- Le RGPD européen s’applique à une entreprise israélienne qui propose des biens ou des services à des personnes se trouvant dans l’Union européenne, ou qui y suit leur comportement (article 3(2)). Ses exigences sont plus strictes que les règles israéliennes : une base légale pour chaque traitement, un droit à l’effacement (article 17) et la limitation du traitement (article 18).
En pratique, le consentement figure dans les conditions d’utilisation. Mais un tribunal israélien peut examiner si le consentement était « réel » : clair et compréhensible, et pas seulement enfoui à la page 12 du contrat de licence (EULA).
La loi sur la protection de la vie privée, 5741-1981, oblige celui qui s’adresse à une personne pour obtenir des informations personnelles afin de les traiter dans une base de données, y compris des données vocales, à lui remettre une information (article 11). Lorsqu’un consentement est nécessaire, il s’agit d’un « consentement éclairé » (article 3). Concrètement, l’utilisateur doit savoir qu’il est enregistré, dans quel but, et avec qui les informations sont partagées.
Que se passe-t-il en cas de fuite des données ?
Le règlement sur la protection de la vie privée (sécurité des données), 5777-2017, oblige les organisations à sécuriser la base de données selon le niveau de sécurité qui s’y applique. En cas d’incident de sécurité grave, elles doivent en informer immédiatement l’Autorité de protection de la vie privée, qui peut ordonner d’en informer aussi les personnes concernées (article 11(d) du règlement). Une société qui a été négligente dans la conservation des enregistrements s’expose à une action en responsabilité civile (article 31B de la loi) et à une sanction pécuniaire pour violation du règlement sur la sécurité des données (article 23Z(h) et troisième annexe, ajoutés par l’amendement n° 13).
Les enregistrements vocaux sont particulièrement sensibles : ils identifient la personne qui parle, révèlent ses habitudes et contiennent parfois des informations financières ou médicales. Lorsque la voix sert à l’identification informatisée d’une personne, elle est un « identifiant biométrique » et donc une « information particulièrement sensible » (article 3). La fuite d’une telle base de données est plus grave que la fuite d’adresses électroniques.
Les assistants vocaux présentent des risques de sécurité importants, notamment des fuites d’enregistrements et des intrusions
Un assistant vocal écoute-t-il pour afficher des publicités ?
Selon le droit israélien, utiliser des données vocales dans un autre but que celui pour lequel elles ont été communiquées, par exemple la publicité, est une atteinte à la vie privée (article 2(9)). Ce but doit donc figurer dans l’information remise lors de la collecte (article 11) et dans le consentement de l’utilisateur. Un consentement général et vague à des conditions d’utilisation risque de ne pas suffire.
Mais même sans microphone, ces sociétés ont accès à une énorme quantité d’informations (localisation, recherches, achats), suffisante pour des prédictions très précises. La « magie » de la publicité ciblée n’a pas besoin d’écoute.
Une question qui revient : « J’ai parlé de chaussures et j’ai aussitôt reçu des publicités. » Théorie ou fait ? Officiellement, rien ne le confirme. Meta, Google et Amazon ont nié utiliser le son du microphone à des fins publicitaires, et il n’existe aucune preuve technique vérifiée.
Il vous est arrivé quelque chose de semblable ?Vous pouvez m’écrire ce qui s’est passé et avec qui, sans documents.
Appels et réponses en hébreu ou en anglais
Que pouvez-vous exiger, et comment ?
Si une société étrangère refuse de reconnaître vos droits, vous pouvez vous adresser à l’Autorité de protection de la vie privée. Dans les cas graves, une action civile est aussi possible.
- Droit d’accès : vous pouvez demander à consulter les données vocales conservées sur vous dans la base de données (article 13 de la loi sur la protection de la vie privée).
- Droit à l’effacement : vous pouvez effacer l’historique des enregistrements, dans Alexa, Google et Siri, par les paramètres de l’application. Dans le RGPD, c’est un droit prévu par la loi, lorsque les motifs de l’article 17 sont réunis ; en Israël, vous pouvez demander de corriger ou d’effacer des informations inexactes, incomplètes, peu claires ou périmées (article 14).
- Réduction des données : vous pouvez limiter les données conservées et fournir moins d’informations.
Les utilisateurs d’assistants vocaux ont en général la possibilité d’effacer des enregistrements dans les paramètres du service et de limiter l’utilisation des données
Vers où va la réglementation ?
En Israël, l’Autorité de protection de la vie privée a publié le 28 avril 2025 un projet de directive sur l’application de la loi sur la protection de la vie privée aux systèmes d’intelligence artificielle. Il n’existe pas de législation propre aux assistants vocaux. Aux entreprises qui mettent déjà en place une IA vocale : documentez ce qui est collecté, pour combien de temps et comment c’est sécurisé. Le document de définition de la base de données et la procédure de sécurité imposent de toute façon de documenter les types d’informations, les buts de leur utilisation et les mesures de sécurité (articles 2 et 4 du règlement sur la sécurité des données).
Le règlement européen sur l’intelligence artificielle (EU AI Act) classe les systèmes d’identification biométrique à distance, et la reconnaissance vocale peut en être un, comme systèmes « à haut risque » (annexe III, point 1(a)). Une exception vise la vérification dont le seul but est de confirmer qu’une personne est bien celle qu’elle prétend être. L’utilisation de l’identification biométrique à distance « en temps réel » dans l’espace public à des fins répressives est interdite, sauf exceptions (article 5(1)(h)). Les systèmes à haut risque sont soumis à des obligations de gestion des risques, de documentation, de transparence et de contrôle humain. Selon la page de la Commission européenne, leur application aux systèmes de l’annexe III a été reportée au 2 décembre 2027 par la modification « Digital Omnibus ». Une entreprise israélienne est exposée à ce règlement lorsqu’elle commercialise un système dans l’Union ou que le résultat produit par le système y est utilisé (article 2).