Tenure — Notice d'utilisation

1. Pourquoi ce document existe

Selon l'article 3(12) du règlement (UE) 2024/1689, la destination d'un système est « l'utilisation à laquelle un système d'IA est destiné par le fournisseur, y compris le contexte et les conditions spécifiques d'utilisation, tels qu'ils sont précisés dans les informations communiquées par le fournisseur dans la notice d'utilisation, les indications publicitaires ou de vente et les déclarations, ainsi que dans la documentation technique ». Il ne s'agit donc pas d'une intention privée : c'est une construction probatoire faite de documents, et celui-ci en est le principal.

Il en découle deux conséquences, et toutes deux expliquent pourquoi ce document a été écrit avant le produit :

• L'obligation formelle de l'article 13 ne vise que les systèmes à haut risque. HighKnow soutient que Tenure n'en est pas un. Ce document est néanmoins rédigé, car sa fonction probatoire ne dépend pas de son caractère obligatoire.
• Chaque phrase peut nous être opposée. Il est rédigé de façon à n'appliquer nulle part à une personne un verbe d'appréciation.

La position de HighKnow au regard du règlement sur l'IA. HighKnow classe Tenure hors de l'annexe III, point 4(b). Tenure est une aide en réunion pour la personne qui l'utilise : aucune personne ne peut être l'objet d'une requête, aucune émotion n'est inférée, et la présente notice interdit de l'utiliser pour évaluer ou surveiller des salariés. La destination décrite à la section 2 et les usages interdits de la section 3 sont les preuves de cette position. Un client qui utiliserait Tenure pour apprécier ses propres commerciaux ferait de cet usage un usage à haut risque et en deviendrait le fournisseur (article 25) ; l'inférence des émotions sur le lieu de travail est purement et simplement interdite (article 5(1)(f)).

Statut. Il s'agit de la version 1.0, en vigueur depuis le 26 octobre 2026 et publiée avec les conditions d'utilisation et l'accord de traitement des données, qui intègrent au contrat ses usages interdits (conditions, section 8.2) et sa spécification au titre de l'article 25(2) (section 4 ci-dessous ; accord de traitement, section 13). Lorsque ce document décrit un comportement, l'analyse d'impact relative à la protection des données de référence que HighKnow fournit aux clients indique si la mesure est construite, et fait foi lorsque les deux divergent. Ce document est versionné avec le produit et révisé quand le produit change ; une notice périmée est la preuve d'un système qui n'est plus livré.

La position propre de HighKnow. HighKnow publie cette version sur la base de positions qu'elle a arrêtées et motivées. S'agissant de la classification au regard du règlement sur l'IA ci-dessus, l'appréciation de HighKnow (27 octobre 2026) place Tenure hors du point 4, b), de l'annexe III aux conditions que la présente version énonce : les questions portant sur un membre de l'organisation sont refusées (section 5), les responsables ne reçoivent aucun résultat par personne (section 5), et partager la réunion d'un collègue pour l'apprécier est un usage interdit (section 3). La version 1.1 (27 octobre 2026) a ajouté ces conditions.

Ce document ne garantit la conformité d'aucun déployeur. Les obligations propres du déployeur sont résumées à la section 8 et lui incombent.

2. Destination

Tenure est une application de bureau destinée aux commerciaux qui vendent à des entreprises : une aide en réunion pour la personne qui l'utilise. Sa destination est :

La recherche en temps réel d'informations dans la base de connaissances propre au client, et l'extraction après la réunion d'affirmations factuelles typées concernant des organisations, des affaires et des engagements, pour assister la personne qui utilise Tenure pendant ses conversations professionnelles.

Tenure transcrit les réunions auxquelles l'utilisateur participe, extrait des affirmations factuelles sur des organisations et des accords commerciaux, et présente à cet utilisateur de courtes notes de conseil pendant la conversation.

Le résultat est un texte de conseil adressé à l'utilisateur. Ce n'est ni une détermination, ni un score, ni une notation, ni une appréciation d'une quelconque personne, et il ne doit pas être utilisé comme tel.

3. Usages interdits

Les usages suivants sont interdits. Ils sortent de la destination, et un déployeur qui en adopte un peut devenir le fournisseur d'un autre système (voir la section 4). Ils font partie du contrat : la section 8.2 des conditions d'utilisation y engage le client et chacun de ses membres.

Emploi et gestion des travailleurs

• Gestion de la performance, évaluation, appréciation, classement, comparaison, notation ou sanction des salariés
• Décisions de promotion, de licenciement, de rémunération ou portant sur toute condition d'une relation de travail
• Attribution de tâches fondée sur le comportement individuel ou les traits personnels
• Surveillance des salariés, y compris de leurs niveaux d'activité, de leurs volumes de réunions ou de leurs habitudes de travail
• Recrutement, présélection ou évaluation de candidats
• Partager la réunion, la transcription ou les affirmations d'un collègue avec un autre membre afin d'apprécier ou de surveiller ce collègue ; poser à Tenure des questions sur la performance ou le comportement d'un collègue

Inférences sur les personnes

• Inférence des émotions, des intentions ou de tout état interne d'une personne — y compris de l'utilisateur du système lui-même
• Accompagnement ou retour fondé sur la manière dont une personne parle — débit, ton, hésitation, interruption — plutôt que sur ce qui a été dit
• Caractérisation des traits, de la crédibilité, du niveau de maîtrise ou de l'ancienneté d'une personne
• Résultats de probabilité au niveau d'une personne. La probabilité au niveau d'une affaire relève de la destination ; la probabilité qu'une personne nommée agisse n'en relève pas

Identification

• Identification biométrique de toute personne
• Création, conservation ou comparaison de modèles vocaux

Consentement et juridiction

• Utilisation lorsqu'un participant n'a pas été informé comme l'exige la section 8
• Utilisation dans une juridiction où l'enregistrement par un participant est illicite sans consentement, sauf si ce consentement a été obtenu et enregistré
• Utilisation à l'égard d'une personne qui s'y est opposée

4. Spécification au titre de l'article 25(2) : le système ne doit pas être transformé en système à haut risque

Le Fournisseur précise que ce système d'IA ne doit pas être transformé en système d'IA à haut risque au sens de l'article 6 du règlement (UE) 2024/1689. Toute modification de sa destination, y compris toute utilisation pour la surveillance ou l'évaluation des performances ou du comportement des travailleurs, ou pour des décisions affectant des relations de travail, est interdite. Le Fournisseur ne fournit pas, et n'est pas tenu de fournir, de documentation technique, d'informations ou d'accès technique à l'appui d'une telle modification.

Un déployeur qui modifie la destination de sorte que le système devient à haut risque devient le fournisseur de ce système à haut risque au sens de l'article 25(1)(c), avec les obligations correspondantes au titre de l'article 16, l'évaluation de la conformité, le marquage CE et l'enregistrement. L'article 25(2) prévoit que l'obligation du fournisseur initial de coopérer avec le nouveau fournisseur et de lui remettre la documentation « ne s'applique pas lorsque le fournisseur initial a clairement indiqué que son système d'IA ne doit pas être transformé en système d'IA à haut risque ». Le paragraphe ci-dessus est cette indication.

(Article 25 lu sur EUR-Lex, CELEX 32024R1689, tel que modifié par le règlement (UE) 2026/1744 ; le 25(1) n'est pas modifié et le 25(2) conserve cette exception dans sa forme modifiée.)

La spécification est reprise dans le contrat : les conditions d'utilisation, section 8.2, et l'accord de traitement des données, section 13.

5. Ce que le système ne fait pas

Énoncé positivement, car l'absence d'une fonction est plus facile à vérifier que l'absence d'une intention.

6. Les trois exceptions documentées à la règle de requête

Chacune est indexée par personne par nécessité. Elles sont énoncées ici plutôt que laissées à la découverte.

1. Facturation. Attribution des sièges et droits uniquement — aucune mesure d'activité, de durée, de volume ou de moment. Les rapports d'utilisation aux administrateurs sont agrégés au niveau de l'organisation.
2. Export à la résiliation et conservation à des fins légales. Disponible sous la forme de l'export de l'organisation : un propriétaire, et seulement un propriétaire, le prépare et le télécharge depuis la page de l'offre sous la forme d'une archive versionnée de fichiers JSON Lines, conservée 7 jours une fois préparée (#655). La demande et chaque téléchargement sont inscrits au journal d'audit de l'organisation. Il est en libre-service pour les propriétaires et pour aucun autre rôle ; il porte sur toute l'organisation telle que le propriétaire peut la voir, jamais sur une sélection indexée sur une personne. Le déployeur décide qui peut détenir le rôle de propriétaire et documente pourquoi un export a été effectué.
3. Mécanismes des droits des personnes concernées. Une demande d'accès porte par définition sur une personne, et respecter une opposition exige un registre de suppression indexé sur la personne qui s'oppose. Les deux passent par un circuit nominatif, audité et limité en débit. Ce sont des mécanismes de droits, pas de la recherche.

7. Flux de données

Anthropic n'est pas un sous-traitant distinct : les modèles Claude sont utilisés via Vertex AI, si bien que Google est le sous-traitant de référence pour cette inférence. La liste qui fait foi est la liste publique des sous-traitants ultérieurs et l'annexe 3 de l'accord de traitement des données. Un changement y est annoncé, et par e-mail aux propriétaires des organisations, 30 jours avant de s'appliquer.

La résidence, énoncée avec la précision possible : toutes les données des clients sont stockées exclusivement dans l'UE, à l'exception de ce qui est écrit aux boîtes contact@highknow.ai et privacy@highknow.ai, dont l'hébergeur ne permet pas de choisir une région de données (le tableau ci-dessus ; DPA, article 10.3). Les requêtes sont traitées dans l'UE ou, lorsque le routage du réseau l'impose, sous les garanties du chapitre V du RGPD. L'affirmation plus forte — que tout le traitement a lieu dans l'UE — n'est pas exacte et n'est pas faite.

Conservation : transcriptions 90 jours par défaut, configurables par organisation jusqu'à un plafond de 24 mois avec une justification enregistrée. Les affirmations extraites sont conservées sans limite de durée selon des règles de dépréciation et de remplacement, avec une citation source minimale. L'audio n'est pas conservé par le Fournisseur.

Les conditions du sous-traitant de transcription sont signées. L'accord de traitement des données de Soniox (version 1.3, signé le 2026-10-26) prévoit que le son et le texte ne sont pas stockés par défaut, et Tenure ne configure aucun stockage ; que les données des clients ne servent pas à l'entraînement ; et que le traitement reste dans l'UE, hormis un traitement limité à des fins de sécurité, d'assistance et de conformité légale. Soniox détient les certifications SOC 2 Type II et ISO/IEC 27001. Le sous-traitant de transcription a changé le 2026-08-14 ; les positions publiées par l'ancien fournisseur ne décrivent pas le nouveau et n'ont pas été reprises.

Deux éléments chez les fournisseurs que le Fournisseur n'a pas confirmés par écrit, énoncés parce qu'ils touchent au flux de données de bout en bout : la conservation pour la surveillance des abus et la configuration sans conservation des données du fournisseur d'inférence ; et ce que Cloudflare AI Gateway conserve et met en cache, et où. Tant que chacun n'est pas confirmé par écrit, les affirmations sur le flux de données de bout en bout se limitent aux systèmes propres du Fournisseur et à ses accords signés.

8. Obligations du déployeur

Le déployeur est le responsable du traitement du contenu des réunions. Le Fournisseur est un sous-traitant au titre de l'accord de traitement des données. Ces obligations incombent au déployeur et ne peuvent pas être remplies par le Fournisseur :

• La base légale du traitement des données personnelles des participants. Le déployeur la choisit en tant que responsable du traitement, généralement l'intérêt légitime, avec une mise en balance documentée
• L'information des participants, dans l'invitation de calendrier avant la réunion et par une annonce à son début. Le Fournisseur fournit le mécanisme — un texte d'invitation à plusieurs niveaux, une annonce orale scénarisée qui nomme l'organisation, un avis aux participants hébergé et une commande d'arrêt et de suppression. L'information ne peut pas être sautée dans le produit, et un seul parcours de consentement s'applique partout, quelle que soit la juridiction ; le déployeur doit l'utiliser. Rien n'est capté avant que l'annonce ait été faite et que personne ne s'y soit opposé (section 8.1)
• Les participants arrivés en retard. Le déployeur doit faire répéter l'annonce par ses utilisateurs chaque fois qu'une personne rejoint la réunion après qu'elle a été faite, au moyen de la commande prévue à cet effet (« Relire l'annonce »)
• Le consentement lorsque la juridiction l'exige. L'enregistrement par un participant est une infraction pénale dans certaines juridictions sans l'accord de chaque locuteur ; en Allemagne, le §201 StGB fait de l'enregistrement de la parole privée sans cet accord un délit. Le parcours du produit est conçu pour que cet accord puisse être donné par le comportement : l'enregistrement est annoncé avant de commencer, chacun peut s'y opposer à tout moment, et une opposition arrête l'enregistrement et le supprime. Le parcours est fourni et s'exécute par défaut ; le déployeur ne doit pas le désactiver
• L'analyse d'impact relative à la protection des données. Obligatoire pour un traitement de cette nature, et à la charge du déployeur en tant que responsable du traitement. HighKnow fournit une analyse de référence sur demande à privacy@highknow.ai
• La représentation du personnel. L'implication d'un conseil d'entreprise ou d'un organe équivalent est requise dans plusieurs juridictions selon un critère de capacité plutôt que d'intention, si bien que ce produit l'engage. Elle incombe au déployeur en tant qu'employeur. HighKnow fournit un dossier d'information pour la Belgique (CCT 39), la France (CSE), l'Allemagne et les Pays-Bas sur demande à la même adresse
• La maîtrise de l'IA. L'article 4 du règlement (UE) 2024/1689, tel que remplacé par le règlement (UE) 2026/1744, impose aux fournisseurs et aux déployeurs de « prendre des mesures pour favoriser le développement de la maîtrise de l'IA » de leur personnel et des autres personnes s'occupant du fonctionnement et de l'utilisation du système, compte tenu de leurs connaissances et du contexte d'utilisation. Il n'impose expressément pas au déployeur de garantir un niveau donné de maîtrise de l'IA chez quiconque. Il s'applique depuis le 2 février 2025 et ne se limite pas aux systèmes à haut risque

8.1 Ce que fait le système lorsqu'un participant n'est pas d'accord

Énoncé ici parce qu'un déployeur ne peut pas superviser une commande dont il ignore l'existence.

La captation locale seule et un mode « suggestions uniquement » ne sont pas proposés. Une opposition arrête l'enregistrement (Arrêt). Aucun client ne se poursuit après une opposition, ni avec la seule parole de l'utilisateur, ni avec des suggestions seulement.

Rien n'est capté avant l'annonce. L'utilisateur lit l'annonce depuis le produit, attend les éventuelles oppositions et appuie sur « Personne ne s'est opposé — démarrer l'enregistrement ». Jusque-là, la barre d'enregistrement affiche « En attente de l'annonce » et aucun son ne quitte l'ordinateur. La captation commence à ce moment, et l'enregistrement conserve la version du texte lu et l'heure. « Quelqu'un s'est opposé — arrêter et supprimer » reste sur la barre d'enregistrement pendant toute la réunion et demande deux appuis : cette commande arrête la captation et supprime la transcription de cette réunion et les affirmations qui en sont tirées. Une suppression qui ne peut pas atteindre le service immédiatement est relancée jusqu'à ce qu'elle soit faite, dans les 30 jours que promet l'avis aux participants. « Relire l'annonce » rouvre le même texte pour toute personne qui arrive plus tard, et sa réponse indique « Personne ne s'est opposé — poursuivre l'enregistrement ». La commande simple « Arrêter l'enregistrement » met fin à l'enregistrement et conserve ce qui a été capté.

Si le mode local uniquement est un jour introduit, il sera soumis à trois conditions, qui ne seront jamais assouplies. L'utilisateur le choisit — ce n'est jamais une politique de l'organisation ni un repli automatique. Il est présenté aux autres participants comme une question distincte. Et les affirmations qu'il produit sont rattachées à cet utilisateur, pas à l'organisation. Enregistrer un seul côté d'une conversation dont l'autre partie a refusé capte encore les informations de cette partie par paraphrase ; ces conditions sont ce qui rendrait ce mode défendable. Il exigerait aussi un casque, pour une raison mesurée : sur les haut-parleurs intégrés, le microphone capte la sortie de l'ordinateur à environ −10 à −20 dB, ce qu'un modèle de reconnaissance vocale transcrit sans difficulté, si bien que capter « uniquement le canal local » sur haut-parleurs enregistre encore l'autre partie, de façon intelligible. Il serait annoncé comme une modification selon la notification de modification des conditions d'utilisation (article 15).

L'accord n'est jamais détecté à partir de la parole. L'utilisateur atteste que l'annonce a été faite et que personne ne s'y est opposé ; rien n'est enregistré avant cette attestation, qui en est donc la preuve. Une détection automatique risquerait de fabriquer un accord jamais donné.

8.2 L'opposition d'un participant

Lorsque le déployeur enregistre l'opposition d'un participant formulée après une réunion et désigne les réunions concernées, HighKnow supprime, dans les 30 jours, la transcription de chaque réunion désignée, sauf les passages confirmés comme prononcés par une autre personne, ainsi que les affirmations qui ne reposent que sur elle ; une affirmation également étayée par une autre réunion conserve cet appui. Un interlocuteur distant n'étant pas identifié par sa voix, cette suppression emporte aussi les paroles de l'utilisateur et des autres intervenants non confirmés dans ces réunions, ainsi que leurs résumés. Dès l'enregistrement de l'opposition, rien de ce qui concerne cette personne ne sert à fonder une carte, une réponse ou une affirmation. Le déployeur ne doit pas l'enregistrer à nouveau. HighKnow démontre cette suppression sur un enregistrement réel avant la première diffusion externe de Tenure.

8.3 Un traitement que le déployeur doit prévoir

Lorsque l'attribution est ambiguë et qu'une affirmation liée à une personne a besoin d'un locuteur, l'utilisateur est invité à identifier ce locuteur — y compris, pour un interlocuteur externe, en créant une fiche de contact pour une personne qui n'a aucune relation avec le déployeur ou le Fournisseur. Cette étape est un traitement à part entière : elle a sa place dans le registre des activités de traitement du déployeur, et c'est le moment naturel où se cristallise l'obligation du déployeur au titre de l'article 14 envers cette personne. La position du Fournisseur est que joindre la notice à ce moment est la façon la plus économique de remplir une obligation qu'il est sinon facile d'oublier.

9. Contrôle humain

Le système produit un texte de conseil pour un seul utilisateur, en temps réel, pendant une conversation. Il n'y a aucune prise de décision automatisée produisant des effets juridiques ou des effets similaires importants.

L'utilisateur est censé exercer son jugement sur chaque résultat. L'interface est conçue pour le permettre : les notes de conseil peuvent être écartées, sont limitées en fréquence, portent la citation source qui les a produites et ne sont jamais présentées comme une détermination.

9.1 Le texte généré par IA est signalé

Le texte que le système écrit au moyen d'un modèle est signalé comme généré par IA, de deux façons (article 50(2) du règlement sur l'IA) :

• Visiblement. La mention « Généré par IA » (« AI-generated ») figure à côté du conseil sur une note de conseil, sur les réponses aux questions, sur les résumés de réunion, sur la liste des affirmations et la file de revue, et sur les synthèses de fil, pour tout lecteur, y compris le destinataire d'une page partagée. Sur une note de conseil, elle n'apparaît qu'une fois la note ouverte, jamais sur la ligne courte toujours affichée.
• De façon lisible par machine. Toute réponse ou tout export qui porte un tel texte comprend le champ "aiGenerated": true sur l'objet qui contient le texte. Un déployeur ou un intégrateur qui conserve ou transmet cet objet doit conserver ce champ avec lui.

Les citations sources et les transcriptions ne sont pas signalées comme générées : elles reproduisent ce qui a été dit.

10. Limites connues

Énoncées clairement, car les minimiser dans ce document serait pire que les limites elles-mêmes.

• La précision de la transcription varie selon la langue, l'accent et les conditions audio. Tenure prend en charge les réunions en anglais et en français. Les taux d'erreur de mots ont été mesurés sur des enregistrements de référence lus à voix haute dans chacune ; ces chiffres ne sont pas représentatifs des conditions de réunion, et aucun audio conversationnel ou bruité n'a été mesuré. Les accents non natifs, les changements de langue au cours d'une réunion et un audio de mauvaise qualité dégradent tous la précision.
• Des taux d'erreur non uniformes sont une question d'équité, pas seulement de qualité, dans un système qui enregistre ce à quoi des personnes sont réputées s'être engagées. Les performances par accent n'ont pas été mesurées, et le Fournisseur ne fait donc aucune affirmation à leur sujet. Les performances par langue sont mesurées, et le Fournisseur les publiera dans les notes de version à partir de la première diffusion externe de Tenure.
• L'extraction est imparfaite. Les affirmations enregistrent ce que le système a déterminé avoir été dit. Ce ne sont pas des faits vérifiés, et une affirmation peut être fausse parce que la parole a été mal entendue, l'énoncé mal attribué ou le sens mal compris.
• Les affirmations portent une valeur de confiance et une citation source. Les deux existent pour que l'utilisateur puisse vérifier plutôt que croire. Une affirmation ne doit pas être utilisée sans avoir lu sa citation.
• L'attribution du locuteur peut être erronée, en particulier lorsque plusieurs personnes partagent un même canal audio ou que les conditions acoustiques sont mauvaises. Le mécanisme d'attribution local n'a été vérifié qu'en simulation, sur un signal à deux canaux synthétisé ; aucun enregistrement réel à deux canaux n'a été testé et la marge de décision n'a pas été choisie.
• Un collègue qui participe sans utiliser le système est tout de même enregistré, et peut être mal attribué. Un collègue dans la même pièce atteint le canal du microphone et ressemble à l'utilisateur ; un collègue qui se connecte séparément atteint le canal de sortie du système et ressemble à l'interlocuteur externe, si bien qu'un de ses propos peut être enregistré au compte d'une organisation à laquelle il n'appartient pas. Le système compare les domaines des invités du calendrier aux participants qu'il voit et avertit avant la réunion lorsque c'est possible, et il est spécifié pour attribuer à « inconnu » plutôt que deviner — mais le déployeur doit considérer qu'une réunion avec des collègues non inscrits est une réunion où l'attribution n'est pas fiable.
• Deux collègues dans la même pièce doivent le déclarer. La déclaration désigne un appareil comme captation de la pièce et écarte l'autre microphone ; sans elle, les deux appareils enregistrent les deux personnes et les transcriptions se chevauchent. Le système peut suggérer la déclaration mais ne la fait pas.
• La superposition est visible dans les captures d'écran sur macOS. Aucune API publique ne l'empêche, et le défaut a été confirmé sur du matériel réel plutôt que déduit de la documentation. Le système est spécifié pour détecter la situation à l'exécution et adapter ce qu'il affiche, mais l'utilisateur doit utiliser les commandes fournies lorsqu'il partage son écran.

11. Configuration et instruction du déployeur

Le déployeur configure : les types d'affirmations actifs, la durée de conservation dans la plage publiée, la visibilité par défaut des affirmations et la politique de consentement. La configuration du déployeur constitue son instruction documentée au Fournisseur au sens de l'accord de traitement des données, et est enregistrée avec un historique des modifications.

Les valeurs par défaut sont minimales plutôt que maximales. Lorsqu'un déployeur élargit une valeur par défaut — par exemple une conservation au-delà de 90 jours — une justification est enregistrée au moment du changement.

Les types d'affirmations actifs sont choisis par un propriétaire ou un administrateur sur la page « Ce qui est extrait ». Chaque type est présenté avec une description d'une ligne. Deux types décrivent un aspect d'une personne nommée — le rôle d'une personne dans une affaire et les préférences qu'elle a exprimées — et sont désactivés tant que le déployeur ne les active pas ; tous les autres types sont actifs par défaut. L'extraction ne produit que les types actifs, à partir de la réunion ou du document suivant un changement, et rien de ce qui a déjà été extrait n'est supprimé en désactivant un type. Chaque changement est écrit dans le journal d'audit de l'organisation sous claim_types_change, avec l'auteur et les réglages avant et après ; cette entrée est l'historique de l'instruction.

12. Version et historique des modifications

La destination se construit à travers plusieurs documents et dans le temps ; cet historique fait donc partie du dossier.