How to migrate from the OpenAI Whisper API to a GDPR-compliant alternative
Switching models within OpenAI keeps the same vendor and the same contract. Switching vendors requires a new data processing agreement (DPA), a verified hosting location, and confirmed retention periods.
Start by listing everything that passes through the API: file formats, output formats, timestamps, and who receives the transcripts. Then check where processing actually happens, how long data is kept, and whether backups and logs are included. Hosting in Europe is not enough on its own.
Migrate in small batches and keep a rollback procedure to the old service throughout the testing period.
Recorded interviews and consultations often contain sensitive personal data. Sending them to an API means handing them to an external vendor.
If you use OpenAI's Whisper API, you need to know where your audio is processed and under what legal framework. This article shows how to move to a GDPR-compliant solution without interrupting your operations.
Qu'est-ce qui change vraiment quand on quitte l'API Whisper ?
Quitter Whisper peut vouloir dire changer de fournisseur ou choisir un autre modèle chez OpenAI. Passer d'un modèle OpenAI à l'autre garde le même prestataire et le même contrat.
Changer de fournisseur, c'est autre chose : il faut un nouveau contrat de sous-traitance, un hébergement et des durées de conservation à vérifier. Avant de comparer les services, relevez ce qui transite par l'API :
les formats de fichiers acceptés, comme mp3, wav ou m4a ; la taille maximale par requête, 25 Mio pour whisper-1 ; les formats de sortie, comme srt, vtt ou verbose_json ; les horodatages de début et de fin de chaque segment ; les étiquettes d'intervenants, disponibles avec diarized_json seulement ; les systèmes qui reçoivent les transcriptions et les résumés.
API européenne ou Whisper auto-hébergé : laquelle vous faut-il ?
OVHcloud AI Endpoints et Scaleway Generative APIs : endpoints compatibles
Chez OVHcloud, l'endpoint de transcription suit le format de l'API OpenAI : il reçoit l'audio et le nom du modèle dans une même requête. Scaleway propose une API de ce type avec whisper-large-v3.
Votre code change donc peu : l'adresse et la clé suffisent. Vérifiez avant de basculer la région d'exécution et la conservation des données. Sur OVHcloud, une requête accepte jusqu'à 2 048 Mo d'audio.
Speechmatics : traitement en UE et déploiement sur site
Chez Speechmatics, le lieu de traitement dépend du service et de la configuration retenus. Un déploiement sur site place le traitement dans votre infrastructure, mais le lieu réel doit être confirmé par écrit pour votre configuration.
En mode fichier, l'audio, le texte et les paramètres du travail sont gardés sept jours, puis supprimés automatiquement. Si vous ne voulez pas attendre, l'API permet de supprimer plus tôt.
Whisper auto-hébergé : maîtrise totale, charge d'exploitation
Avec un Whisper auto-hébergé, vous choisissez l'endroit où l'audio est traité. Le modèle whisper-large-v3 demande environ 4 Go de mémoire vidéo en FP16 ou BF16, donc une carte graphique dédiée.
En contrepartie, votre équipe gère le serveur, les mises à jour, la sécurité et la disponibilité. Sans ces compétences, une API européenne est souvent plus simple à tenir.
Vook.ai : transcription, exploitation par LLM et hébergement européen
Le bon choix dépend du volume, des compétences et de la confidentialité exigée. Le tableau ci-dessous compare les trois options.
API européenne : facturation à la minute, code proche d'OpenAI, lieu de traitement à confirmer.
Whisper auto-hébergé : intéressant à fort volume, serveur et sécurité à votre charge, vous choisissez le lieu de traitement.
Vook.ai : transcription et chat IA, aucun serveur à gérer, chiffrement au repos et hébergement européen.
Hébergement en Europe et transfert hors UE : ne pas confondre
Le lieu de stockage des données ne dit pas si elles sortent de l'Union européenne. Un transfert hors de l'Union européenne est possible si le cadre juridique sur les transferts de données garantit un niveau de protection suffisant et approprié.
Le DPA, ou contrat de sous-traitance, définit ce que le prestataire fait avec vos données. Les clauses contractuelles types, elles, encadrent un transfert hors UE. Un contrat ne remplace pas l'autre : demandez les deux.
Pour l'API OpenAI, la résidence européenne n'est pas automatique. Elle vaut seulement pour certains services éligibles. Il faut créer un nouveau projet, région Europe, car elle ne s'ajoute pas après coup.
Un serveur en Europe ne suffit pas : vérifiez aussi le lieu de traitement, les sous-traitants et les accès à distance.
Ce qu'un hébergement européen ne garantit pas
Un hébergement en Europe ne règle pas tout. Les journaux et les données d'usage gardent leur propre durée, et c'est elle qui retarde l'effacement complet.
Chez OpenAI, certaines entrées et sorties peuvent être gardées jusqu'à 30 jours, sauf obligation légale. Chez Scaleway, la conservation zéro couvre le contenu, mais des métadonnées anonymisées peuvent rester six mois. Un effacement immédiat n'est donc pas garanti.
Demandez par écrit la durée de conservation de chaque type de donnée, la procédure d'effacement et le délai de réponse. Elle doit couvrir les audios, les transcriptions, les copies dans les journaux et les sauvegardes.
Le RGPD laisse un mois pour répondre à une demande d'effacement, prolongeable de deux mois si la demande est complexe, avec information dans le premier mois. Exigez une preuve écrite de suppression.
Quels points vérifier dans le contrat avant de basculer ?
Le DPA (accord de sous-traitance) est le contrat qui encadre le traitement de vos audios par le fournisseur. Il doit préciser l'objet, la durée, la nature et le but du traitement.
Les clauses contractuelles types, elles, ne le remplacent pas : elles ne couvrent que le transfert hors UE. Sans DPA signé, la sous-traitance n'est pas encadrée, même si les données restent en Europe.
Pour chaque prestataire, notez ces points, puis gardez ses réponses écrites dans le dossier de conformité :
La durée de conservation de chaque type de donnée. Chez OpenAI, le DPA prévoit une conservation pouvant aller jusqu'à 30 jours.
L'engagement écrit de non-entraînement sur vos audios et vos transcriptions.
La procédure de suppression, avec la preuve qu'elle a bien été faite.
Le délai dans lequel le fournisseur vous signale une violation de données.
Comment organiser la bascule sans perdre vos transcriptions ?
Listez chaque application qui envoie de l'audio, les personnes enregistrées et les données sensibles possibles. Notez aussi les formats, horodatages et étiquettes d'intervenants que lisent vos traitements en aval.
Chez OpenAI, la requête envoie le fichier à /v1/audio/transcriptions avec un champ model. Chez OVHcloud, la requête multipart porte model=whisper-large-v3 et le fichier, avec une clé Bearer. Ensuite, changez l'adresse de base et la clé dans votre code.
Basculez par étapes. Envoyez d'abord un petit lot au nouveau service, vérifiez les sorties dans votre application, puis augmentez le volume. Gardez la procédure de retour vers l'ancien service pendant toute la période de test.
Inventoriez l'historique : audios et textes présents dans vos stockages, journaux et sauvegardes. Pour finir, faites transcrire un jeu de référence par le nouveau service et comparez-le à une version corrigée à la main.
Pour quitter Whisper, commencez par relever ce qui transite par l'API. Un hébergement en Europe ne suffit pas : il faut aussi un DPA et une preuve écrite de suppression.
Votre prochain pas : listez les applications qui envoient de l'audio, puis demandez par écrit au nouveau prestataire la durée de conservation de chaque donnée.
FAQ
Switching to a different OpenAI model keeps the same provider and the same contract, so nothing changes from a compliance standpoint. Changing provider, however, requires a new data processing agreement (DPA), and you must verify the hosting location and data retention periods.
Before comparing services, list everything that flows through the API: file formats, maximum request size, output formats, timestamps, speaker labels, and the systems that receive the transcriptions.
No. A server located in Europe does not prevent data from being transferred outside the EU, and it does not cover sub-processors or remote access. You must also check the actual processing location, the sub-contractors involved, and whether a signed DPA is in place.
Logs and usage data have their own retention periods that can delay complete erasure. Always ask the provider in writing for the retention duration of each data type — audio, transcripts, log copies, and backups.
You need both a signed DPA (data processing agreement) and, if data leaves the EU, standard contractual clauses. One does not replace the other: the DPA governs the processing itself, while standard contractual clauses only cover cross-border transfers.
From the provider, also obtain a written commitment that your audio and transcripts will not be used for model training, the deletion procedure with proof of completion, and the timeframe for breach notification.
Start by listing every application that sends audio, the people being recorded, and the formats, timestamps, and speaker labels used downstream. Then migrate in small batches: send a small set of files to the new service first, verify the outputs in your application, and only increase the volume once results are satisfactory.
Keep a rollback procedure to the old service throughout the testing period. Finally, transcribe a reference set with the new service and compare it against a manually corrected version to validate accuracy.
About the author
