Secret professionnel et IA en ligne : ce qu'il faut savoir

Pourquoi le sujet n'est pas théorique

La question n'est pas « l'outil est-il pratique ? », mais puis-je juridiquement lui transmettre cette information ? Un prompt peut contenir autant de matière confidentielle qu'une pièce jointe : noms, stratégie, faits rares, montants, calendrier procédural ou extrait de consultation.

L'article 66-5 de la loi du 31 décembre 1971 couvre les consultations, correspondances, notes d'entretien et, plus généralement, toutes les pièces du dossier. Le guide CNB d'avril 2026 précise qu'un avocat ne doit jamais communiquer à une IAG les données relatives à ses dossiers ou à ses clients.

La conséquence pratique est simple : ne copiez pas une pièce identifiable dans un service grand public. Commencez par déterminer si le traitement peut rester sur le poste. Si un service distant est envisagé, l'analyse doit porter sur les données, le contrat, les sous-traitants, la conservation et les transferts, pas seulement sur le nom commercial de l'offre.

Ce qui se passe concrètement quand vous collez une pièce

Quand vous envoyez le contenu d'un contrat, d'un PV d'audition ou d'une correspondance client à une IA en ligne, quatre questions doivent obtenir une réponse documentée :

• Destination : où le prompt et les fichiers sont-ils traités, et par quelles entités ?
• Réutilisation : les entrées, sorties ou journaux servent-ils à améliorer le service ou ses modèles ?
• Conservation : quels éléments sont stockés, pendant combien de temps, et comment obtenir leur suppression ?
• Encadrement : quel contrat de sous-traitance, quelles mesures de sécurité et quelles garanties en cas de transfert hors UE ?

Un abonnement « entreprise » ou un réglage désactivant l'entraînement peut répondre à une partie de ces questions. Il ne dispense pas d'examiner les flux réels. La CNIL recommande, pour des données personnelles ou une documentation sensible, de privilégier lorsque cela est possible une solution sur site afin de limiter le risque d'extraction auprès d'un tiers.

Ce que dit le cadre déontologique français

Le guide pratique du CNB, 1re édition d'avril 2026, consacre une partie à la protection du secret professionnel. Pour le cabinet, quatre règles opérationnelles en ressortent :

• Ne jamais renseigner le nom du client, les informations confidentielles, la stratégie du dossier ou un fichier qui les contient dans une IAG.
• Supprimer tout risque de réidentification : remplacer le nom ne suffit pas si les faits, dates ou fonctions désignent encore la personne.
• Vérifier les sorties : l'avocat reste responsable du contenu utilisé dans son travail.
• Encadrer le cabinet : outils autorisés, données interdites, formation et procédure de contrôle doivent être écrits.

Le guide n'interdit donc pas l'IA. Il déplace la question : l'usage est-il maîtrisé, nécessaire, documenté et compatible avec les principes essentiels de la profession ?

Les trois approches possibles

En pratique, les cabinets adoptent l'une de ces stratégies, parfois combinées :

1. IA généraliste uniquement pour le non confidentiel : plans, reformulation de textes publics ou idéation sans élément du dossier. Le prompt doit rester générique.
2. Document réellement dé-identifié : tous les identifiants directs et indirects sont retirés, puis le résultat est contrôlé avant tout envoi. Cette voie reste fragile dès qu'un contexte rare permet la réidentification.
3. IA locale sur le poste de travail : les pièces restent sur l'ordinateur du cabinet, sans transfert vers un moteur distant. C'est l'architecture de Legalix, dont le moteur intégré exécute toutes les analyses localement.

La bonne approche dépend de la tâche et de la sensibilité des données. Pour une pièce couverte par le secret, le traitement local évite d'avoir à confier le contenu à un fournisseur d'IA distant. Il ne dispense pas de sécuriser le poste, les sauvegardes et les exports.

Check-list avant d'utiliser une IA sur un dossier

• La pièce contient-elle des noms, adresses, numéros ou faits identifiants ?
• Sais-je où sont hébergées les données et qui peut y accéder légalement ?
• Le prestataire a-t-il signé un accord de sous-traitance conforme au RGPD ?
• Puis-je supprimer définitivement les données après traitement ?
• Qui au cabinet valide l'output avant qu'il ne soit utilisé ou communiqué ?

Si une seule réponse est floue, la prudence commande de ne pas envoyer la pièce en l'état, ou de passer par une solution locale.