IA et secret professionnel : cadre, architecture et usages pour les cabinets

Les professions réglementées ne peuvent pas coller un dossier client dans un outil grand public. Elles n'ont pas non plus intérêt à renoncer à l'IA : leurs concurrents n'y renoncent pas. La question « IA et secret professionnel » n'est pas une question d'interdiction, c'est une question d'architecture et de règles écrites. Entre hébergement maîtrisé, cloisonnement, pseudonymisation et charte d'usage, cet article décrit les règles que nous appliquons avec les cabinets d'avocats, les études notariales et les cabinets d'expertise comptable que nous équipons.

Le risque réel des outils grand public

Le risque n'est pas l'IA : c'est le copier-coller. Un collaborateur pressé colle trois pages d'un dossier dans un outil grand public pour « gagner du temps ». À cet instant, des données couvertes par le secret professionnel sont sorties du cabinet, vers un service dont les conditions d'utilisation, la localisation des serveurs et la politique de conservation n'ont jamais été lues.

Selon l'outil et le paramétrage, ces contenus peuvent être conservés, relus à des fins de modération, parfois utilisés pour améliorer les modèles. Le problème n'est pas qu'un concurrent y accède demain ; c'est que le cabinet a perdu la maîtrise, et qu'il ne peut plus répondre honnêtement à la question d'un client : « où sont mes données ? »

Interdire ne règle rien : l'usage devient officieux, donc invisible. Nous avons vu des cabinets où l'IA était « interdite » et où la moitié des collaborateurs l'utilisaient sur leur téléphone personnel. La seule réponse sérieuse consiste à offrir un cadre et des outils qui rendent le bon geste plus simple que le mauvais.

Le cadre : RGPD, règlement sur l'IA et déontologie

Trois couches s'empilent et se distinguent.

Le RGPD d'abord : ne traiter que ce qui est nécessaire, disposer d'une base légale claire, et signer un contrat de sous-traitance au sens de l'article 28 avec chaque prestataire qui touche aux données. Un outil dont l'éditeur refuse ce contrat n'est pas un outil pour un cabinet.

Le règlement européen sur l'IA ensuite. Pour un cabinet, le point le plus immédiat est la maîtrise de l'IA par le personnel : même allégée par l'omnibus de juillet 2026, la formation aux limites des outils reste la première protection du secret. Vient ensuite la capacité à lister ses usages et à en qualifier le risque. Nous en détaillons le calendrier dans notre article sur les obligations du règlement IA pour les PME.

La déontologie enfin, la couche la plus exigeante : le secret professionnel ne connaît pas d'exception « outil pratique ». C'est pourquoi la question à poser à chaque outil n'est pas « est-il performant ? » mais « le secret y survit-il, et le cabinet peut-il le démontrer ? »

Ces trois couches convergent vers les mêmes exigences pratiques : hébergement maîtrisé, accès cloisonnés, traçabilité, relecture humaine. Une seule architecture peut satisfaire les trois.

Une architecture qui protège les dossiers

Le dispositif que nous installons dans les cabinets tient en cinq principes.

1. Hébergement en Union européenne, chez des prestataires sous contrat de sous-traitance, avec des modèles accessibles par des interfaces professionnelles dont les conditions excluent l'entraînement sur vos données.
2. Cloisonnement par dossier. Un agent IA qui travaille sur le dossier A ne voit jamais le dossier B, et les accès suivent les habilitations existantes du cabinet : un collaborateur ne voit dans l'IA que ce qu'il voit déjà dans la gestion de dossiers.
3. Pseudonymisation avant traitement quand le cas le permet. L'IA raisonne sur « Monsieur X, salarié depuis 2019 », pas sur l'état civil. Les identités sont réinjectées dans le document final, côté cabinet.
4. Journalisation. Chaque traitement est daté, attribué, retrouvable. C'est ce qui permet de répondre à un client ou à un contrôle sans improviser.
5. Aucune donnée client ne sert à entraîner un modèle, jamais. Ce point se vérifie dans le contrat, pas dans la brochure.

Et une règle transverse : la relecture humaine avant tout ce qui sort du cabinet. L'IA prépare, l'humain signe. Nos agents IA sont construits avec ce point de validation obligatoire sur chaque décision sensible.

Les usages admis et les usages exclus

Entre les deux, une zone grise que chaque cabinet doit trancher par écrit : c'est le rôle de la charte d'usage, un document d'une page que chacun signe et qui évite les débats au cas par cas.

La charte d'usage en une page

Une charte utile tient sur une page et répond à 6 questions.

• Quels outils sont autorisés, et lesquels sont interdits, nommément.
• Quelles données peuvent y entrer : rien de nominatif hors des outils cloisonnés, jamais de pièce d'identité, jamais de données de santé hors cadre.
• Qui valide ce qui sort : la règle « l'IA prépare, l'humain signe », écrite en toutes lettres.
• Comment le client est informé, quand c'est nécessaire, et avec quelle formule.
• Que faire en cas d'erreur ou de fuite : qui prévenir, dans quel délai, quelle trace conserver.
• Comment la charte évolue : une relecture par trimestre, parce que les outils changent vite.

Nous fournissons ce modèle dans notre formation IA d'une journée, adaptée au métier du cabinet, avec les cas pratiques sur vos propres types de dossiers.

Première étape

Le point de départ est un état des lieux honnête : qui utilise déjà quoi, officiellement et officieusement. Ce diagnostic prend quelques jours et surprend toujours. Vient ensuite la charte d'usage, puis un premier cas d'usage pilote, cloisonné et mesuré : souvent la synthèse de dossiers ou la préparation d'un type d'acte récurrent.

Les équipes se forment sur leurs propres dossiers plutôt que sur des exemples génériques, puis la mesure commence : heures gagnées par semaine, délais raccourcis, taux de reprise. Au bout d'un trimestre, les chiffres décident de la suite, pas les convictions.

C'est le chemin que nous suivons avec les cabinets que nous équipons, décrit sur notre page consacrée aux professions libérales.