Avocats, notaires, experts-comptables : utiliser l'IA sans trahir le secret professionnel

Les professions réglementées ne peuvent pas coller un dossier client dans un outil grand public. Mais elles ne doivent pas non plus renoncer à l'IA : leurs concurrents, eux, ne renoncent pas. La question « IA et secret professionnel » n'est pas une question d'interdiction, c'est une question d'architecture et de règles écrites. Entre hébergement maîtrisé, cloisonnement, pseudonymisation et charte d'usage, voici les règles concrètes que nous appliquons avec les cabinets d'avocats, les études notariales et les cabinets d'expertise comptable que nous équipons.

Le risque réel derrière les outils grand public

Le risque n'est pas l'IA : c'est le copier-coller. Un collaborateur pressé colle trois pages d'un dossier dans un outil grand public pour « gagner du temps ». À cet instant, des données couvertes par le secret professionnel sont sorties du cabinet, vers un service dont les conditions d'utilisation, la localisation des serveurs et la politique de conservation n'ont jamais été lues.

Selon l'outil et le paramétrage, ces contenus peuvent être conservés, relus à des fins de modération, parfois utilisés pour améliorer les modèles. Le problème n'est pas qu'un concurrent y accède demain ; c'est que le cabinet a perdu la maîtrise, et qu'il ne peut plus répondre honnêtement à la question d'un client : « où sont mes données ? »

Interdire ne règle rien : l'usage devient officieux, donc invisible. Nous avons vu des cabinets où l'IA était « interdite » et où la moitié des collaborateurs l'utilisaient sur leur téléphone personnel. La seule réponse sérieuse est d'offrir un cadre et des outils qui rendent le bon geste plus simple que le mauvais.

Le cadre : RGPD, règlement sur l'IA et déontologie

Trois couches s'empilent, et il faut les distinguer pour ne pas tout mélanger.

Le RGPD d'abord : ne traiter que ce qui est nécessaire, disposer d'une base légale claire, et signer un contrat de sous-traitance au sens de l'article 28 avec chaque prestataire qui touche aux données. Un outil dont l'éditeur refuse ce contrat n'est pas un outil pour un cabinet.

Le règlement européen sur l'IA ensuite. Pour un cabinet, l'obligation la plus immédiate est celle de littératie : le personnel qui utilise des systèmes d'IA doit être formé à leurs limites. Vient ensuite la capacité à lister ses usages et à en qualifier le risque. Nous en détaillons le calendrier dans notre article sur les obligations du règlement IA pour les PME.

La déontologie enfin, la couche la plus exigeante : le secret professionnel ne connaît pas d'exception « outil pratique ». C'est pourquoi la question à poser à chaque outil n'est pas « est-il performant ? » mais « puis-je démontrer que le secret y survit ? »

Ces trois couches convergent vers les mêmes exigences pratiques : hébergement maîtrisé, accès cloisonnés, traçabilité, relecture humaine. Une seule architecture peut satisfaire les trois.

Une architecture qui protège les dossiers

Ce que nous installons dans les cabinets tient en cinq principes.

1. Hébergement en Union européenne, chez des prestataires sous contrat de sous-traitance, avec des modèles accessibles par des interfaces professionnelles dont les conditions excluent l'entraînement sur vos données.
2. Cloisonnement par dossier. Un agent IA qui travaille sur le dossier A ne voit jamais le dossier B, et les accès suivent les habilitations existantes du cabinet : un collaborateur ne voit dans l'IA que ce qu'il voit déjà dans la gestion de dossiers.
3. Pseudonymisation avant traitement quand le cas le permet. L'IA raisonne sur « Monsieur X, salarié depuis 2019 », pas sur l'état civil. Les identités sont réinjectées dans le document final, côté cabinet.
4. Journalisation. Chaque traitement est daté, attribué, retrouvable. C'est ce qui permet de répondre à un client ou à un contrôle sans improviser.
5. Aucune donnée client ne sert à entraîner un modèle, jamais. Ce point se vérifie dans le contrat, pas dans la brochure.

Et une règle transverse : la relecture humaine avant tout ce qui sort du cabinet. L'IA prépare, l'humain signe. Nos agents IA sont construits avec ce point de validation obligatoire sur chaque décision sensible.

Les cas d'usage qui passent, ceux qui ne passent pas

Entre les deux, une zone grise que chaque cabinet doit trancher par écrit : c'est le rôle de la charte d'usage, un document d'une page que tout le monde signe et qui évite les débats au cas par cas.

La charte d'usage en une page

Une bonne charte tient sur une page et répond à 6 questions.

• Quels outils sont autorisés, et lesquels sont interdits, nommément.
• Quelles données peuvent y entrer : rien de nominatif hors des outils cloisonnés, jamais de pièce d'identité, jamais de données de santé hors cadre.
• Qui valide ce qui sort : la règle « l'IA prépare, l'humain signe » écrite noir sur blanc.
• Comment on informe le client, quand c'est nécessaire, et avec quelle formule.
• Que faire en cas d'erreur ou de fuite : qui prévenir, dans quel délai, quelle trace conserver.
• Comment la charte évolue : une relecture par trimestre, parce que les outils changent vite.

Nous fournissons ce modèle dans notre formation IA d'une journée, adaptée au métier du cabinet, avec les cas pratiques sur vos propres types de dossiers.

Par où commencer sans prendre de risque

Commencer par un état des lieux honnête : qui utilise déjà quoi, officiellement et officieusement. Ce diagnostic prend quelques jours et surprend toujours. Poser ensuite la charte d'usage, puis équiper un premier cas d'usage pilote, cloisonné et mesuré : souvent la synthèse de dossiers ou la préparation d'un type d'acte récurrent.

Former les équipes sur leurs vrais dossiers plutôt que sur des exemples génériques, puis mesurer : heures gagnées par semaine, délais raccourcis, taux de reprise. Au bout d'un trimestre, les chiffres décident de la suite, pas les convictions.

C'est exactement le chemin que nous suivons avec les cabinets que nous équipons, et que décrit notre page dédiée aux professions libérales.