Peut-on utiliser l'intelligence artificielle sans violer le secret professionnel ?
Oui, à trois conditions : que les données soient traitées dans l'Union européenne, que l'outil exclue contractuellement l'entraînement de ses modèles sur vos saisies, et que les pièces couvertes par le secret soient anonymisées avant tout envoi. Ce qui expose un cabinet n'est presque jamais la technologie elle-même : c'est l'usage laissé sans consigne.
Quel est le vrai risque pour un cabinet ?
Le scénario qui doit inquiéter un cabinet n'est pas celui d'une intelligence artificielle qui déroberait des données. C'est celui, beaucoup plus banal, d'un collaborateur pressé qui colle un extrait d'assignation dans la version gratuite d'un agent conversationnel grand public pour en obtenir une synthèse. En quelques secondes, des données couvertes par le secret ont quitté le cabinet vers un service qui n'offre aucune garantie : hébergement hors de l'Union européenne, saisies susceptibles d'alimenter l'entraînement des modèles, aucun engagement contractuel.
Le cadre, lui, est connu. Le secret professionnel de l'avocat est général, absolu et illimité dans le temps (article 66-5 de la loi du 31 décembre 1971, article 2 du Règlement intérieur national), et sa violation est pénalement sanctionnée (article 226-13 du code pénal). Il n'exige aucune malveillance pour être méconnu : la négligence suffit.
Face à ce risque, l'interdiction pure et simple est une fausse solution. Elle ne supprime pas l'usage, elle le rend clandestin. C'est le phénomène désormais documenté du « shadow AI » : l'outil interdit au cabinet continue d'être utilisé, depuis un téléphone personnel, sans trace et sans contrôle. Les cabinets qui encadrent tôt gardent la maîtrise ; les autres laissent chaque collaborateur arbitrer seul, sans méthode et sans filet.
Quelles garanties exiger avant de confier une donnée ?
Le tri entre les offres du marché tient à trois questions. Une solution qui ne permet pas d'y répondre clairement ne devrait traiter aucune donnée de dossier.
Où les données sont-elles traitées et stockées ?
Les offres professionnelles sérieuses documentent la localisation de leurs serveurs. Certaines architectures permettent aujourd'hui d'utiliser les grands modèles du marché sur des infrastructures situées en France ou dans l'Union européenne, sans que l'éditeur du modèle ait accès aux données. C'est la configuration que nous retenons pour les outils que nous construisons.
Les saisies servent-elles à entraîner les modèles ?
C'est la ligne de partage essentielle entre les versions grand public gratuites et les offres professionnelles. Les premières se réservent généralement la possibilité d'utiliser les conversations pour améliorer leurs modèles. Les secondes excluent l'entraînement, par défaut ou par paramétrage, et l'écrivent dans leurs conditions contractuelles. Une mention rassurante sur une page d'aide ne vaut pas un engagement contractuel.
Quel engagement contractuel ?
Un accord de traitement des données au sens de l'article 28 du RGPD, des certifications d'hébergement vérifiables (ISO 27001, SOC 2), une durée de rétention définie et une capacité de purge : voilà le socle minimal. Sans ces éléments, le cabinet ne peut pas documenter sa conformité, ni devant son client, ni devant son ordre.
Quelles données peut-on confier, et lesquelles jamais ?
Toutes les données d'un cabinet n'appellent pas le même régime. Trois cercles suffisent à ordonner les usages, du plus libre au plus fermé.
Premier cercle : les données publiques
Jurisprudence publiée, textes officiels, doctrine éditée, questions de méthode, trames et clauses types non nominatives. Sur ce périmètre, un outil professionnel validé peut être utilisé librement, et c'est déjà là que l'intelligence artificielle rend les services les plus immédiats : recherche, synthèse, premier jet, traduction.
Deuxième cercle : les documents de travail internes
Brouillons, notes, structures d'argumentation sans mention identifiante. Admis après une pseudonymisation soignée, en gardant à l'esprit que le nom des parties, une date précise ou un montant singulier suffisent souvent à rendre un dossier reconnaissable.
Troisième cercle : les pièces couvertes par le secret
Pièces de procédure, correspondances, contrats, éléments comptables du client. Ici la règle est l'anonymisation préalable systématique, sans exception et sans appréciation au cas par cas : c'est précisément l'appréciation au cas par cas qui produit les accidents.
Ce que l'IA n'a jamais vu ne peut pas fuiter.
Comment anonymiser une pièce avant de la soumettre ?
La méthode qui a fait ses preuves consiste à substituer aux éléments identifiants des marqueurs neutres : CLIENT_A, SOCIETE_X, VILLE_1, MONTANT_1. Deux exigences la rendent utilisable. Les marqueurs doivent être cohérents dans tout le document et sur tout le jeu de pièces, sinon le texte perd son sens et l'analyse devient fausse. Et la table de correspondance entre les marqueurs et les vrais noms ne doit jamais quitter le cabinet : c'est elle qui porte le secret.
Le traitement terminé, la ré-identification s'effectue localement, sur le poste ou le serveur du cabinet. Sur un document court, le remplacement à la main reste réaliste, sous réserve d'une relecture attentive. Sur un jeu de cinquante pièces, il ne l'est plus : un seul oubli suffit, et c'est là qu'un outil dédié change la nature du risque.
Une limite mérite d'être connue : un PDF scanné n'est qu'une image. Sans reconnaissance de caractères fiable, aucun outil ne peut garantir qu'il a trouvé tous les noms. Le refus de traiter ce type de fichier est un garde-fou, pas une lacune.
Que doit contenir une charte d'usage de l'IA ?
Les garanties techniques ne valent que si les pratiques suivent. C'est le rôle d'une charte interne, opposable à l'ensemble du cabinet, associés compris. Pour être opérationnelle, elle doit régler au minimum six points.
- les outils approuvés, et la proscription explicite des versions grand public gratuites pour toute donnée du cabinet ;
- les données autorisées et les données interdites, avec une règle simple en cas de doute : l'abstention et la saisine d'un référent ;
- l'anonymisation préalable et ses modalités concrètes, y compris qui détient la table de correspondance ;
- la vérification humaine systématique de toute sortie avant diffusion, avec les points à recouper en priorité : références jurisprudentielles, rédaction en vigueur des textes cités, chiffres, dates et noms propres ;
- la traçabilité interne des productions majeures reposant sur une intelligence artificielle ;
- le signalement des incidents et une revue annuelle, que l'entrée en application progressive du règlement européen sur l'intelligence artificielle rend d'autant plus nécessaire.
Pour en avoir rédigé et déployé en cabinet, nous constatons qu'une charte d'une douzaine d'articles, adoptée avec une session de formation d'une heure, change les pratiques en quelques semaines. La règle cardinale reste la vérification humaine : l'intelligence artificielle produit un premier jet, jamais un travail fini. Le raisonnement juridique, la responsabilité et la signature demeurent ceux de l'avocat.
Le secret professionnel est un cahier des charges
Le secret professionnel n'est pas un frein à la modernisation d'un cabinet, il en est le cahier des charges. Correctement pris en compte, il oriente les choix techniques (hébergement européen, exclusion de l'entraînement, anonymisation), il structure les pratiques (charte, formation, vérification), et il devient un argument vis-à-vis de clients de plus en plus attentifs au traitement de leurs données.
Les cabinets qui font ce travail d'encadrement constatent des gains de temps réels sur les tâches répétitives, avec des équipes formées et des clients rassurés. Ceux qui s'en dispensent ne renoncent pas à l'intelligence artificielle : ils renoncent seulement à savoir ce qui sort du cabinet.
Questions fréquentes.
Peut-on utiliser ChatGPT dans un cabinet d'avocats ?
Sur des données publiques, oui : jurisprudence publiée, textes officiels, questions de méthode. Sur des pièces de dossier, non, sauf offre professionnelle excluant l'entraînement, hébergement documenté et anonymisation préalable. La version gratuite grand public ne remplit aucune de ces trois conditions.
Faut-il anonymiser un document avant de l'envoyer à une intelligence artificielle ?
Dès que le document est couvert par le secret professionnel, oui, systématiquement. Les éléments identifiants sont remplacés par des marqueurs cohérents sur tout le jeu de pièces, et la table de correspondance reste au cabinet. La ré-identification se fait localement, après le traitement.
L'hébergement en France suffit-il à garantir le secret professionnel ?
Non. L'hébergement règle la question du lieu de traitement, pas celle de l'usage des données. Il faut aussi l'exclusion contractuelle de l'entraînement des modèles, une durée de rétention définie, et une charte interne qui dise ce que chacun peut soumettre.
Une charte d'usage de l'intelligence artificielle est-elle obligatoire ?
Aucun texte ne l'impose en tant que telle. Elle est en pratique le seul moyen de documenter que le cabinet a encadré l'usage, ce que le RGPD et le règlement européen sur l'intelligence artificielle supposent tous deux, et de rendre les consignes opposables aux associés comme aux collaborateurs.