IA et secret professionnel : quelles garanties ?

Les outils d’intelligence artificielle trouvent progressivement leur place dans les cabinets d’avocats. Ils permettent par exemple de retranscrire une dictée, de résumer un document, de rechercher une information ou de préparer un premier projet de texte. Utilisés dans un cadre adapté, ils peuvent constituer un véritable gain de temps.

En revanche, lorsqu’ils sont amenés à traiter des informations couvertes par le secret professionnel, leur utilisation ne doit pas être improvisée. Toutes les solutions d’IA n’offrent pas les mêmes garanties en matière de confidentialité, de sécurité des données ou de conformité au RGPD. Avant d’intégrer un outil à vos processus, plusieurs points méritent d’être vérifiés.

1. Où les données sont-elles hébergées ?

La première question concerne l’emplacement des données. Sont-elles hébergées en France, dans un autre État membre de l’Union européenne ou en dehors de l’Europe ?

Un hébergement situé dans l’Union européenne bénéficie du cadre juridique du RGPD. En revanche, un hébergement dans un pays tiers peut impliquer des obligations supplémentaires et nécessite de vérifier les garanties offertes par le fournisseur.

Au-delà de la simple mention « conforme au RGPD », il est recommandé de demander la localisation précise des centres de données et les conditions de traitement appliquées.

2. Les données servent-elles à entraîner les modèles ?

Selon les solutions utilisées, les documents, dictées ou conversations transmis peuvent être exploités pour améliorer les modèles d’intelligence artificielle.

Les offres destinées au grand public fonctionnent parfois ainsi par défaut, tandis que les offres professionnelles permettent généralement de désactiver cette utilisation.

Avant toute utilisation sur des dossiers sensibles, il est donc essentiel de vérifier les conditions d’utilisation et, lorsque cela est possible, d’obtenir une confirmation écrite du fournisseur.

3. Combien de temps les données sont-elles conservées ?

La durée de conservation constitue un autre critère important.

Une suppression automatique des données après un délai clairement défini limite les risques en cas d’incident de sécurité ou d’évolution de la politique du fournisseur.

Les modalités de conservation devraient être facilement accessibles dans la documentation contractuelle ou technique.

4. Quels sous-traitants interviennent ?

De nombreux éditeurs s’appuient sur des prestataires externes pour l’hébergement, l’infrastructure ou certaines fonctions d’intelligence artificielle.

Il est donc utile de connaître la liste de ces sous-traitants ainsi que les garanties de confidentialité qu’ils appliquent.

Plus la chaîne de traitement est complexe, plus il convient d’évaluer les engagements de chacun des intervenants.

5. Les données quittent-elles l’Union européenne ?

Lorsque des données sont transférées en dehors de l’Union européenne, le fournisseur doit mettre en œuvre des garanties juridiques adaptées, telles que les clauses contractuelles types de la Commission européenne ou tout autre mécanisme prévu par le RGPD.

Pour des informations couvertes par le secret professionnel, ce point mérite une attention particulière.

6. Existe-t-il un contrat de traitement des données (DPA) ?

Le Data Processing Agreement (DPA) précise les engagements du fournisseur concernant le traitement des données personnelles.

Il définit notamment :

les finalités autorisées ;
les mesures de sécurité mises en œuvre ;
les responsabilités de chaque partie ;
la gestion d’une éventuelle violation de données.

La présence d’un DPA clair constitue généralement un indicateur important de maturité pour une solution destinée aux professionnels.

7. Peut-on désactiver l’utilisation des données ?

Certaines plateformes proposent des paramètres permettant d’empêcher l’utilisation des données pour entraîner les modèles ou améliorer le service.

Lorsque cette option existe, il est recommandé de la vérifier et de l’activer pour tous les traitements portant sur des informations sensibles.

8. La validation humaine reste indispensable

Même lorsqu’une solution offre un haut niveau de sécurité, la validation finale d’un document demeure une étape essentielle.

Elle permet de contrôler le contenu, la terminologie, la cohérence juridique, mais également de vérifier que les informations confidentielles ont été traitées conformément aux exigences du cabinet.

Chez Assistance Virtuelle, les outils d’assistance peuvent être utilisés lorsqu’ils répondent aux exigences de sécurité du client et de la mission. Chaque document est ensuite vérifié et validé par une secrétaire spécialisée avant d’être livré.

Conclusion

L’intelligence artificielle peut constituer un outil d’assistance performant lorsqu’elle est utilisée dans un cadre maîtrisé. En revanche, toutes les solutions ne proposent pas les mêmes garanties techniques, contractuelles ou réglementaires.

Avant de confier des informations couvertes par le secret professionnel à un outil d’IA, il est recommandé d’examiner les conditions d’hébergement, les modalités de traitement des données, les engagements contractuels du fournisseur et les possibilités de configuration offertes.

Chez Assistance Virtuelle, chaque mission est réalisée selon les exigences de confidentialité définies avec le client. Lorsque des outils d’assistance sont utilisés, ils le sont uniquement dans un cadre adapté et la validation finale reste systématiquement assurée par une secrétaire spécialisée.

Demandez un essai gratuit sans engagement

Le Conseil National des Barreaux propose des ressources sur les obligations déontologiques de la profession d’avocat.

Vous souhaitez déléguer ce type de tâches ? Notre page secrétariat pour les professions juridiques en détaille les modalités.

Le point de droit qui commande tout le reste

Avant d’examiner les garanties techniques, un principe doit être posé. Le secret professionnel de l’avocat est général, absolu et illimité dans le temps. Il ne connaît pas d’exception liée au caractère anodin d’une information, ni au support utilisé, ni à la bonne foi de l’intermédiaire.

La conséquence est directe : déposer une pièce de dossier dans un outil qui la transmet à un serveur tiers constitue une communication à un tiers, quelle que soit la finalité. Ce n’est pas la nature de l’outil qui importe, mais le fait que la donnée sorte de votre maîtrise. Le Conseil national des barreaux a publié des orientations sur l’usage des outils numériques par la profession.

Ce qu’une réponse acceptable contient, question par question

Point à vérifier	Réponse acceptable	Réponse qui doit faire renoncer
Hébergement	Localisation nommée, dans l’Union européenne	« Cloud sécurisé », sans précision géographique
Entraînement des modèles	Exclusion écrite, opposable au contrat	Option désactivable par défaut activée
Conservation	Durée chiffrée et suppression vérifiable	« Le temps nécessaire au service »
Sous-traitants	Liste nominative accessible et notifiée en cas de changement	Renvoi à une politique générale non spécifique
Transferts hors UE	Aucun, ou garanties documentées	Silence, ou clause générale de conformité
Contrat de traitement	Document signé, article 28 du règlement	Conditions générales d’utilisation seules

Le piège des conditions générales

Une confusion revient souvent et mérite d’être levée. L’article 28 du règlement européen impose que le recours à un sous-traitant soit encadré par un acte juridique définissant l’objet du traitement, sa durée, les catégories de données et les obligations du prestataire. Certains fournisseurs intègrent ces clauses à leurs conditions contractuelles, d’autres proposent un document distinct à signer, et d’autres encore n’en prévoient aucune. Il ne suffit donc pas d’avoir accepté des conditions générales : encore faut-il vérifier qu’elles comportent effectivement ces stipulations. La CNIL met à disposition des modèles de clauses pour ce type de contrat.

En pratique, si un fournisseur ne produit aucune stipulation de ce type, ni dans ses conditions ni dans un document séparé, la prudence commande de ne pas lui confier de données couvertes par le secret professionnel, quelles que soient ses performances techniques.

Ce que l’outil ne dispense jamais de faire

Même dans un cadre irréprochable, la validation humaine reste due. Un texte produit par un outil et signé par vous engage votre responsabilité, et aucun éditeur ne s’engage sur l’exactitude juridique du résultat.

Cette exigence est renforcée par la nature des erreurs produites : elles sont plausibles, grammaticalement correctes et donc difficiles à repérer. Une référence de jurisprudence mal restituée ou une négation omise ne se voient pas à la lecture rapide. C’est ce qui justifie notre positionnement, décrit dans notre article sur l’usage de l’IA par nos secrétaires, où l’outil assiste sans jamais décider seul. Notre secrétariat juridique à distance fonctionne sur ce principe.

Questions fréquentes

Un avocat peut-il utiliser un outil d’IA sur un dossier client ?

Sous réserve que les données restent sous sa maîtrise : hébergement documenté, exclusion contractuelle de l’entraînement des modèles, encadrement de la sous-traitance et durée de conservation définie. À défaut de ces garanties, la transmission s’analyse difficilement autrement que comme une communication à un tiers, ce qui est incompatible avec le secret professionnel.

Les conditions générales suffisent-elles ?

Pas nécessairement. Ce qui compte n’est pas le support mais le contenu : l’article 28 du règlement exige des stipulations précises sur l’objet, la durée, les catégories de données et les obligations du prestataire. Certaines conditions contractuelles les intègrent, beaucoup ne les prévoient pas. La vérification porte donc sur les clauses, pas sur l’intitulé du document.

Anonymiser les pièces règle-t-il la question ?

Rarement de façon complète. Un dossier reste souvent réidentifiable par recoupement de dates, de montants et de circonstances, même sans les noms. L’anonymisation réduit le risque sans le supprimer.