IA générative et secret professionnel : évaluer un outil avant de l'utiliser

Le Conseil national des barreaux a adopté, le 17 mars 2026, un guide pratique sur la déontologie et l'intelligence artificielle. Le texte ne prohibe pas l'usage de l'IA générative, il l'encadre : il recommande de ne jamais transmettre à une IA générative des informations couvertes par le secret professionnel, de vérifier où sont hébergées les données et sous quelle juridiction, et de recueillir le consentement du client lorsque ses données servent à entraîner un système d'IA interne au cabinet. En amont, le CNB et la CNIL ont signé le 17 juillet 2025 une convention de partenariat de trois ans, dans laquelle ils rappellent que « l'essor de l'IA exige des avocats qu'ils veillent à la maîtrise des algorithmes utilisés, à la transparence des traitements automatisés et à la prévention des biais ou risques d'atteinte au secret professionnel ».

Ces textes ne parlent pas d'informatique dans l'abstrait. Ils décrivent des gestes de votre quotidien. Voici comment traduire cette prudence en une méthode concrète : évaluer un outil d'IA avant de le laisser entrer au cabinet.

Quand une part aussi large de la profession traite déjà des dossiers avec ces outils, la question n'est plus « faut-il s'y mettre », mais « qui contrôle où partent les données de vos clients ».

Ce que « utiliser une IA » veut dire, concrètement

Derrière le mot « IA », il y a des gestes très ordinaires, et c'est là que le secret se joue.

Vous collez le résumé d'une pièce dans un assistant pour reformuler un paragraphe. Vous dictez une note d'audience à un outil de transcription. Vous demandez à un service en ligne de résumer un jeu de conclusions, ou de retrouver un argument dans un long dossier. Vous testez un module d'IA intégré à votre logiciel de gestion. Dans chacun de ces cas, une question simple se pose : qu'est-ce qui part, et où ?

En pratique, dans un cabinet, cela veut dire trois choses. La donnée que vous saisissez quitte votre poste et voyage vers un serveur, qui peut être en France, en Europe, ou ailleurs. Ce serveur appartient à une entreprise soumise à un droit qui n'est pas toujours le nôtre. Et selon le service, ce que vous saisissez peut être conservé, relu, ou réutilisé pour améliorer le modèle.

Les trois risques que le CNB et la CNIL nomment

Le guide du CNB et la convention CNB-CNIL désignent des risques précis. Je les traduis côté technique, sans les dramatiser.

• La divulgation du secret. Le CNB recommande de ne jamais soumettre à une IA générative des informations couvertes par le secret professionnel. Un nom de client, une pièce, une stratégie contentieuse saisis dans un service grand public sortent du périmètre que vous maîtrisez.
• L'hébergement et le transfert. Le guide invite à vérifier où sont stockées les données et la nationalité de l'hébergeur, en tenant à distance les entités soumises à des lois à portée extraterritoriale. Une donnée hébergée hors de l'Union ne relève pas des mêmes garanties.
• La réutilisation pour l'entraînement. Certains services réutilisent les saisies pour améliorer leurs modèles. Le CNB indique que le consentement du client doit être recueilli lorsque ses données servent à entraîner un système d'IA interne au cabinet. Beaucoup d'outils grand public ne permettent pas de le désactiver de manière claire.

Je ne vous dirai pas « n'utilisez jamais d'IA ». Ce serait une affirmation absolue, et le CNB lui-même retient un usage « ponctuel et encadré ». La bonne posture n'est pas l'interdiction, c'est l'évaluation avant l'usage.

Comment évaluer un outil d'IA avant de l'utiliser

C'est le cœur de cet article, et c'est une méthode, pas une opinion. Avant de laisser un outil traiter la moindre donnée de cabinet, six questions se posent, dans cet ordre. Elles n'exigent aucune compétence technique : ce sont des questions à poser à l'éditeur, et à consigner par écrit.

D'abord, quelle donnée part vraiment. Est-ce le texte intégral d'une pièce, un extrait, ou seulement des données déjà pseudonymisées ? Le geste le plus protecteur est souvent en amont de l'outil : retirer ce qui identifie avant d'envoyer.

Ensuite, où c'est hébergé. France, Union européenne, ou hors UE ? Sous quel droit ? Cette réponse, l'éditeur doit pouvoir la donner par écrit.

Puis, si c'est réutilisé pour l'entraînement. Le service apprend-il de vos saisies ? Peut-on le désactiver, et le prouver ?

Ensuite, ce qui est journalisé. Qui, dans votre cabinet, a envoyé quoi, et quand ? Sans journal, vous ne pourrez pas reconstituer ce qui est sorti si la question se pose.

Puis, le contrat. Existe-t-il un contrat ou un accord de traitement des données (DPA) qui place l'éditeur en sous-traitant, avec des engagements de confidentialité et de sécurité écrits ?

Enfin, ce qu'on peut désactiver ou cloisonner. Peut-on couper la conservation des historiques, restreindre l'outil à un environnement dédié, empêcher qu'un collaborateur l'utilise sans cadre ?

La grille d'évaluation d'un outil d'IA

Voici la grille que je remplis avec un cabinet avant d'autoriser un outil. Une ligne par outil envisagé, une colonne par question. Tant qu'une case reste vide ou rouge, l'outil ne touche pas de donnée de dossier.

Cette grille ne remplace pas votre appréciation. Elle la prépare : elle transforme « cet outil est-il sûr ? », question à laquelle personne ne répond honnêtement par oui, en une liste de faits que l'éditeur confirme ou non.

La frontière que je tiens : les moyens, pas la déontologie

C'est la limite la plus importante de cet article, et elle vous protège. Je sécurise les outils et les flux. Je ne décide pas à votre place de ce que couvre le secret.

Concrètement, je paramètre les outils (désactiver la conservation, restreindre les accès), je cloisonne les usages dans un environnement maîtrisé, je mets en place la journalisation, et je vous aide à choisir des services dont l'hébergement et le contrat tiennent la route. Apprécier si telle donnée relève du secret professionnel dans tel dossier, décider si un outil est déontologiquement admissible, recueillir le consentement d'un client, répondre de la responsabilité professionnelle attachée à votre travail : cela reste à vous, avec votre délégué à la protection des données le cas échéant. Le CNB le rappelle, le recours à une IA ne transfère aucune part de votre responsabilité vers l'éditeur.

Le geste le plus protecteur est souvent en amont

D'expérience, la mesure la plus efficace ne coûte rien en licence : elle consiste à envoyer moins. Retirer les noms, les identifiants et les pièces avant de solliciter un outil, pseudonymiser ce qui peut l'être, réserver l'IA aux tâches qui ne nécessitent pas de données de dossier. Le CNB va dans ce sens quand il insiste sur la vigilance au moment de la saisie.

Vient ensuite le cadre : décider en cabinet quels outils sont autorisés, pour quels usages, et le mettre par écrit. Un collaborateur ou un stagiaire qui ne sait pas ce qui est permis choisira le service le plus pratique, rarement le plus prudent. Une courte politique d'usage évite cela mieux qu'une interdiction générale que personne ne respecte.

Sur la question de fond, réduire durablement l'exposition passe aussi par la maîtrise de l'endroit où vivent vos données. Un outil hébergé en France, sous votre contrôle, est une étape possible ensuite. C'est une destination, pas un préalable, et surtout pas la première chose à traiter face à un usage déjà en cours.

Par où commencer

Je ne vends pas la promesse qu'un outil d'IA deviendrait « sans risque » : personne ne peut la tenir. Ce qui est utile et vérifiable, c'est de commencer par deux points précis. D'abord, recenser les outils d'IA déjà utilisés au cabinet, y compris les modules intégrés à vos logiciels, et passer chacun dans la grille ci-dessus. Ensuite, écrire une courte politique d'usage : quels outils, pour quels usages, avec quel geste de pseudonymisation avant d'envoyer. Chacun se mène en quelques heures, et vous en sortez avec une décision, pas une inquiétude vague.

Si vous voulez en discuter, écrivez-moi quel outil vous utilisez déjà ou envisagez, et je vous dis par quelles cases de la grille il serait raisonnable de commencer.