ChatGPT dans un cabinet : ce que vous avez le droit de faire, et ce qui vous expose.

Depuis un compte grand public et avec des données identifiables, oui : c'est une révélation d'information à caractère secret par une personne qui en est dépositaire, sanctionnée d'un an d'emprisonnement et de 15 000 € d'amende par l'article 226-13 du Code pénal, à quoi s'ajoute le risque disciplinaire devant l'ordre. Le caractère gratuit de l'outil, l'absence de préjudice constaté et la bonne foi du collaborateur ne sont pas des causes d'exonération. En revanche, un dossier correctement pseudonymisé avant la saisie ne révèle rien d'identifiable et sort de ce champ.

L'outil n'est pas conforme ou non conforme en lui-même : c'est le traitement mis en place par le cabinet qui l'est. Quatre éléments doivent être réunis. Un contrat de sous-traitance au sens de l'article 28 du RGPD, signé avec l'éditeur, ce que les offres grand public ne permettent pas. Une inscription au registre des traitements avec une base légale identifiée. Une information des personnes concernées. Et une maîtrise des transferts hors Union européenne, y compris quand le serveur est en Europe mais la maison mère soumise à une loi d'accès étrangère.

Le guide du Conseil national des barreaux du 17 mars 2026 ne l'interdit pas, mais le conditionne à deux garde-fous cumulatifs : pseudonymiser les données avant toute saisie, et n'employer que des outils hébergés en Europe. Le secret de l'article 66-5 de la loi du 31 décembre 1971 couvre les consultations, les correspondances et les pièces du dossier, en conseil comme en défense, sans exception d'urgence. La responsabilité de la pièce produite reste entière : une erreur du modèle est une erreur de l'avocat.

Pas depuis un compte grand public avec la raison sociale et les chiffres du client : l'article 21 de l'ordonnance du 19 septembre 1945 tient le professionnel et ses collaborateurs au secret pour tout ce qu'ils apprennent en mission. L'obligation vise nommément les salariés du cabinet, ce qui rend la charte écrite indispensable. Un usage reste possible sur des données pseudonymisées, ou sur une offre professionnelle sous contrat, ou encore sur un modèle exécuté dans les locaux du cabinet.

Elle change beaucoup de choses et n'en règle pas une. Les conditions professionnelles excluent la réutilisation des saisies pour l'entraînement et ouvrent la voie à un contrat de sous-traitance : c'est le minimum, et il faut le signer, pas seulement le lire. Reste la question de l'extraterritorialité, qu'un hébergement européen n'éteint pas quand la maison mère relève d'une loi d'accès étrangère. Pour les process courants c'est recevable ; pour un contentieux en cours ou un dossier patrimonial nominatif, seule l'exécution locale est étanche.

L'interdiction sèche ne tient pas : elle déplace l'usage vers les téléphones personnels, où il devient invisible et donc ingérable. Ce qui fonctionne est un cadre écrit en trois temps. Une charte qui nomme les outils autorisés et désigne un référent. Un tri des process entre ce qui peut sortir sous contrat, ce qui doit rester local et ce qui ne s'automatise pas. Et un outil interne qui rend le même service, sinon l'équipe contournera la règle pour de bonnes raisons.