IA et secret professionnel : ce qu'un cabinet a le droit de faire, et ce qui l'expose.
La réponse courte
Un professionnel soumis au secret professionnel ne peut pas transmettre de données client non pseudonymisées à une IA générative grand public : c'est une violation sanctionnable (jusqu'à 1 an d'emprisonnement et 15 000 € d'amende, art. 226-13 du Code pénal). Les usages conformes passent par une IA hébergée en Europe sous contrat, ou exécutée localement, sans réentraînement.
Le secret professionnel s'applique-t-il
à l'usage de l'IA ?
Oui. Le secret est général et absolu : il couvre tout ce que le professionnel apprend dans l'exercice de sa mission, quel que soit l'outil employé. Aucun texte ne prévoit d'exception pour les traitements automatisés.
Avocats
Article 66-5 de la loi du 31 décembre 1971
Consultations, correspondances et pièces du dossier sont couvertes, en conseil comme en défense. Le secret ne connaît ni exception d'urgence ni exception de commodité.
Experts-comptables
Article 21 de l'ordonnance du 19 septembre 1945
Le professionnel et ses collaborateurs sont tenus au secret pour tout ce dont ils ont connaissance dans l'exercice de leur mission. L'obligation vise aussi les salariés du cabinet.
La sanction, commune
Article 226-13 du Code pénal
La révélation d'une information à caractère secret par une personne qui en est dépositaire est punie d'un an d'emprisonnement et de 15 000 € d'amende. S'y ajoute le risque disciplinaire ordinal.
Qu'est-ce qui constitue
une violation avec l'IA ?
La transmission à un tiers non autorisé d'une information identifiable couverte par le secret. Le fait que l'outil soit gratuit, ou utilisé depuis un compte personnel, n'atténue rien.
Ce qui expose le cabinet
- Coller un bilan, une liasse ou des conclusions dans un outil grand public, avec le nom du client.
- Téléverser un dossier complet pour « faire un résumé rapide », depuis un compte personnel.
- Laisser un collaborateur utiliser son propre abonnement sur des pièces du cabinet, sans cadrage écrit.
- Accepter les conditions par défaut d'un service gratuit, qui autorisent l'usage des saisies pour l'entraînement.
Ce qui est admis, sous conditions
- Travailler sur des données pseudonymisées, dont les identifiants directs ont été retirés avant la saisie.
- Utiliser un service hébergé dans l'Union européenne, couvert par un contrat de sous-traitance signé.
- Exécuter le modèle localement, sur une machine du cabinet, sans connexion sortante vers un fournisseur d'IA.
- Conserver une validation humaine sur toute pièce qui sort du cabinet, et un journal de ce que l'agent a fait.
Ce que retient le Conseil national des barreaux
Le guide du Conseil national des barreaux publié le 17 mars 2026 admet l'IA en cabinet sous deux garde-fous cumulatifs : pseudonymiser les données avant toute saisie, et n'employer que des outils hébergés en Europe. La responsabilité de la pièce produite reste entière, elle ne se partage jamais avec le fournisseur du modèle.
Puis-je utiliser ChatGPT
sur un dossier client ?
C'est la formulation réelle de la question, et elle appelle une réponse en trois lignes avant tout développement.
La réponse en trois lignes
Non depuis un compte grand public avec une pièce identifiable : c'est une violation du secret, punie d'un an d'emprisonnement et de 15 000 € d'amende. Oui sur des données pseudonymisées, sur une offre entreprise sous contrat, ou sur un modèle exécuté dans le cabinet.
Le « cloud français »
suffit-il ?
Il réduit fortement le risque, il ne l'annule pas. Le fournisseur reste un sous-traitant au sens de l'article 28 du RGPD, et quatre conditions doivent être réunies pour que l'hébergement tienne juridiquement.
- Condition 1
Un contrat de sous-traitance signé
L'article 28 du RGPD impose un contrat écrit avec le fournisseur, qui fixe l'objet, la durée et les instructions du traitement. Sans ce contrat, l'usage est irrégulier même si le serveur est à Roubaix.
- Condition 2
Une clause de non-réentraînement
Elle doit être écrite dans le contrat, pas seulement annoncée sur une page marketing. Elle se double d'une rétention nulle : rien n'est conservé après la réponse.
- Condition 3
Un chiffrement de bout en bout
Les données sont chiffrées en transit et au repos, avec des clés que le cabinet peut faire tourner. Le journal d'accès appartient au cabinet.
- Condition 4
Une maison mère hors portée extraterritoriale
Un serveur en France détenu par un groupe soumis à une loi d'accès étrangère reste exposé. C'est la nationalité du contrôle qui compte, pas celle du data center.
Le verdict
Un hébergement français bien contracté suffit pour la plupart des process courants d'un cabinet. Il ne suffit pas pour les dossiers dont la seule fuite serait déjà une faute : contentieux en cours, situations patrimoniales nominatives, pièces couvertes par le secret de l'instruction. Là, seule une exécution locale garantit l'étanchéité.
Quels sont les trois niveaux
de protection ?
Un cabinet n'a pas à choisir une fois pour toutes. Le mode se décide process par process, et se réécrit quand le cabinet change de périmètre.
| Mode | Ce que c'est | Ce que ça garantit | Pour quels dossiers |
|---|---|---|---|
| Cloud français | Hébergeur européen, contrat art. 28 RGPD, non-réentraînement contractuel | Risque juridique fortement réduit, mais un tiers reste dans la boucle | Process courants sans pièce nominative sensible |
| Hybride | Process sensibles exécutés en local, process courants en cloud français | Le cabinet arbitre process par process, écrit noir sur blanc au cadrage | Cabinets qui veulent monter en charge sans tout héberger |
| Full local | Modèle exécuté sur une machine du cabinet, aucune connexion sortante | Étanchéité totale : aucune donnée ne quitte le périmètre du cabinet | Dossiers sous secret absolu, contentieux, patrimoine |
Les quatre questions posées
à chaque audit
Puis-je utiliser ChatGPT sur un dossier client ?
Pas depuis un compte grand public avec une pièce identifiable : la transmission à un tiers non autorisé d'une information couverte constitue une violation du secret, punie d'un an d'emprisonnement et de 15 000 € d'amende par l'article 226-13 du Code pénal, à quoi s'ajoute le risque disciplinaire. Trois usages restent conformes : des données pseudonymisées avant la saisie, une offre professionnelle couverte par un contrat de sous-traitance au sens de l'article 28 du RGPD, ou un modèle exécuté sur une machine du cabinet, sans connexion sortante.
Le secret professionnel s'applique-t-il à l'usage de l'IA ?
Oui. Le secret est général et absolu : il couvre tout ce que le professionnel apprend dans l'exercice de sa mission, quel que soit l'outil utilisé. Aucun texte ne prévoit d'exception pour les traitements automatisés. Les fondements sont l'article 66-5 de la loi du 31 décembre 1971 pour les avocats et l'article 21 de l'ordonnance du 19 septembre 1945 pour les experts-comptables. La sanction est prévue à l'article 226-13 du Code pénal.
Qu'est-ce qui constitue une violation avec l'IA ?
La transmission à un tiers non autorisé d'une information identifiable couverte par le secret. Concrètement : coller un dossier client nominatif dans un outil grand public. Le Conseil national des barreaux retient deux garde-fous, la pseudonymisation des données avant saisie et le recours à des outils hébergés en Europe. Le fait que l'outil soit gratuit ou utilisé depuis un compte personnel n'atténue rien.
Le cloud français suffit-il à protéger le secret professionnel ?
Il réduit fortement le risque, il ne l'annule pas. Le fournisseur reste un sous-traitant au sens de l'article 28 du RGPD : il faut un contrat écrit, une clause de non-réentraînement, un chiffrement en transit et au repos, et une maison mère hors de portée des lois d'accès extraterritoriales. Seule une exécution locale garantit qu'aucune donnée ne quitte le cabinet.
Savoir ce que votre cabinet a le droit d'automatiser prend trente minutes
On passe vos process en revue, on repère ceux qui font sortir des données du cabinet aujourd'hui, et on vous dit lequel installer en premier. Sans engagement.
Qui écrit cette page
Kiswen Nikiema
Fondateur de Process Efficace (Kiem'Group)
Ex-OCTO Technology (Accenture), business developer et consultant IA. Il cadre les usages d'IA des cabinets soumis au secret professionnel : ce que le cabinet a le droit d'automatiser, avec quel hébergement, et ce qui doit rester entre des mains humaines.
- Ex-OCTO Technology (Accenture)
- Consultant IA depuis 2022
Page revue chaque trimestre, et à chaque évolution du droit applicable.
Sources et références
- Légifrance, article 226-13 du Code pénal (révélation d'une information à caractère secret)
- Légifrance, article 66-5 de la loi n° 71-1130 du 31 décembre 1971 (secret professionnel de l'avocat)
- Légifrance, ordonnance n° 45-2138 du 19 septembre 1945, article 21 (ordre des experts-comptables)
- Conseil national des barreaux, guide déontologie et intelligence artificielle (17 mars 2026)
- Règlement (UE) 2016/679 (RGPD), article 28 (sous-traitant)
- Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l'intelligence artificielle