Secret professionnel IA : cas d’usage pour l’avocat

Le sujet du secret professionnel IA se décide avant l’ouverture de l’outil. Il faut relier chaque usage à une donnée, à des garanties vérifiables et à une validation humaine clairement attribuée.

Pour l’avocat, l’article 66-5 de la loi n° 71-1130 couvre notamment les consultations, correspondances, notes et pièces. L’article 2.1 du RIN rappelle que le secret est d’ordre public, général, absolu et illimité.

Comment la grille secret professionnel IA classe-t-elle un usage ?

Elle le place dans une des trois catégories : autoriser, encadrer ou refuser. La décision dépend de la donnée, de l’environnement, de la finalité et du contrôle prévu.

Un même outil peut être autorisé pour une recherche publique et refusé pour une correspondance confidentielle. La formation sur la gouvernance IA, la déontologie et l’AI Act aide à formaliser ces décisions.

La checklist IA dédiée au secret professionnel permet de consigner ces contrôles avant chaque usage.

Que couvre exactement le secret professionnel de l’avocat ?

Il couvre les consultations, correspondances, notes et pièces, conformément à l’article 66-5 de la loi n° 71-1130. L’article 2.1 du RIN précise que le secret est d’ordre public, général, absolu et illimité.

Cette protection concerne aussi les faits transmis, la stratégie, les échanges et les informations permettant de reconstituer une affaire.

L’article 2.3 du RIN demande à l’avocat de faire respecter le secret par ses collaborateurs. Une règle d’usage doit donc être comprise et appliquée par toutes les personnes autorisées à utiliser l’outil.

Quelles garanties faut-il vérifier dans l’outil ?

Vérifiez les accès, la conservation, les conditions contractuelles, les transferts, les sous-traitants et l’usage éventuel des données pour l’amélioration du service.

La CNIL distingue les services grand public, les solutions cloud contractuelles et les solutions sur site. Le choix dépend des données et du cas d’usage. Les engagements contractuels et les transferts doivent être vérifiés.

L’ANSSI recommande de prévoir des contrôles d’accès, le besoin d’en connaître, des filtres et une journalisation. Une interface professionnelle ne suffit pas à établir qu’un usage est adapté.

Quels usages peuvent être autorisés ?

Les usages autorisés sont limités aux contenus publics ou aux tâches qui ne révèlent aucun élément de dossier.

Illustration : vous recherchez une décision publiée ou un texte accessible au public. L’IA peut organiser les résultats ou suggérer des axes de lecture. Vous vérifiez ensuite le texte, la date et la portée de la source.

Illustration : vous corrigez un modèle de courrier qui ne contient ni nom, ni fait, ni élément permettant de relier le texte à une affaire. L’avocat conserve la maîtrise du fond et du destinataire.

Quels usages doivent être encadrés ?

Les usages encadrés demandent une qualification précise de la donnée, de l’environnement et de la responsabilité.

Illustration : vous construisez une trame de consultation à partir de faits fictifs. Le résultat sert à tester une structure de raisonnement, pas à produire une consultation pour un client.

Illustration : vous comparez des clauses dépersonnalisées. Avant la saisie, vous vérifiez que la dépersonnalisation empêche réellement de rattacher les clauses à une personne ou à une affaire. La CNIL rappelle que la pseudonymisation reste liée aux données personnelles.

Le guide 2026 du CNB présente la minimisation, la protection, la synthèse, la rédaction et la correction comme des points de vigilance et de méthode. Il ne constitue pas une autorisation générale fondée sur la pseudonymisation.

Une synthèse de pièces peut-elle être automatisée ?

Seulement dans une solution spécifiquement conçue pour que les informations ne soient pas communiquées à un tiers non autorisé, après une analyse déontologique, juridique et de sécurité explicite. À défaut, il faut refuser la transmission.

Il faut connaître précisément l’architecture, les accès, la conservation, les transferts et les personnes susceptibles d’intervenir. La règle interne doit autoriser ce traitement précis, et non un outil de manière générale.

Illustration : une chronologie est préparée dans une solution répondant à ces conditions. L’avocat vérifie intégralement les dates, les événements, les omissions et la formulation. Si les garanties ne sont pas établies, les pièces couvertes par le secret ne sont pas transmises.

Quels usages faut-il refuser ?

Refusez la transmission d’un dossier complet, de pièces, d’une stratégie ou de confidences à un service grand public. Retirer quelques noms ne suffit pas à rendre l’usage acceptable.

Le refus concerne aussi les situations dans lesquelles l’outil, ses garanties ou la personne chargée de la validation ne sont pas identifiés. Une réponse urgente ne justifie pas de contourner la règle définie pour les données confidentielles.

Le refus doit préciser la donnée concernée, l’outil interdit, le motif et la solution de remplacement.

Qui valide la sortie produite par l’IA ?

L’avocat valide intégralement la sortie avant de l’utiliser, de la transmettre ou de l’intégrer à un travail. La validation porte sur les faits, le raisonnement, les sources, les omissions, le ton et l’adéquation au dossier.

Une synthèse peut omettre un élément important. Une comparaison peut présenter comme équivalentes deux clauses qui ne le sont pas. Le contrôle doit donc revenir aux pièces et aux sources autorisées.

La validation est attribuée à une personne identifiée. L’IA ne devient ni l’auteur de l’analyse ni le responsable de la relation avec le client.

Comment tester la confidentialité avant un prompt ?

Ne transmettez pas un prompt avant d’avoir évalué ce qu’il permet de reconnaître. Pour la méthode concrète, consultez notre article pour tester la réidentification avant un prompt.

Même si une donnée semble dépersonnalisée, vous devez décider qui peut l’utiliser, dans quel environnement, avec quelle conservation et sous quelle responsabilité. Le test de réidentification nourrit la décision ; il ne la remplace pas.

Une donnée pseudonymisée reste une donnée personnelle et doit être traitée comme telle dans votre grille.

Quel lien avec la maîtrise de l’IA ?

L’article 4 de l’AI Act s’applique depuis le 2 février 2025. Le règlement UE 2026/1744 a modifié cette obligation en obligation de moyens de maîtrise de l’IA.

Pour votre structure, formalisez les usages autorisés, les outils qualifiés, les données exclues, la personne qui valide et la trace conservée. La page consacrée à l’AI Act et à la maîtrise de l’IA précise le cadre à relire selon son évolution.

Quelles sources primaires relire avant chaque décision ?

Relisez les sources selon la nature du dossier, la donnée transmise et l’environnement envisagé.

• Article 66-5 de la loi n° 71-1130 ;
• RIN, articles 2.1 et 2.3 ;
• CNIL : anonymisation et pseudonymisation ;
• CNIL : questions-réponses sur l’IA générative ;
• CNIL : recommandations sur le RGPD et les systèmes d’IA ;
• ANSSI : recommandations de sécurité pour l’IA générative ;
• CNB : guide 2026 sur la déontologie et l’IA ;
• Article 4 de l’AI Act modifié.

Quelle checklist appliquer avant chaque usage ?

Vérifiez chaque point avant la saisie et avant la diffusion du résultat.

• La tâche est classée : autoriser, encadrer ou refuser.
• La donnée nécessaire est décrite.
• Le dossier complet, les pièces, la stratégie et les confidences sont exclus d’un service grand public.
• L’anonymisation est distinguée de la pseudonymisation.
• L’outil réellement utilisé est identifié.
• Les accès, la conservation, les transferts et les sous-traitants sont vérifiés.
• Une solution spécifiquement conçue est retenue pour les pièces couvertes par le secret, après analyses nécessaires.
• La personne chargée de la validation est identifiée.
• L’avocat relit intégralement la sortie.
• La décision et ses limites sont consignées.