Registre des usages IA du cabinet d’avocats : le modèle

Le registre des usages IA dit, sur une ligne par usage, quel outil sert à quelle tâche, avec quelles données, sous quel contrôle, pour qui, et qui l’a décidé. C’est la mémoire des décisions prises en application de la charte, et la trace la plus simple des mesures de maîtrise de l’IA que l’article 4 de l’AI Act demande au cabinet.

Aucun texte n’impose un document portant ce nom. Le registre ci-dessous est une méthode proposée par Lucelia, conçue pour un cabinet de quelques personnes à quelques dizaines. Dernière revue : 21 octobre 2026.

Ce modèle de registre tient en douze champs. Ils se remplissent sans jamais citer un dossier, et chacun répond à une question qu’un associé, un client ou une autorité peut poser. Un tableur partagé fait l’affaire.

Les champs Hébergement et Réutilisation reprennent la grille de lecture publiée par le CNB en juin 2025 : lieu d’hébergement des données des clients et du modèle, nationalité de l’entreprise qui détient les serveurs, absence de réutilisation des données pour l’entraînement. Notez la source de l’information, contrat ou déclaration de l’éditeur : la grille rappelle que les conditions générales ne suffisent pas à elles seules.

Voici trois lignes d’un cabinet fictif de quatorze personnes, en droit social et commercial. Elles couvrent les trois statuts possibles : autorisé, autorisé sous conditions, suspendu.

La troisième ligne est la plus utile des trois. Un usage découvert puis suspendu reste inscrit, avec l’alternative proposée : c’est la preuve que le cabinet a vu le risque et l’a traité, au lieu de l’ignorer.

Le registre ne suffit pas seul, mais il documente une large part des mesures que l’article 4 demande. Applicable depuis le 2 février 2025, l’article 4 a été réécrit par le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 : les déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l’IA » par leur personnel et les autres personnes qui utilisent les systèmes pour leur compte.

Le texte ajoute que cette obligation ne contraint pas à garantir un niveau spécifique de maîtrise de l’IA par un individu : c’est une obligation de moyens. Les questions-réponses de la Commission européenne, mises à jour le 20 octobre 2026, précisent qu’aucun certificat n’est nécessaire, qu’un registre interne des formations et autres actions peut être conservé, et que les règles de supervision s’appliquent depuis le 2 août 2026.

Ce ne sont pas les mêmes documents, et l’un ne remplace pas l’autre. Le registre des traitements de l’article 30 du RGPD est obligatoire et décrit des traitements de données personnelles ; le registre des usages IA décrit des pratiques et des décisions.

La CNIL rappelle que la dérogation accordée aux structures de moins de 250 salariés ne dispense pas d’inscrire les traitements non occasionnels, ce qu’est la gestion des dossiers clients. Dès qu’un outil d’IA reçoit des données personnelles, son éditeur entre dans les destinataires de la fiche concernée, sous-traitants compris ; le champ Fiche RGPD du registre des usages pointe vers elle.

Le référent IA tient le registre, et un associé désigné signe les décisions qui y entrent. Le rythme qui suit est une recommandation Lucelia ; le modèle de charte du barreau de Paris, adopté le 21 juillet 2026, suggère pour sa part un réexamen au moins annuel de chaque outil, et immédiat lorsqu’un changement de contrôle de l’éditeur ou de ses conditions d’utilisation peut remettre en cause les garanties retenues.

1. 01 · 01

   Avant le premier accès

   La ligne est créée avant que l’outil ne soit ouvert à quiconque, statut et population compris.

2. 02 · 02

   À chaque arrivée

   Le nouvel arrivant est ajouté à la population d’un usage seulement après sa formation et sa signature de la charte.

3. 03 · 03

   Chaque trimestre

   Trente minutes : nouveaux usages déclarés, incidents, questions reçues, besoins de formation.

4. 04 · 04

   Chaque année

   Revue complète avec la charte : chaque outil est réexaminé, chaque date de revue reportée.

5. 05 · 05

   Sans attendre

   Incident sérieux, texte nouveau, ou rachat de l’éditeur et nouvelles conditions d’utilisation qui fragilisent les garanties.

Rien qui relève du secret professionnel. Le règlement intérieur national range parmi les informations couvertes le nom des clients, l’agenda de l’avocat et toutes les pièces du dossier : un registre qui les contiendrait deviendrait lui-même un document à protéger.

• Aucun nom de client, de partie adverse ou de dossier, même abrégé.
• Aucun extrait de pièce, de requête ou de réponse d’un outil.
• Aucune date de rendez-vous client, puisque l’agenda est couvert.
• Aucun montant ni détail permettant de reconnaître une affaire.
• Aucun nom de la personne à l’origine d’un incident : le rôle suffit, sinon plus personne ne signale.

Les champs reposent sur des textes ouverts et datés : AI Act modifié, questions-réponses de la Commission, fiche registre de la CNIL, règlement intérieur national et publications du CNB. Ce qui relève d’un choix de méthode est signalé comme recommandation.