Shadow AI en cabinet d’avocats : repérer, trier, encadrer

Le shadow AI en cabinet d’avocats désigne les outils d’IA générative utilisés sans que le cabinet les ait choisis ni encadrés : assistant sur compte personnel, traducteur en ligne, application de transcription. Il naît d’un besoin réel, traduire une pièce ou résumer des conclusions avant l’audience, rarement d’une volonté de contourner la règle.

Ces usages échappent aussi aux statistiques. L’Insee mesure en 2025 que 18 % des entreprises de 10 personnes et plus utilisent au moins une technologie d’IA, mais précise que les réponses n’incluent en principe pas les utilisations que les salariés peuvent en faire ponctuellement et à titre individuel. C’est exactement la part que le cabinet ne voit pas.

Pour un avocat, le sujet n’est pas d’abord technologique. Le Règlement intérieur national impose de faire respecter le secret par les membres du personnel du cabinet et par toute personne qui coopère avec l’avocat, et précise qu’il répond des violations ainsi commises. Un usage invisible engage donc l’avocat responsable, même s’il ne l’a pas vu.

Cette page réunit la grille des signaux, la matrice de tri, les limites de l’observation et un plan sur 30 jours, en séparant obligation, recommandation et point à vérifier. Dernière revue : 21 octobre 2026.

Toute information couverte par le secret, bien au-delà du nom du client. L’article 66-5 de la loi du 31 décembre 1971 couvre, en toute matière, les consultations, les correspondances avec le client et entre avocats, les notes d’entretien et toutes les pièces du dossier. L’article 2 du RIN ajoute que le secret est général, absolu et illimité dans le temps.

Le guide « La déontologie et l’intelligence artificielle », adopté par le Conseil national des barreaux en mars 2026, en tire une liste concrète. L’avocat ne renseigne pas dans une requête le nom de ses clients, les informations confidentielles qu’ils lui ont confiées, la stratégie du dossier, ni un fichier contenant tout ou partie du dossier. Le guide recommande aussi d’utiliser avec la plus grande prudence les outils gratuits qui ne garantissent pas la protection du secret.

L’ANSSI rejoint ce constat sous l’angle de la sécurité : l’envoi de données sensibles à des outils grand public sur Internet est à proscrire, et elle cite en exemple ChatGPT, Gemini ou DeepL pour la traduction. Traduire une pièce en ligne n’est donc pas un détail bureautique.

Les signaux fiables se lisent dans le travail rendu, pas dans une surveillance des postes. La réponse se gradue selon la donnée exposée, pas selon la personne.

Aucun de ces signaux ne prouve une faute. Ils ouvrent une conversation : quelle tâche, quel outil, quelle donnée. Sanctionner avant d’avoir publié et expliqué une règle apprend surtout à l’équipe à mieux cacher ses usages.

Chaque usage remonté reçoit une seule des trois décisions, rattachée à un outil, une catégorie de données et un contrôle. Le critère décisif est la présence d’une information couverte par le secret, puis la possibilité de vérifier le résultat avant qu’il quitte le cabinet.

Un cabinet équipé d’un outil juridique sous contrat, aux garanties vérifiées, peut faire passer certains usages de « suspendre » à « encadrer ». Le guide du CNB préconise d’ailleurs les IA juridiques des éditeurs et renvoie à la grille d’auto-évaluation des logiciels publiée par le CNB en juin 2025.

Le cabinet peut observer ses propres outils et ce que l’équipe déclare, pas installer un dispositif caché. L’article L1222-4 du Code du travail interdit de collecter une information personnelle sur un salarié par un dispositif dont il n’a pas été informé au préalable, et l’article L1121-1 exige que toute restriction soit justifiée par la tâche et proportionnée au but.

Dans sa fiche du 9 juillet 2026, la CNIL exige trois conditions à la fois : le dispositif doit être justifié et proportionné, présenté aux représentants du personnel lorsque les règles le prévoient, et annoncé aux salariés. Dans un cabinet d’au moins 50 salariés, l’article L2312-38 impose d’informer et de consulter le CSE avant tout moyen de contrôle de l’activité.

Nuance propre à la profession : ces articles protègent les salariés, assistants, juristes et collaborateurs salariés, tandis que le collaborateur libéral, qui n’est pas salarié, relève de son contrat de collaboration. Le RGPD s’applique toutefois à lui : tout dispositif qui traite ses données doit lui être annoncé (article 13). Il peut aussi avoir sa propre clientèle, couverte par son propre secret. Point à confirmer avec l’ordre pour toute mesure touchant ses outils personnels.

Exemple fictif. Un cabinet de neuf personnes en droit du travail accueille une élève-avocate pour six mois. Un associé remarque qu’une pièce en anglais a été traduite en dix minutes et qu’une synthèse de conclusions adverses est arrivée le matin de l’audience.

Plutôt que de chercher qui, l’associé référent envoie le questionnaire anonyme. Quatre usages remontent : un traducteur gratuit, un assistant sur compte personnel pour les conclusions, une application de transcription des rendez-vous sur le téléphone d’une assistante, un outil de reformulation des courriels internes.

Une réunion suffit. La transcription est suspendue et la suppression des enregistrements demandée à l’éditeur. Traduction et synthèse passent par l’outil juridique sous contrat du cabinet, sur pièces pseudonymisées. La reformulation interne est autorisée. Personne n’est sanctionné, et la liste des outils rejoint le livret d’accueil des élèves-avocats et stagiaires.

Plan proposé par Lucelia : en trente jours, un cabinet peut passer d’usages invisibles à une liste d’outils publiée, à condition d’annoncer avant de recueillir et de traiter l’urgent avant de trier.

1. 01 · 01

   Jours 1 à 3 : annoncer la démarche

   Message des associés : la collecte sert à écrire les règles, un usage déclaré de bonne foi n’est pas sanctionné.

2. 02 · 02

   Jours 4 à 10 : recueillir

   Questionnaire anonyme, court entretien par équipe, inventaire des outils installés sur les postes.

3. 03 · 03

   Jours 11 à 15 : traiter l’urgent

   Suspendre les usages exposant le secret et proposer une alternative.

4. 04 · 04

   Jours 16 à 22 : trier

   Appliquer la matrice, faire valider par l’associé référent, publier la liste d’outils.

5. 05 · 05

   Jours 23 à 27 : former

   Une séance sur des scénarios réels du cabinet, élèves-avocats, stagiaires et assistants compris.

6. 06 · 06

   Jours 28 à 30 : consigner

   Registre à jour, interlocuteur nommé, date de revue fixée.

• L’annonce des associés précède toute collecte, et le questionnaire ne demande aucun contenu de dossier.
• Les usages exposant le secret sont suspendus avec une alternative proposée.
• Chaque usage remonté a reçu une décision, un outil et un contrôle.
• La liste des outils autorisés est publiée et remise à chaque nouvel arrivant.
• Aucun dispositif de contrôle n’est installé sans information préalable de l’équipe.
• Le registre est à jour et la prochaine revue est datée.

Ce travail documente aussi l’article 4 de l’AI Act, applicable depuis le 2 février 2025 et devenu une obligation de moyens avec le règlement (UE) 2026/1744 : favoriser la maîtrise de l’IA du personnel. Les autorités peuvent le contrôler depuis le 2 août 2026.

Une affirmation n’entre ici qu’adossée à un texte relu dans sa version publiée : loi de 1971, RIN, guide du CNB, Code du travail, doctrine de la CNIL. Les deux grilles, le plan sur 30 jours et le questionnaire restent des propositions Lucelia ; l’ordre et le conseil du cabinet gardent le dernier mot.

Nouvelle édition du guide du CNB, évolution de la doctrine de la CNIL ou décision qui change la lecture de ces textes : chacune déclenche une revue. Dernière revue : 21 octobre 2026.