Secret professionnel IA : cas d’usage comptables

Le sujet du secret professionnel IA se décide avant l’ouverture de l’outil. Il faut qualifier la tâche, la donnée nécessaire, l’environnement et le contrôle qui restera entre vos mains.

Pour un expert-comptable, l’article 21 de l’ordonnance n° 45-2138 sur le secret professionnel et l’article 147 du décret n° 2012-432 sur le devoir de discrétion sont les premiers textes à relire selon la situation.

Comment la matrice secret professionnel IA aide-t-elle à décider ?

Elle vérifie quatre éléments : la tâche, la donnée, l’environnement et le contrôle. Si l’un reste inconnu, la tâche n’est pas prête à être confiée à l’IA.

La matrice rend la décision explicite : que demande-t-on au modèle, sur quelles informations, dans quel outil et qui vérifie le résultat ?

La ressource consacrée aux cas d’usage de l’IA dans un cabinet comptable peut servir de point de départ. Ici, l’objectif est de décider si un usage précis peut être lancé, encadré ou suspendu.

Quelles données doivent rester hors d’un outil non validé ?

Les mails clients, FEC et DSN non anonymisés, pièces fiscales, données de paie, IBAN, stratégie de conseil et données financières identifiantes doivent rester hors d’un outil non validé.

Le CNOEC indique que les mails clients, FEC et DSN non anonymisés ne doivent pas être chargés dans des sites non maîtrisés. Il recommande aussi de contrôler toute sortie.

Pour les autres usages, Lucelia recommande de commencer par des données publiques ou fictives, lorsqu’elles suffisent à la tâche. La CNIL distingue l’anonymisation de la pseudonymisation. Lorsqu’un FEC pseudonymisé contient des données relatives à des personnes physiques, il reste une donnée personnelle ; la pseudonymisation ne suffit donc pas à sortir ces données du RGPD.

Quel environnement choisir pour une tâche comptable ?

L’environnement doit être choisi selon la donnée et la tâche. La CNIL envisage les services grand public pour les usages non confidentiels, avec des garanties appropriées et recommande d’examiner, selon le cas, une solution grand public, cloud contractuelle ou sur site.

Vérifiez le contrat, la conservation, les transferts et les intervenants. Aucune option ne garantit seule la conformité. Les recommandations de sécurité de l’ANSSI invitent également à cadrer les accès, le besoin d’en connaître, les filtres et la journalisation.

Quels contrôles garder avant et après la réponse ?

Le professionnel garde le contrôle de l’entrée, de la méthode, de la sortie et du destinataire. Une réponse fluide ne constitue ni une preuve comptable ni une conclusion fiscale.

Avant l’usage, décrivez le résultat attendu et les données strictement nécessaires. Après la réponse, retournez aux sources, contrôlez les omissions et décidez si le résultat peut être transmis.

Le contrôle dépend de la tâche :

• une reformulation générique demande une relecture du sens et du destinataire ;
• une synthèse du BOFiP demande une vérification du texte source ;
• un commentaire d’indicateurs doit rester préparatoire ;
• une détection d’écritures inhabituelles doit rester une aide au repérage.

Une personne identifiée vérifie, corrige et assume la décision d’utiliser le résultat. La formation « Sécuriser et gouverner l’IA » aide à formaliser ces contrôles.

Quels usages peuvent commencer sur des données publiques ou fictives ?

Les usages les plus simples sont ceux qui ne demandent aucune donnée confidentielle et dont le résultat peut être vérifié directement.

Illustration : vous demandez une synthèse d’un texte public du BOFiP. Vous vérifiez les références dans le document officiel et ne transformez pas la réponse en conseil sans analyse complémentaire.

Illustration : vous préparez une checklist d’onboarding avec une entreprise et des dates fictives. Le résultat structure la procédure, mais un responsable doit le relire.

Illustration : vous reformulez un courriel générique après avoir retiré noms, montants, pièces et détails de situation. La relecture porte sur le ton, le sens et le destinataire.

Ces usages peuvent alimenter une procédure interne. Un atelier pour rédiger une charte IA aide à transformer ces décisions en règles compréhensibles.

Comment commenter des indicateurs sans produire une conclusion fiscale ?

Le commentaire doit préparer des questions, jamais conclure sur la situation fiscale. Les indicateurs doivent déjà être validés et anonymisés pour l’usage prévu.

Illustration : l’IA relève une variation inhabituelle et propose des questions sur le périmètre ou la source du changement. Elle ne conclut pas à une anomalie fiscale et ne rédige pas une recommandation destinée au client sans contrôle professionnel.

Peut-on utiliser un FEC pseudonymisé pour détecter des écritures inhabituelles ?

Seulement après une analyse juridique et de sécurité explicite, si la règle interne l’autorise et dans un environnement spécifiquement validé pour ce traitement. Aucune validation générique ne suffit.

Lorsqu’il contient des données relatives à des personnes physiques, un FEC pseudonymisé reste une donnée personnelle. L’accès doit être limité et la finalité définie. Le modèle peut signaler une combinaison inhabituelle de dates, comptes ou montants ; il ne pose jamais un diagnostic de fraude.

Le contrôle revient aux pièces, au contexte et aux règles applicables. Une écriture signalée est une aide à l’examen, pas une conclusion.

Comment documenter une décision d’usage ?

Documentez la tâche, la donnée, l’outil, le responsable, le contrôle et la décision de diffusion. Cette trace permet de réévaluer l’usage si l’outil ou la donnée change.

Votre fiche peut préciser :

• l’objectif de la tâche ;
• la catégorie de données ;
• l’environnement autorisé ;
• les personnes ayant accès ;
• les vérifications obligatoires ;
• le responsable de la validation ;
• les conditions de conservation.

Cette démarche rejoint le cadre de maîtrise de l’IA de Lucelia. L’article 4 de l’AI Act s’applique depuis le 2 février 2025 ; le règlement UE 2026/1744 a modifié cette obligation en obligation de moyens. Il ne s’agit pas de déclarer que l’IA est maîtrisée, mais de rendre vos pratiques compréhensibles et vérifiables.

Quelles sources primaires relire avant chaque décision ?

Relisez les textes selon la tâche, la donnée et l’environnement concernés.

• Article 21 de l’ordonnance n° 45-2138 ;
• Article 147 du décret n° 2012-432 ;
• CNIL : anonymisation et pseudonymisation ;
• CNIL : IA générative ;
• ANSSI : sécurité de l’IA générative ;
• CNOEC : utiliser ChatGPT dans le respect des obligations professionnelles ;
• Article 4 de l’AI Act modifié.

Quelle checklist utiliser avant de confier une tâche à l’IA ?

Vérifiez chaque point avant la saisie et avant la diffusion du résultat.

• La tâche est décrite en une phrase.
• Le résultat attendu est distingué d’une décision professionnelle.
• Les données nécessaires sont listées.
• Les données confidentielles sont exclues d’un outil non validé.
• Lorsqu’il contient des données relatives à des personnes physiques, le FEC pseudonymisé est traité comme une donnée personnelle.
• L’environnement et ses garanties sont vérifiés.
• Une analyse juridique et de sécurité est menée pour un usage sensible.
• Une personne est responsable de la relecture.
• Les sources et limites du résultat sont conservées.
• La diffusion est décidée après contrôle.