Shadow AI en cabinet comptable : le repérer, le canaliser

Le shadow AI en cabinet comptable, c’est-à-dire l’usage d’outils d’IA non choisis ni encadrés par le cabinet, se développe parce que les outils d’IA générative sont accessibles à chacun, gratuitement et en quelques secondes, alors que le cadre du cabinet arrive plus lentement. Selon la Banque de France, 67 % des entreprises de 20 salariés et plus déclarent utiliser l’IA générative début 2026, un usage qu’elle décrit comme principalement limité ou expérimental.

Une partie de cet usage reste hors des radars. La même étude rappelle que l’IA générative peut être utilisée directement par les salariés, au moyen d’assistants conversationnels ou de fonctions intégrées aux logiciels de bureautique. Le cabinet ne le découvre donc ni dans ses factures ni dans ses contrats, mais dans le travail produit.

En cabinet d’expertise comptable, la tentation est concrète : commenter un bilan, reformuler une lettre de mission, comprendre une rubrique de DSN, convertir un relevé bancaire. Chacune de ces tâches touche des données clients. Le risque ne vient donc pas de l’outil seul, mais de la rencontre entre un outil non validé et une donnée couverte par le secret.

Cette référence aide à repérer ces usages et à les ramener vers des outils validés, sans surveillance cachée des collaborateurs. Dernière revue : 21 octobre 2026.

Toute donnée client identifiable, et en priorité les pièces comptables, sociales et bancaires. L’article 21 de l’ordonnance du 19 septembre 1945 soumet au secret professionnel les experts-comptables, les experts-comptables stagiaires et certains salariés qu’elle désigne, sous les peines de l’article 226-13 du Code pénal. L’article 147 du code de déontologie ajoute un devoir de discrétion dans l’utilisation de toutes les informations recueillies.

Le Conseil national de l’ordre est explicite dans sa notice sur ChatGPT : ne pas charger de données personnelles, sensibles ou confidentielles, pas de mails clients, de FEC ni de DSN non anonymisés dans des sites non maîtrisés. Sa position d’ensemble reste ouverte : utiliser ces outils et apprendre à les maîtriser, en veillant au RGPD et au secret professionnel.

Trois niveaux à ne pas confondre. Le secret, la discrétion et le RGPD s’imposent. La notice du CNOEC, les fiches CNIL et l’ANSSI, qui juge à proscrire l’envoi de données sensibles vers des services grand public, recommandent. Reste au cabinet à vérifier contrat, durée de conservation et réutilisation, outil par outil.

Les signaux se trouvent dans les livrables, les fichiers et les notes de frais, rarement dans un aveu. Un commentaire de bilan au style uniforme ou un export FEC retrouvé hors des outils de production suffit à ouvrir la question. La réponse dépend de la donnée exposée.

Le collaborateur concerné cherchait le plus souvent à tenir un délai. Traitez la donnée d’abord, la règle ensuite, la personne en dernier : un premier signalement de bonne foi reste sans sanction, sinon les suivants n’arrivent jamais.

En donnant à chaque usage une issue : autorisé avec un outil de la liste, encadré par une condition, ou suspendu avec une alternative. Un usage suspendu sans solution de remplacement revient par une autre porte, souvent le téléphone personnel.

Le livret IA du CNOEC donne le cap : privilégier les solutions professionnelles, évaluées et adaptées au métier, et anonymiser les informations. La matrice ci-dessus en est l’application aux usages réellement trouvés. Elle alimente ensuite la liste des outils autorisés, la charte et le registre des usages, dans cet ordre.

Oui pour ses propres outils, à condition d’informer avant et de rester proportionné ; non pour un contrôle caché ou intrusif. Le modèle de charte diffusé par le CNOEC prévoit que l’entreprise se réserve le droit de surveiller les interactions avec l’IA générative. Cette clause ne dispense pas du Code du travail : elle ne vaut que si le dispositif qui la met en œuvre respecte ses règles.

Le Code du travail pose le cadre. Pas de dispositif inconnu des salariés pour recueillir des informations les concernant (article L1222-4). Une restriction justifiée par la tâche et proportionnée au but (article L1121-1). À partir de 50 salariés, un CSE informé et consulté avant toute décision d’introduire un moyen de contrôle de l’activité (article L2312-38).

Recommandation Lucelia : aucun outil technique de détection avant d’avoir recueilli les déclarations, qui révèlent l’essentiel. Point à confirmer avec votre conseil si un accord collectif ou la charte informatique prévoit déjà des règles de contrôle.

Un cabinet fictif de 26 salariés, trois associés experts-comptables, découvre lors d’une revue de dossier qu’un commentaire de bilan cite une moyenne sectorielle introuvable. En parallèle, une note de frais fait apparaître un abonnement à un assistant d’IA payé par une collaboratrice du pôle social.

L’associé chargé du numérique lance un questionnaire de cinq questions, après un message clair sur l’absence de sanction. Cinq usages remontent : commentaires de bilan sur un assistant gratuit, extraits de DSN collés pour comprendre une anomalie de cotisation, relevés bancaires convertis par un site en ligne, relances de pièces rédigées par IA, synthèses de l’actualité fiscale.

Les décisions suivent la matrice. Les extraits de DSN et la conversion des relevés sont suspendus, avec une demande de suppression adressée aux éditeurs quand elle est possible. Les commentaires de bilan passent par un outil sous contrat, sur des données pseudonymisées et avec relecture du chef de mission. Les relances et les synthèses d’actualité sont autorisées. L’abonnement personnel est remplacé par un accès professionnel évalué.

Quatre semaines, de préférence hors pic de production : rendre visible, traiter, décider, installer.

1. 01 · Semaine 1

   Informer, puis recenser

   Message des associés, questionnaire sur la tâche, l’outil, le compte, les données et le contrôle, inventaire des postes.

2. 02 · Semaine 2

   Traiter les données exposées

   Suspendre FEC, DSN et relevés hors outils maîtrisés, avec une alternative le jour même.

3. 03 · Semaine 3

   Trier et choisir les outils

   Appliquer la matrice, interroger les éditeurs sur hébergement et réutilisation, arrêter la liste.

4. 04 · Semaine 4

   Former, publier, consigner

   Une séance par pôle sur des cas fictifs, charte et registre mis à jour.

• Les collaborateurs ont été informés avant toute collecte d’information.
• Aucun FEC, aucune DSN ni aucun relevé bancaire identifiable ne sort des outils maîtrisés.
• Chaque usage remonté a reçu une décision et, s’il est suspendu, une alternative.
• La liste des outils autorisés précise les données admises et exclues.
• Les éditeurs ont répondu par écrit sur l’hébergement et la réutilisation des données.
• Si le cabinet compte au moins 50 salariés, le CSE a été consulté avant tout dispositif de contrôle.
• Décisions et formations figurent au registre, et la prochaine revue est datée.

Côté AI Act, l’article 4 réécrit par le règlement (UE) 2026/1744 attend des mesures favorisant la maîtrise de l’IA, sans niveau garanti par individu. Applicable depuis le 2 février 2025 et contrôlable depuis le 2 août 2026, il trouve ici ses traces : questionnaire, décisions, formations.

Ordonnance de 1945, code de déontologie, publications du CNOEC, de la CNIL et de l’ANSSI : chaque règle a été lue à sa source avant d’être reprise. Grilles et plan sont des propositions de Lucelia.

Toute nouvelle publication de l’Ordre sur l’IA, de la CNIL sur le contrôle des salariés ou du législateur européen sur l’article 4 entraîne une relecture. Dernière revue : 21 octobre 2026.