top of page

Experts-comptables : encadrer l'usage de l'IA dans le cabinet

Photo du rédacteur: Alexandre KOERFER
Alexandre KOERFER
il y a 9 heures
5 min de lecture
Calculatrice posée sur une pile de documents comptables

Les outils d'IA générative entrent dans les cabinets d'expertise comptable, souvent à l'initiative des collaborateurs eux-mêmes. Les règles applicables ne sont pas nouvelles : secret professionnel, protection des données, responsabilité sur les travaux. Il reste à les traduire en pratiques claires, connues de toute l'équipe.

Le secret professionnel s'applique aussi aux outils d'IA

L'article 21 de l'ordonnance n° 45-2138 du 19 septembre 1945 tient les experts-comptables au secret professionnel « dans les conditions et sous les peines fixées par l'article 226-13 du code pénal » [1]. La même obligation vise notamment les experts-comptables stagiaires et certains salariés de la profession [1].

Saisir dans un outil grand public le grand livre d'un client, une liasse fiscale ou un bulletin de paie revient à transmettre ces informations au fournisseur de l'outil. Le livre blanc de l'Ordre des experts-comptables Paris Île-de-France rappelle que des données confidentielles ou couvertes par le secret ne doivent pas être soumises à un outil qui n'offre pas de garanties suffisantes [7]. Il signale aussi que certains outils généralistes utilisent les données saisies pour entraîner leurs modèles [7].

Le Conseil national de l'Ordre des experts-comptables a publié en 2025 un modèle de charte d'utilisation de l'IA. Selon Compta Online, ce document rappelle qu'aucune donnée sensible ne doit être chargée sur des plateformes non sécurisées [8].

Protéger les données des clients : le cadre du RGPD

La CNIL a publié le 18 juillet 2024 des questions-réponses sur l'utilisation d'un système d'IA générative [6]. Plusieurs points concernent directement les cabinets :

  • lorsque l'usage implique des données personnelles, un déploiement sur site est en général présenté comme plus sûr [6] ;

  • un service hébergé dans le cloud suppose un contrat de sous-traitance qui définit les responsabilités et les accès autorisés aux données [6] ;

  • lorsque c'est possible, la réutilisation des données d'usage par le fournisseur doit être désactivée [6] ;

  • le délégué à la protection des données doit être associé et, le cas échéant, une analyse d'impact (AIPD) réalisée [6] ;

  • les utilisateurs ne doivent saisir que les informations qu'ils sont autorisés à partager [6].

Le livre blanc francilien ajoute que l'anonymisation « constitue une étape indispensable » avant l'envoi d'informations sensibles [7]. Lorsqu'elle est impossible, par exemple pour des fichiers de DSN, certains usages doivent être proscrits [7].

L'expert-comptable reste responsable de ce que l'IA produit

L'article 12 de l'ordonnance de 1945 prévoit que les experts-comptables « assument dans tous les cas la responsabilité de leurs travaux et activités » [3]. La responsabilité propre d'une société d'expertise comptable laisse subsister la responsabilité personnelle de chaque expert-comptable pour les travaux qu'il exécute [3]. Le texte ne distingue pas selon la manière dont le travail a été préparé.

Les risques sont identifiés. Le livre blanc francilien cite les « hallucinations », en particulier des références fiscales ou jurisprudentielles inventées, et fait de la vérification rigoureuse des informations produites par l'IA « une règle d'or » [7]. La CNIL recommande de ne jamais reproduire telles quelles les sorties de ces systèmes [6].

La vérification doit être proportionnée à l'usage. Le modèle de charte proposé par le livre blanc prévoit, pour les livrables destinés aux clients, une validation par un responsable et une relecture approfondie [7].

Lettre de mission, choix des outils et paramétrage

L'article 151 du décret n° 2012-432 du 30 mars 2012, qui relève du code de déontologie de la profession, impose un contrat écrit définissant la mission ainsi que les droits et obligations de chaque partie [4]. Ce contrat peut prendre la forme d'une lettre de mission [4]. Les textes consultés n'exigent pas de clause propre à l'IA. La lettre de mission reste cependant le support naturel pour informer le client des outils utilisés et des conditions de traitement de ses données.

Le choix des outils appelle quelques vérifications préalables :

  • le lieu d'hébergement et de traitement des données [6] [7] ;

  • la possibilité, pour le fournisseur, de réutiliser les données saisies, et les moyens de la désactiver [6] ;

  • l'existence d'un contrat de sous-traitance conforme au RGPD [6] ;

  • le paramétrage des comptes, qui doit être fixé par le cabinet et non laissé à chaque utilisateur.

Le livre blanc recommande de privilégier des outils professionnels conçus pour la profession et de vérifier la conformité au RGPD de chaque solution [7]. Il évoque aussi l'hébergement local comme option de contrôle maximal [7].

Charte d'usage et maîtrise de l'IA par les équipes

Le règlement (UE) 2024/1689 sur l'intelligence artificielle s'applique aux « déployeurs », c'est-à-dire aux organismes utilisant un système d'IA sous leur propre autorité dans un cadre professionnel [5]. Son article 4, dans sa rédaction issue du règlement (UE) 2026/1744, leur impose de prendre des mesures pour favoriser la maîtrise de l'IA par leur personnel et les autres personnes qui utilisent ces systèmes pour leur compte [5]. Ces mesures tiennent compte des connaissances techniques, de l'expérience et de la formation des personnes, ainsi que du contexte d'utilisation [5]. L'obligation « ne contraint pas » à garantir un niveau spécifique de maîtrise par un individu [5].

Le code de déontologie va dans le même sens. Les professionnels doivent s'assurer que les collaborateurs auxquels ils confient des travaux ont une compétence appropriée à leur nature et à leur complexité [2]. La CNIL recommande, de son côté, de former les utilisateurs de façon adaptée et de mener des contrôles réguliers [6].

Pour le livre blanc francilien, la charte d'usage n'est pas une formalité : « C'est un outil stratégique » [7]. Le modèle proposé, à adapter par chaque cabinet, couvre notamment :

  • la classification des données : publiques, internes, clients, sensibles [7] ;

  • les usages autorisés pour chaque catégorie [7] ;

  • les niveaux de validation des productions [7] ;

  • la gestion des incidents et une revue périodique de la charte [7].

Le même document qualifie la formation des équipes de « fondamentale » et suggère de désigner des ambassadeurs IA au sein des équipes [7].

Ce que nous recommandons

  • Recenser les outils d'IA réellement utilisés dans le cabinet, y compris ceux adoptés individuellement, et les données qui y transitent.

  • Adopter une charte d'usage qui classe les données et fixe, pour chaque catégorie, les outils autorisés et le niveau de validation requis.

  • Retenir des outils dont l'hébergement, la non-réutilisation des données et la sous-traitance sont documentés, puis les paramétrer de façon centralisée.

  • Former l'ensemble des collaborateurs et conserver la trace des actions menées au titre de la maîtrise de l'IA.

  • Mettre à jour le modèle de lettre de mission pour présenter au client les outils utilisés et les modalités de traitement de ses données.

Si vous souhaitez faire le point sur les usages de l'IA dans votre cabinet, Tao Sense vous propose un diagnostic gratuit.

Sources

Commentaires

Les commentaires sur ce post ne sont plus acceptés. Contactez le propriétaire pour plus d'informations.
bottom of page