top of page

IA générative au cabinet d'avocats : les règles à appliquer dès maintenant

Photo du rédacteur: Alexandre KOERFER
Alexandre KOERFER
il y a 9 heures
6 min de lecture
Étagère en bois remplie de livres anciens reliés

Les outils d'IA générative sont entrés dans les cabinets plus vite que les règles internes. Le cadre applicable existe pourtant déjà : secret professionnel, devoir de compétence, RGPD et, depuis le 17 mars 2026, un guide déontologique du Conseil national des barreaux (CNB) consacré à l'IA [1]. Voici les règles à appliquer dès maintenant, texte par texte.

Le secret professionnel s'applique aussi aux outils d'IA

Comme le rappelle la chambre criminelle de la Cour de cassation dans un arrêt du 3 mars 2026, l'article 66-5 de la loi du 31 décembre 1971 couvre par le secret, « en toutes matières, que ce soit dans le domaine du conseil ou dans celui de la défense », les consultations, les correspondances, les notes d'entretien et, « plus généralement, toutes les pièces du dossier » [2]. L'article 2 du règlement intérieur national (RIN) précise que ce secret est « d'ordre public » et qu'il est « général, absolu et illimité dans le temps » [3]. Il couvre notamment le nom des clients et l'agenda de l'avocat [3].

Le guide pratique du CNB de septembre 2024 en tire la conséquence : l'avocat « ne doit jamais communiquer des données couvertes par le secret professionnel » à un outil d'IA générative [4]. Sont visés les noms des clients, les informations confidentielles qu'ils ont confiées et la stratégie du dossier [4]. Le Conseil des barreaux européens (CCBE), dans son guide du 2 octobre 2025, recommande de même de ne saisir aucune donnée personnelle, confidentielle ou liée au client sans garanties [5].

Le CNB signale aussi le risque d'identification indirecte : un montant, un nom de projet interne ou une rédaction caractéristique peuvent suffire [4]. Il recommande de limiter la saisie aux données strictement nécessaires et de pseudonymiser, par exemple en remplaçant les noms par des initiales fictives [4].

Compétence et prudence : chaque résultat doit être vérifié

L'article 1.3 du RIN impose à l'avocat de faire preuve, à l'égard de ses clients, « de compétence, de dévouement, de diligence et de prudence » [3]. Appliqué à l'IA, ce devoir a deux volets : comprendre les limites de l'outil et contrôler ce qu'il produit.

Le CNB demande d'« évaluer de manière rigoureuse le résultat pour détecter des erreurs ou hallucinations » [4]. Le CCBE rappelle que ces outils peuvent inventer des décisions de justice et que l'usage de résultats non vérifiés expose à des sanctions et à la mise en cause de la responsabilité [5]. La CNIL recommande de ne jamais reproduire telles quelles les sorties de ces systèmes [6].

Le risque n'est plus théorique en France. Le 18 décembre 2025, le tribunal judiciaire de Périgueux a relevé que des références de jurisprudence citées « ne semblent pas correspondre à des décisions publiées » et a invité le requérant et son conseil à vérifier leurs sources [7]. Fin décembre 2025, le tribunal administratif d'Orléans a constaté que plusieurs jurisprudences invoquées n'existaient pas [7]. Un contrôle minimal consiste à :

  • retrouver chaque décision citée dans une base officielle, avec sa juridiction, sa date et son numéro ;

  • relire chaque texte cité dans sa version en vigueur ;

  • faire relire par un avocat tout passage généré avant envoi au client ou dépôt.

RGPD et choix des outils : le cabinet reste responsable

Le RGPD s'applique à tous les cabinets, quelle que soit leur taille. Les traitements réalisés au moyen d'une IA doivent en respecter les principes : limitation des finalités, minimisation, limitation de la conservation, sécurité et droits des personnes [4].

La CNIL invite l'organisme qui déploie un outil d'IA générative à s'interroger sur son rôle et sur celui du fournisseur, puis à conclure selon le cas un contrat de sous-traitance ou un accord de responsabilité conjointe [6]. Si le cabinet connecte l'outil à sa propre base documentaire contenant des données personnelles, il est lui aussi responsable de ce traitement [6]. Lorsque des données sont susceptibles d'être transférées hors de l'Union européenne, leur traitement par le destinataire doit être encadré [6]. La CNIL recommande enfin d'associer le délégué à la protection des données et, le cas échéant, de réaliser une analyse d'impact (AIPD) [6].

Le CNB relève que les données saisies sont transmises à l'éditeur, souvent américain, et parfois utilisées pour améliorer les modèles [4]. Il ajoute qu'une option de refus de cette réutilisation, faute de moyen de vérification, n'écarte pas le risque de violation du secret ou du RGPD [4]. Les guides du CCBE et de la CNIL conduisent aux vérifications suivantes :

  • lire les conditions d'utilisation de l'éditeur pour savoir comment les données saisies sont utilisées [5] ;

  • obtenir des garanties contractuelles : clause de confidentialité, absence de conservation des données, accord de traitement des données [5] ;

  • privilégier, lorsque c'est pertinent, un traitement dans l'Union européenne ou un environnement maîtrisé par le cabinet [5] ;

  • s'opposer à la réutilisation des données d'usage et à l'enregistrement de l'historique lorsque l'outil le permet [6] ;

  • ne soumettre aucune donnée personnelle ou confidentielle à un service grand public [6].

Informer le client

Le guide du CNB adopté le 17 mars 2026 traite de l'information due au client et de la fixation d'honoraires justes et équilibrés lorsque l'IA intervient dans le travail du cabinet [1]. Le CCBE recommande d'être transparent avec le client, en particulier lorsqu'un client informé serait susceptible de s'opposer à l'usage de l'outil ou d'émettre des réserves [5]. Il relève que certains clients peuvent demander qu'aucune IA ne soit utilisée sur leur dossier [5].

Charte interne et formation

L'article 2.3 du RIN impose à l'avocat de faire respecter le secret « par les membres du personnel de son cabinet et par toute personne qui coopère avec lui ». Il ajoute : « Il répond des violations du secret qui seraient ainsi commises » [3]. Un usage non encadré de l'IA par un collaborateur ou un assistant engage donc l'avocat.

Le CNB recommande une charte informatique ou un guide interne précisant quand et comment les outils peuvent être utilisés [4]. Il présente la formation comme essentielle pour tous les membres du cabinet : rédaction des requêtes, limites des outils, détection des biais et des hallucinations, contrôle de fiabilité [4].

Côté européen, le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, a réécrit l'article 4 du règlement sur l'IA : les fournisseurs et les déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l'IA » de leur personnel [8].

Ce que nous recommandons

  • Interdire par écrit la saisie de noms de clients, de pièces et de toute information couverte par le secret dans un outil grand public.

  • Recenser les outils réellement utilisés au cabinet, lire leurs conditions et conclure, avec le DPO, les engagements contractuels nécessaires.

  • Désactiver l'historique et la réutilisation des données lorsque c'est possible, et contrôler ce réglage pour chaque compte.

  • Imposer une vérification humaine de chaque référence citée avant tout envoi ou dépôt.

  • Adopter une charte d'usage, la diffuser à l'ensemble du personnel et organiser une formation régulière.

Si vous souhaitez faire le point sur l'usage de l'IA dans votre cabinet, le diagnostic gratuit Tao Sense constitue un premier pas.

Sources

Commentaires

Les commentaires sur ce post ne sont plus acceptés. Contactez le propriétaire pour plus d'informations.
bottom of page