IA souveraine pour cabinets d’avocats : secret professionnel et RGPD

Vos collaborateurs utilisent déjà des assistants d’IA pour résumer une pièce ou préparer un courrier, parfois sans en parler. Pour un cabinet d’avocats, la question n’est pas de savoir si l’IA est utile, mais ce que le secret professionnel et le RGPD permettent réellement de lui confier. Cet article détaille le cadre applicable au 25 octobre 2026, les recommandations du Conseil national des barreaux et les précautions concrètes, cas d’usage par cas d’usage.

Ce que le secret professionnel interdit de confier à une IA

Le point de départ est l’article 66-5 de la loi du 31 décembre 1971 : en toutes matières, conseil comme défense, les consultations adressées au client, les correspondances échangées avec lui, les notes d’entretien et, plus généralement, toutes les pièces du dossier sont couvertes par le secret professionnel. L’article 2 du Règlement intérieur national (RIN) ajoute que ce secret est d’ordre public, « général, absolu et illimité dans le temps », qu’il couvre aussi le nom des clients et l’agenda de l’avocat, quel que soit le support, et que l’avocat doit le faire respecter par son personnel et par toute personne qui coopère avec lui, en répondant des violations ainsi commises.

Un éditeur d’IA auquel on envoie un extrait de dossier est précisément une personne qui coopère avec le cabinet. La révélation d’une information à caractère secret est punie par l’article 226-13 du Code pénal d’un an d’emprisonnement et de 15 000 euros d’amende. Le Conseil national des barreaux en a tiré la conséquence dès son premier guide pratique sur l’IA générative, en septembre 2024 : l’avocat ne doit jamais communiquer des données couvertes par le secret professionnel à des intelligences artificielles génératives.

Le guide déontologique du CNB d’avril 2026

La commission des règles et usages du CNB a publié en avril 2026 un guide pratique intitulé « La déontologie et l’intelligence artificielle ». Il liste ce qu’un avocat ne peut pas renseigner dans une requête : le nom de ses clients, personnes physiques ou morales, toute information confidentielle confiée par le client, les éléments de stratégie du dossier, et tout fichier joint contenant le nom du client ou des informations confidentielles. Il demande de limiter la mise en contexte aux seules données strictement nécessaires à la tâche.

La solution proposée est la pseudonymisation ou l’anonymisation préalable : initiales fictives à la place des noms, adresses élargies à une ville ou une région, montants et références retirés. Le guide en signale la limite, par exemple le compte rendu en direct d’un rendez-vous, où les informations confidentielles partent telles quelles, et note que des systèmes d’IA fermés, développés pour des cabinets, permettent d’effectuer toutes les tâches dans le respect du secret.

Sur la souveraineté des données, le CNB classe les critères par priorité : lieu d’hébergement des données des clients (France, voire Union européenne), nationalité de l’entreprise qui détient les serveurs, en excluant toute entreprise soumise à des dispositions extraterritoriales permettant à ses autorités d’accéder aux données, puis lieu d’hébergement et nationalité de l’hébergeur du modèle de langage. Une promesse de non-réutilisation des données pour l’entraînement « n’est en général ni prouvable ni vérifiable » ; les seules parades, selon le guide, sont l’anonymisation préalable et l’installation du modèle sur les propres systèmes du cabinet.

RGPD, sous-traitance et droit américain

Dès qu’un outil traite des données personnelles, le cabinet est responsable de traitement et l’éditeur son sous-traitant. L’article 28 du RGPD n’autorise à faire appel qu’à des sous-traitants présentant des garanties suffisantes, sous un contrat qui fixe l’objet du traitement, les instructions, la confidentialité du personnel et le sort des données en fin de contrat. L’article 32 impose des mesures de sécurité adaptées et l’article 35 une analyse d’impact en cas de risque élevé pour les personnes.

La CNIL a précisé le cadre d’usage dans ses questions-réponses du 18 juillet 2024 : pour des données personnelles, elle juge « plus opportun et plus sécurisé de privilégier le déploiement de solutions sur site » ; les services grand public restent envisageables pour des usages non confidentiels, avec des garanties et sans compte créé avec une adresse personnelle. Elle recommande une charte interne, la formation des utilisateurs et de ne jamais reproduire telles quelles les sorties du système.

Reste le droit applicable à l’éditeur. Le CLOUD Act américain, adopté en mars 2018 et codifié au 18 U.S.C. § 2713, oblige un fournisseur soumis à la juridiction des États-Unis à communiquer les données qu’il contrôle, qu’elles soient situées à l’intérieur ou à l’extérieur du territoire américain ; le Comité européen de la protection des données a conclu en juillet 2019 qu’une telle injonction ne rend pas à elle seule un transfert licite au regard de l’article 48 du RGPD. Quant au Data Privacy Framework du 10 juillet 2023, le Tribunal de l’Union européenne a rejeté le 3 septembre 2025 le recours formé contre lui, mais un pourvoi (affaire C-703/25 P) reste pendant devant la Cour de justice au 25 octobre 2026.

Cas d’usage concrets et précautions

Le tableau reprend les usages les plus fréquents en cabinet, le risque principal et la précaution qui le neutralise, en supposant un outil qui n’entraîne pas ses modèles sur vos données et dont l’hébergement est maîtrisé.

Le risque des hallucinations n’est pas théorique : le guide du CNB cite deux décisions de décembre 2025, du tribunal judiciaire de Périgueux et du tribunal administratif d’Orléans, qui invitent le conseil d’une partie à vérifier que les références trouvées à l’aide de l’intelligence artificielle ne sont pas des hallucinations, les décisions citées n’existant pas.

Ce qu’une IA hébergée en France change

Les critères du CNB rejoignent ceux de la CNIL : maîtrise du lieu d’hébergement, absence d’entraînement sur vos données, absence d’exposition à un droit extraterritorial. Une IA dite souveraine y répond lorsque le modèle tourne sur des serveurs situés en France, exploités par une entreprise européenne, sous contrat conforme à l’article 28 ; le cabinet peut alors traiter des pièces non pseudonymisées dans un périmètre fermé. Nous avons détaillé ce fonctionnement dans notre article sur l’IA souveraine hébergée en France.

Avant de signer, demandez par écrit où sont hébergés les données et le modèle, qui détient les serveurs, combien de temps les requêtes sont conservées, qui peut y accéder chez l’éditeur et comment les données sont restituées puis supprimées. Ces questions rejoignent celles de notre guide sur l’IA et la conformité RGPD et de notre article sur l’informatique des cabinets d’avocats. Contre l’usage non déclaré d’outils gratuits, décrit dans notre article sur le Shadow AI, une charte interne et un outil autorisé restent la meilleure réponse. Odyssix héberge en France une IA d’entreprise sans entraînement sur les données des clients, avec un accord de traitement des données.

Questions fréquentes

Sources

• Conseil national des barreaux — Guide pratique « La déontologie et l’intelligence artificielle » (1re édition, avril 2026)
• Conseil national des barreaux — Règlement intérieur national, article 2 « Le secret professionnel » (version consolidée au 12 septembre 2025)
• CNIL — Les questions-réponses sur l’utilisation d’un système d’IA générative (18 juillet 2024)
• CNIL — Texte du RGPD, chapitre IV, articles 28, 32 et 35
• Légifrance — Loi n° 71-1130 du 31 décembre 1971, article 66-5 ; Code pénal, article 226-13 (consultés le 24 octobre 2026)