IA en cabinet d'avocat : les règles que peu maîtrisent.

L'usage de l'IA générative dans un cabinet d'avocat n'est pas un sujet purement technique. Il croise trois cadres juridiques distinctsqui s'additionnent — sans s'exclure.

Cadre 1 — Le Règlement Intérieur National (RIN)

Le RIN encadre les principes essentiels de la profession : dignité, compétence, indépendance, secret professionnel. Aucune disposition n'interdit explicitement l'IA, mais l'article 9 (obligations de compétence et de diligence) implique que l'avocat reste personnellement responsable de tout livrable, même produit avec assistance d'IA.

Cadre 2 — Le secret professionnel

Couvert par l'article 226-13 du Code pénal et l'article 66-5 de la loi de 1971. Le secret professionnel est absolu— soumettre des informations couvertes à un service tiers (même anonymisé techniquement) peut constituer une violation. C'est le cadre le plus contraignant.

Cadre 3 — Le RGPD

Règle européenne sur le traitement des données personnelles (supervisée en France par la CNIL). Tout usage d'IA traitant des données personnelles (noms, emails, situations) doit avoir une base légale, une analyse d'impact, une information du sujet, et idéalement une localisation européenne des serveurs.

Voici les usages d'IA qui passent les trois cadres simultanément, sans risque déontologique majeur :

1. Recherche juridique générale (sans données client)

Demander à une IA d'expliquer une notion de droit, de citer une jurisprudence connue, de résumer un texte légal : aucune information confidentielle n'est exposée. Usage sans risque.

2. Reformulation et amélioration de textes anonymisés

Soumettre à l'IA un paragraphe d'un texte que vous avez personnellement anonymisé (noms remplacés par M. X, Mme Y, sociétés par « la société A », montants arrondis ou généralisés) pour amélioration stylistique. Conforme.

3. Génération de contenu marketing supervisé

Demander à l'IA de produire une trame d'article de blog, une suggestion de structure de page web, une reformulation pour LinkedIn. À condition que l'avocat relise, valide, et endosse personnellement le contenu publié. L'IA est productive, l'avocat est responsable.

4. Transcription de visioconférences (avec consentement)

Outils type Noota, Tactiq, MeetGeek pour transcrire un rendez-vous client. Conformité conditionnée à : (1) consentement explicite de toutes les parties, (2) hébergement européen des données, (3) suppression contrôlée des enregistrements.

5. Préparation de documents standards (modèles)

Faire générer par IA des trames de documents standards (modèle de convention d'honoraires, modèle de lettre type, modèle de règlement intérieur) — qui n'intègrent aucune donnée client spécifique. Conforme.

6. Veille juridique et résumés de jurisprudence publique

Utiliser l'IA pour résumer des décisions de justice publiques, des articles de presse juridique, des notes de doctrine. Les sources étant publiques, aucun risque secret professionnel. Conforme.

1. Soumettre des données client identifiables à un modèle public

Coller dans ChatGPT un email reçu d'un client, un document envoyé par un adversaire, un rapport d'expert avec noms et coordonnées : violation directe du secret professionnel. Le fait que l'IA n'ait pas d'intention malveillante ne change rien — l'information sort de votre périmètre de contrôle.

2. Confier la rédaction de conclusions sans supervision

Faire rédiger un acte juridique substantiel par IA sans relecture ligne par ligne par l'avocat est un manquement à l'obligation de diligence. L'IA peut halluciner des jurisprudences, mal interpréter une situation, omettre des nuances critiques. La responsabilité reste personnelle.

3. Générer des contenus marketing trompeurs

Demander à l'IA de produire des contenus qui amplifient, exagèrent, ou créent de fausses preuves sociales — même si l'IA accepte de les produire — viole l'article 10 du RIN dès publication. La responsabilité éditoriale est celle de l'avocat publiant, pas de l'IA.

4. Automatiser de la sollicitation personnalisée

Utiliser une IA pour générer des messages LinkedIn ou emails personnalisés à des prospects ciblés en masse : l'automatisation n'exonère pas du respect de l'article 10.6. Au contraire, elle amplifie le risque (volume, traçabilité, atteinte à la dignité de la profession).

Le secret professionnel est le cadre le plus strict qui s'impose à l'usage de l'IA. Trois éléments doivent être impérativement maîtrisés :

Qui voit ce que vous tapez ?

Chaque prompt envoyé à un modèle public (ChatGPT gratuit, ChatGPT Plus, Claude, Gemini) transite par les serveurs de l'éditeur. Selon les CGU, ces données peuvent être :

• Stockées pour un délai variable (de 30 jours à indéfini)
• Consultées par des opérateurs humains pour amélioration du modèle
• Utilisées pour entraîner les versions futures du modèle
• Soumises à des juridictions tierces (souvent américaines, donc CLOUD Act)

Aucun de ces flux n'est compatible avec le secret professionnel de l'article 226-13 du Code pénal.

Les solutions techniques

Pour un usage compatible avec le secret professionnel, trois voies :

• Versions Enterprise/Team de Anthropic ou OpenAI avec engagement contractuel de non-utilisation et non-conservation des données — coût significatif (~50—150 €/mois/utilisateur)
• Modèles européens souverains (Mistral, Albert de l'État, plateformes hébergées en France) avec garanties de localisation
• Modèles auto-hébergés (Ollama avec Llama, Mistral local) — solution la plus sûre mais la plus exigeante techniquement

L'anonymisation préalable

Si vous restez sur un modèle public, la règle d'or est l'anonymisation manuelle préalable. Avant tout prompt :

• Remplacer tous les noms propres par des génériques (M. A, Mme B)
• Généraliser les montants (« environ 100 000 € » au lieu du montant exact)
• Modifier les dates de plus ou moins quelques jours
• Modifier les lieux quand ils permettent l'identification

Au-delà du secret professionnel, le RGPD impose des obligations spécifiques aux traitements de données par IA :

Localisation des données

Le RGPD privilégie le traitement des données dans l'Espace Économique Européen. Les modèles hébergés aux États-Unis (OpenAI, Anthropic dans leur infrastructure principale) sont soumis au CLOUD Act et présentent un risque de transfert hors UE. Solutions européennes recommandées : Mistral (France), modèles auto-hébergés en France, services certifiés SecNumCloud.

Information des personnes concernées

Si vous traitez avec IA des données personnelles de vos clients, ils doivent en être informés (mention dans la convention d'honoraires, dans la politique de confidentialité du site, dans le règlement intérieur).

Analyse d'impact (AIPD)

Pour les traitements présentant un risque élevé (analyse comportementale, profilage, décisions automatisées), une analyse d'impact relative à la protection des données est obligatoire (article 35 RGPD). Pour un cabinet d'avocats utilisant l'IA en assistance, c'est rarement nécessaire — mais à évaluer au cas par cas.

Voici un protocole opérationnel que tout cabinet peut adopter immédiatement pour intégrer l'IA en sécurité :

• Règle 1 — Anonymiser systématiquement. Aucun nom propre, aucun montant exact, aucune date précise dans les prompts aux modèles publics.
• Règle 2 — Documenter les usages. Tenir un registre interne des outils IA utilisés, par qui, pour quoi. C'est utile en cas de contrôle ou de question client.
• Règle 3 — Relire systématiquement. Aucun contenu produit par IA n'est publié, transmis à un client ou utilisé en procédure sans relecture intégrale par l'avocat.
• Règle 4 — Mentionner dans la convention. Inclure une clause générique sur l'usage possible d'outils IA dans la convention d'honoraires (clause préventive).
• Règle 5 — Localiser les outils sensibles. Pour les usages traitant des données client, privilégier les solutions européennes (Mistral, Albert) ou Enterprise contractualisées.
• Règle 6 — Former l'équipe. Une formation interne sur les bonnes pratiques IA (1—2h) évite les fuites accidentelles par les collaborateurs ou stagiaires.
• Règle 7 — Auditer trimestriellement. Tous les 3 mois, faire le point sur les outils utilisés, les évolutions des CGU, les nouvelles offres souveraines disponibles.