Le secret professionnel à l'épreuve de l'IA : ce qu'un cabinet peut faire, et comment.

Dans de nombreux cabinets d’avocats, l’intelligence artificielle générative est déjà utilisée de manière informelle par les collaborateurs.

Par exemple, certains reformulent des clauses juridiques via des outils grand public, ou font résumer des pièces pour gagner du temps sur des tâches répétitives.

Cependant, ces pratiques exposent des données sensibles couvertes par le secret professionnel (garanti en France par l’article 66-5 de la loi de 1971) à des services qui ne garantissent pas leur confidentialité.

La réponse initiale de beaucoup de structures a été d’interdire ces outils, mais cette approche échoue car elle ne tient pas compte de la réalité du gain de temps (1 à 2 heures par acte) que procure l’IA.

La question n’est donc pas de savoir s’il faut utiliser l’IA, mais de déterminer comment l’utiliser en respectant les obligations déontologiques et légales.

Le principal risque pour les avocats est que leurs données soient utilisées pour entraîner les modèles d’IA.

Cette crainte est justifiée pour les outils grand public gratuits, dont les conditions d’utilisation autorisent souvent la réutilisation des conversations pour améliorer les modèles.

Cependant, les fournisseurs d’IA proposent des offres professionnelles, accessibles via des API (interfaces de programmation), qui garantissent un régime appelé Zero Data Retention.

Ce terme signifie qu’aucune donnée n’est conservée après traitement, ni réutilisée pour l’entraînement des modèles.

Dans le cabinet cité, cette solution a été mise en œuvre en contractualisant cette clause avec le fournisseur et en configurant les outils internes pour qu’ils appellent les modèles uniquement via API, avec des données chiffrées et non stockées côté fournisseur.

Cette garantie doit figurer noir sur blanc dans le contrat et être vérifiable par tout confrère.

L’utilisation de l’IA ne doit pas se substituer à l’expertise humaine, mais l’assister.

Dans le cabinet concerné, un configurateur d’actes a été développé pour générer des clauses standard (confidentialité, prestation, cession de parts, bail commercial) à partir de modèles paramétrables.

Cependant, aucun document ne peut sortir du système sans passer par une interface de révision obligatoire.

Cette interface inclut une liste de contrôle des mentions obligatoires et un filigrane indiquant « brouillon généré par IA – révision avocat obligatoire » jusqu’à validation humaine.

Ce mécanisme garantit que la responsabilité de l’acte reste entièrement entre les mains de l’avocat.

Après plusieurs mois, le résultat montre une économie de 1 à 2 heures par acte sur les clauses standard, 100 % des actes revus avant envoi, et zéro donnée client réutilisée pour l’entraînement.

Un autre usage de l’IA déployé dans le cabinet consiste à interroger le savoir interne du cabinet, dispersé dans des arborescences de fichiers.

Un assistant interne basé sur une technique appelée génération augmentée par recherche (ou RAG, pour Retrieval-Augmented Generation) permet aux collaborateurs de poser des questions en langage naturel et d’obtenir des réponses basées exclusivement sur la base documentaire interne du cabinet.

L’outil cite les documents sources à chaque réponse, garantit un accès authentifié et journalisé, et respecte le régime de non-conservation côté modèle.

Ainsi, l’IA ne « sait » rien par elle-même : elle ne fait que rendre interrogeable le savoir déjà détenu par le cabinet, sans risque de fuite de données.

Pour déployer l’IA en toute sécurité dans un cabinet d’avocats, une liste de contrôle précise doit être respectée.

Premièrement, la clause de non-conservation et de non-entraînement des données doit être écrite et signée avec le fournisseur d’IA, sous peine de ne pas démarrer le projet.

Deuxièmement, les interfaces grand public doivent être bannies pour toute donnée client, au profit d’outils internes appelant les modèles via API dans le cadre contractualisé.

Troisièmement, la révision humaine doit être rendue obligatoire par l’outil lui-même, avec un traçage et un filigrane jusqu’à validation.

Quatrièmement, un dossier de conformité doit être tenu à jour, incluant un registre des traitements, un schéma des flux de données, et le régime applicable au titre du RGPD (Règlement général sur la protection des données) et du règlement européen sur l’IA.

Enfin, le cabinet doit conserver la propriété de ses modèles d’actes et de ses données, sans abonnement qui la confisque.

Ces étapes, réalisables en quelques semaines, transforment le secret professionnel en un cahier des charges exigeant mais réalisable.