RGPD et outil d'IA dans un service juridique

Un dossier juridique contient presque toujours des données personnelles : nom, adresse, situation familiale, salaire, parfois des données de santé ou des informations sur une infraction. Quand ce dossier est confié à un outil d'IA, le RGPD s'applique. Cette page présente les points que les pages officielles lues le 15/11/2026 mettent en avant : le registre, le sous-traitant, la durée de conservation et l'information des personnes. Elle n'indique pas comment un cabinet doit se conformer, ni si un outil donné est conforme. Le RGPD et la CNIL sont les références ; un délégué à la protection des données ou un conseil juridique confirme l'application au cas précis.

Les points du RGPD cités par la page officielle

La page de la CNIL consacrée au règlement européen renvoie à plusieurs articles. Elle cite notamment :

• l'article 30, intitulé « Registre des activités de traitement » ;
• l'article 28, intitulé « Sous-traitant », avec la rubrique « Travailler avec un sous-traitant » ;
• l'article 5, sur les principes du traitement, dont le texte n'apparaît pas dans l'extrait lu ;
• l'article 13, « Informations à fournir lorsque des données à caractère personnel sont collectées auprès de la personne concernée ».

Le considérant 39 indique que la durée de conservation doit être « limitée au strict minimum », et que les données doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire ». C'est ce principe qui sert de base à la question de la durée de conservation d'un dossier saisi dans un outil.

L'outil est-il un sous-traitant ?

La CNIL définit le sous-traitant comme « la personne physique ou morale » qui « traite des données pour le compte d'un autre organisme ». Cet autre organisme est le responsable de traitement. Le traitement intervient « dans le cadre d'un service ou d'une prestation ».

Quand un cabinet confie un dossier à un éditeur d'IA, la question se pose souvent : l'éditeur traite-t-il les données pour le compte du cabinet ? Si oui, il est sous-traitant. La réponse dépend des faits : ce que fait l'outil, avec quelles données, pour quelle finalité. Il faut la trancher avec le professionnel qui porte la responsabilité du traitement.

Ce que le contrat doit prévoir

Selon la fiche de la CNIL sur le sous-traitant, le contrat doit prévoir :

• une obligation de transparence et de traçabilité ;
• la prise en compte des principes de protection des données dès la conception et par défaut ;
• une obligation de garantir la sécurité des données traitées ;
• une obligation d'assistance, d'alerte et de conseil.

La même fiche indique que la notification des violations de données doit être prévue par une procédure. La fiche ne détaille pas les obligations du responsable de traitement. Elle ne mentionne pas non plus la notion d'instructions données au sous-traitant : ce point doit être vérifié dans le contrat et le texte du règlement.

Questions à poser à l'éditeur

1. Hébergement. Où sont hébergées les données, dans quel pays, chez quel prestataire ?
2. Sous-traitants ultérieurs. Quels autres prestataires interviennent ? Sont-ils listés ?
3. Durée de conservation. Combien de temps le dossier, l'historique des requêtes et les fichiers temporaires restent-ils stockés ? Peut-on le régler ?
4. Réutilisation. Les données servent-elles à entraîner un modèle, la même version ou une autre ?
5. Suppression. Comment demander la suppression d'un dossier, et dans quel délai ?
6. Information des personnes. Le cabinet doit-il informer ses clients ou les personnes concernées de l'usage d'un outil ? La réponse de l'éditeur ne décide pas à sa place.
7. Registre. Le cabinet peut-il inscrire le traitement dans son registre avec les informations de l'éditeur ?
8. Accès. Qui, côté éditeur, peut voir les données, et sous quelle procédure ?

Un exemple de la prudence attendue

L'aide de Google sur Gemini dans Gmail demande, pour les utilisateurs d'entreprise, de ne pas inclure dans les retours « personal, sensitive, or confidential information ». Un éditeur reconnaît ainsi qu'il faut éviter de transmettre des données sensibles sans cadre. C'est un signal, pas une garantie, et cela ne concerne pas les dossiers en eux-mêmes.

Les données minimales

Une règle pratique découle du principe de minimisation : ne pas saisir plus de données que nécessaire. Un dossier peut souvent être travaillé avec des données anonymisées, ou avec les seules pièces utiles. Cela réduit le risque en cas de fuite, et la quantité de données à suivre dans le registre.

Ce qu'il faut retenir

• Le registre, le sous-traitant, la durée de conservation et l'information des personnes sont les points à traiter.
• La qualification de l'éditeur dépend des faits : ce que fait l'outil, pour qui.
• Le contrat doit prévoir la sécurité, la traçabilité et l'assistance.
• Les réponses de l'éditeur doivent être écrites et versées au dossier.

Pour le secret professionnel, voir Secret professionnel et outil d'IA. Pour les questions de conformité au règlement sur l'IA, voir AI Act pour les juristes. Le réseau propose aussi une page générale sur le RGPD : rgpd.cercle-ia.tech.