Secret professionnel et outil d'IA : questions à l'éditeur

Un avocat, un notaire ou un juriste d'entreprise qui confie un dossier à un outil d'IA doit savoir où partent les informations, qui peut les lire et ce qui est conservé. Le secret professionnel ne disparaît pas parce que le texte passe par un logiciel. Cette page dit ce que les sources lues le 15/11/2026 indiquent, ce qu'elles n'indiquent pas, et quelles questions poser à l'éditeur. Elle ne donne pas d'avis sur ce qu'un professionnel doit faire dans son cas.

Ce qui a été lu, et ce qui ne l'a pas été

La page du Conseil national des barreaux consacrée à l'IA générative présente quatre documents. La page elle-même ne dit rien de précis sur le secret professionnel ni sur la vérification des réponses. Les contenus des guides n'ont pas pu être ouverts pendant la session. Les titres et les thèmes annoncés sont donc les seules informations tirées du CNB dans cette page.

Les autres sources sont la fiche de la CNIL sur le sous-traitant, la page de la CNIL sur le RGPD, et l'aide de Google sur Gemini dans Gmail. Aucune ne traite du secret professionnel d'un avocat ou d'un notaire. Cette page ne tire donc aucune règle du secret professionnel elle-même.

Ce que le CNB annonce

Le CNB présente un guide pratique sur l'utilisation des systèmes d'IA générative (2024), décrit comme une aide à une utilisation « éclairée, responsable et sécurisée ». Il présente aussi une grille d'auto-évaluation (2025), destinée à aider les avocats à choisir des logiciels juridiques dotés d'IA générative au regard des règles professionnelles et déontologiques.

Selon la présentation de la page, cette grille signale des points de vigilance précis : la souveraineté, la confidentialité et la sécurisation des données des cabinets, et la réutilisation possible des données clients par les grands modèles de langage. Ces trois thèmes sont des questions à poser à tout éditeur, qu'il soit juridique ou non.

Un guide « Déontologie et IA », réservé aux avocats, est annoncé pour 2026. Son contenu n'est pas reproduit sur la page lue. Il faut le consulter directement sur le site du CNB.

Ce que dit la CNIL sur les données confiées à un prestataire

Quand un outil traite des données personnelles pour le compte d'un cabinet, l'éditeur peut être un sous-traitant. La CNIL définit le sous-traitant comme la personne qui « traite des données pour le compte d'un autre organisme », appelé responsable de traitement, dans le cadre d'un service ou d'une prestation.

Selon la même page, le contrat doit prévoir une obligation de transparence et de traçabilité, la prise en compte de la protection des données dès la conception et par défaut, une obligation de garantir la sécurité des données traitées, et une obligation d'assistance, d'alerte et de conseil. Pour un dossier d'avocat, ces points deviennent des demandes écrites à l'éditeur, pas des promesses de site.

Questions à poser à l'éditeur

Avant de saisir un dossier réel, il est utile d'obtenir des réponses écrites sur les points suivants :

Les données saisies sont-elles hébergées en France ou dans l'Union européenne, et chez qui ?
Un sous-traitant ultérieur intervient-il, et lequel ?
Les données sont-elles réutilisées pour entraîner un modèle, la même version ou une autre ?
Quelle est la durée de conservation des documents, des requêtes et des historiques ?
Peut-on demander la suppression, et dans quel délai ?
Existe-t-il un contrat de sous-traitance, et peut-on le lire avant de signer ?
Qui a accès aux données côté éditeur, et sous quelles garanties ?
Le journal d'accès est-il disponible pour le cabinet ?
Que se passe-t-il en cas de violation de données ?
L'outil permet-il de travailler sans joindre les pièces, par exemple avec des documents anonymisés ?

Une réponse vague doit être notée comme telle. Un éditeur qui ne répond pas à ces questions n'est pas, pour cette seule raison, à écarter : il faut en tirer la conséquence pour l'usage.

Un avertissement venu d'un éditeur

L'aide de Google sur Gemini dans Gmail demande de ne pas inclure, dans les retours envoyés aux services, de données « personnelles, sensibles ou confidentielles ». Cet avertissement concerne les retours d'erreur, pas les contenus travaillés, mais il montre le principe : un éditeur sait que des données confidentielles ne doivent pas circuler sans cadre. Cela ne suffit pas à décider qu'un outil est adapté à un dossier. Cela montre seulement qu'il faut poser la question.

Ce qu'un professionnel doit faire lui-même

Le cadre du secret professionnel, les règles de l'ordre et les obligations du cabinet ou de l'entreprise se vérifient auprès du barreau, de l'ordre ou d'un conseil. Cette page ne tranche ni la question de savoir si un outil est compatible avec le secret, ni celle de l'information du client. Ce sont des décisions du professionnel, prises avec ses règles internes et ses conseils.

Une bonne pratique consiste à noter la décision : quel outil, quelle version, quelles données, quelles réponses de l'éditeur, qui a décidé et à quelle date. Ce dossier sert si la question revient.

Ce qu'il faut retenir

Le CNB annonce des documents sur l'IA générative, dont une grille sur la confidentialité et la réutilisation des données. Leur contenu n'a pas été lu ici.
La CNIL décrit les obligations du sous-traitant, qui doivent figurer dans le contrat.
Les questions à l'éditeur portent sur l'hébergement, la réutilisation, la durée de conservation et les sous-traitants.
Le choix final relève du professionnel, pas d'une page de présentation.

Pour le cadre RGPD, voir RGPD et outil d'IA dans un service juridique. Pour les outils comparés, voir Doctrine, Dalloz, Lexbase.