IA et secret professionnel : 8 questions à poser avant de confier vos données à un outil
L'intelligence artificielle peut faire gagner un temps considérable aux professionnels du droit : tri du courrier, première lecture d'un contrat, préparation de relances. Mais avant de lui confier la moindre information, une question précède toutes les autres : que deviennent les données une fois envoyées ?
Le secret professionnel ne disparaît pas parce qu'un prestataire technique intervient. Pour l'avocat, il est d'ordre public et sa violation est pénalement sanctionnée ; pour le notaire, il s'accompagne d'une responsabilité pleine sur l'acte. Les institutions des professions l'ont rappelé : le Conseil national des barreaux a adopté en mars 2026 un guide « Déontologie et IA » et publié une grille d'évaluation des outils d'IA juridiques ; le Conseil supérieur du notariat a fixé ses propres principes fin 2025.
Ces textes n'interdisent pas l'IA. Ils demandent de savoir ce que l'on utilise. Voici les huit questions à poser à tout éditeur ou prestataire, et les réponses à attendre.
1. Où mes données sont-elles traitées ?
Trois réalités sont souvent confondues : l'endroit où les données sont stockées, celui où elles sont traitées par le modèle d'IA, et la nationalité de l'entreprise qui les traite.
La bonne réponse : un traitement dans l'Union européenne, précisé pour chaque étape (hébergement, modèle d'IA, sauvegardes). Méfiez-vous d'un « hébergé en Europe » qui ne dit rien du modèle d'IA utilisé.
2. Le modèle d'IA est-il entraîné avec mes données ?
Certains services grand public réutilisent les échanges pour améliorer leurs modèles. Pour des informations couvertes par le secret, c'est rédhibitoire.
La bonne réponse : un engagement écrit, dans le contrat, qu'aucune donnée n'est utilisée pour entraîner ou améliorer un modèle.
3. Combien de temps mes données sont-elles conservées ?
Même sans entraînement, un fournisseur peut conserver les requêtes pendant une durée donnée, par exemple pour détecter des abus.
La bonne réponse : une durée de conservation précise, la plus courte possible, et idéalement une option de non-conservation (zero data retention). Exigez que ces durées figurent dans le contrat, pas seulement sur une page commerciale.
4. Qui sont vos sous-traitants ?
Un outil d'IA repose presque toujours sur une chaîne : un hébergeur, un fournisseur de modèle, parfois un service d'envoi d'e-mails ou de stockage.
La bonne réponse : la liste nommée de chaque sous-traitant, avec sa localisation et son rôle, et l'engagement de vous prévenir avant tout changement. C'est d'ailleurs une obligation du RGPD (article 28) lorsque le prestataire traite des données personnelles pour votre compte.
5. Mon fournisseur est-il soumis à des lois étrangères ?
Une entreprise américaine peut être contrainte de communiquer des données à ses autorités, y compris lorsqu'elles sont hébergées en Europe (CLOUD Act). Le cadre de transfert de données entre l'Union européenne et les États-Unis existe, mais il reste contesté devant la justice européenne.
La bonne réponse : une transparence complète sur la nationalité des acteurs de la chaîne. On peut dire « hébergé dans l'UE » ; on ne devrait dire « souverain » que si aucun acteur n'est soumis à une loi extraterritoriale.
6. Un contrat de sous-traitance RGPD est-il prévu ?
Dès qu'un prestataire traite des données personnelles pour votre compte — celles de vos clients, de vos collaborateurs — un contrat de sous-traitance (souvent appelé DPA) est obligatoire.
La bonne réponse : un contrat fourni d'emblée, qui précise la finalité, les mesures de sécurité, la liste des sous-traitants, la notification des incidents et le sort des données en fin de contrat.
7. Qui valide ce que produit l'IA ?
Une IA peut se tromper, inventer une référence ou mal classer un message. La responsabilité, elle, reste celle du professionnel.
La bonne réponse : un système conçu pour que l'humain valide toute décision sensible — réponse à un client, appréciation d'une urgence, analyse juridique. Le règlement européen sur l'IA impose par ailleurs d'informer les personnes lorsqu'elles échangent avec une IA, et de former les utilisateurs aux outils qu'ils emploient.
8. Puis-je récupérer mes données et changer de prestataire ?
Un outil qui enferme vos données ou vos processus devient une dépendance.
La bonne réponse : une réversibilité écrite (export de vos données dans un format exploitable, suppression vérifiable en fin de contrat) et, si un système est développé pour vous, la propriété de ce qui a été construit.
La méthode en pratique
Avant tout déploiement, trois réflexes simples :
- Commencer par un besoin précis, et non par un outil : quelle tâche, quelles données, quel gain attendu ?
- Écrire les règles d'usage : ce que l'équipe peut confier à l'outil, et ce qu'elle ne doit jamais y saisir.
- Documenter vos choix : les réponses à ces huit questions constituent la base de votre dossier de conformité, utile face à un client, à votre ordre ou à votre assureur.
Bon réflexe
À retenir
Le secret professionnel n'interdit pas l'IA : il impose de savoir où vont les données, qui les traite, combien de temps elles sont conservées et qui valide le résultat. Un prestataire sérieux répond à ces questions par écrit, avant que vous ne signiez.
Aller plus loin
Chez Growth Pilot, nous répondons à ces huit questions dans chaque contrat, et nous vous remettons un dossier de conformité avec le système livré.
Le diagnostic offert identifie en quelques minutes les tâches à automatiser en priorité dans votre structure, dans le respect du secret professionnel.