Articles · intelligence-artificielle
IA en ligne et secret professionnel : pourquoi certains métiers ne devraient pas tout envoyer dans le cloud
Un collaborateur colle dans ChatGPT le projet de conclusions d'un client pour « reformuler plus clairement ». Une comptable y dépose le grand livre d'une société pour repérer les anomalies. Un gestionnaire de patrimoine demande un résumé de la situation fiscale d'une famille. En dix secondes, le travail est fait — et des informations couvertes par le secret sont parties sur les serveurs d'une entreprise étrangère.
Ce n'est pas un scénario théorique : c'est l'usage quotidien dans beaucoup de cabinets, souvent sans que la direction le sache. Cet article explique ce qui se passe réellement quand on utilise une IA en ligne, pourquoi c'est un problème pour certains métiers, et quelles solutions existent — de la plus simple à la plus protectrice.
Ce qui se passe quand vous posez une question à une IA en ligne
Une IA comme ChatGPT, Gemini ou Copilot ne tourne pas sur votre ordinateur. Votre texte et vos pièces jointes sont envoyés aux serveurs du fournisseur, traités, puis la réponse vous revient. Le Conseil national des barreaux le rappelle dans son guide sur la déontologie et l'intelligence artificielle adopté le 17 mars 2026 : toute requête envoyée à une IA générative en ligne transmet des données à l'entreprise qui l'exploite.
Concrètement, cela pose quatre questions :
- Qui peut lire ces données ? Le fournisseur, ses sous-traitants, éventuellement ses équipes de modération ou de sécurité.
- Combien de temps sont-elles conservées ? Selon l'offre et les réglages, de quelques jours à beaucoup plus longtemps.
- Servent-elles à entraîner les modèles ? Pour les versions grand public, c'est souvent activé par défaut et il faut le désactiver soi-même ; les offres professionnelles l'excluent en général par contrat.
- Quel droit s'applique ? Celui du pays du fournisseur, même si les serveurs sont en Europe.
Risque n° 1 : le droit américain s'applique aussi en Europe
Le CLOUD Act, loi fédérale américaine de 2018, permet à la justice des États-Unis d'exiger d'un fournisseur soumis au droit américain les données qu'il détient, où qu'elles soient stockées — y compris dans un centre de données à Paris ou à Francfort.
Ce n'est pas une interprétation de juristes inquiets. Le 10 juin 2025, devant la commission d'enquête du Sénat sur la commande publique, le directeur des affaires publiques et juridiques de Microsoft France a déclaré, sous serment, que « si nous sommes contraints par une décision de justice américaine, nous devons remettre les données » (Sénat, Techniques de l'Ingénieur). Il ne pouvait pas garantir que des données de citoyens français ne seraient jamais transmises sans l'accord des autorités françaises.
Le cadre juridique des transferts vers les États-Unis reste par ailleurs fragile. Les deux accords précédents ont été annulés par la Cour de justice de l'Union européenne (Safe Harbor en 2015, Privacy Shield en 2020). L'accord actuel, le Data Privacy Framework, a été validé par le Tribunal de l'UE le 3 septembre 2025 (arrêt Latombe, T-553/23), mais un pourvoi est pendant devant la Cour de justice (affaire C-703/25 P). Construire l'organisation d'un cabinet sur un cadre qui a déjà été annulé deux fois est un pari.
Risque n° 2 : les données ne vous appartiennent plus tout à fait
Une fois envoyées, vos données suivent les règles du fournisseur — et parfois celles d'un tribunal qui n'a rien à voir avec vous. En 2025, dans le procès qui oppose le New York Times à OpenAI, un juge américain a imposé à OpenAI de conserver les conversations ChatGPT, y compris celles que les utilisateurs avaient supprimées ; cette obligation n'a pris fin que le 26 septembre 2025 (OpenAI, Ars Technica). Pendant des mois, « supprimer » ne voulait pas dire supprimer.
Risque n° 3 : l'erreur humaine, la plus fréquente
En avril 2023, des ingénieurs de Samsung ont collé du code source confidentiel dans ChatGPT pour le faire corriger. L'entreprise a ensuite interdit les IA génératives grand public à ses salariés (Bloomberg). Aucun piratage : simplement des employés qui voulaient gagner du temps.
C'est le scénario le plus probable dans un cabinet. Interdire l'IA ne fonctionne pas — les collaborateurs l'utilisent quand même sur leur téléphone. La seule réponse efficace est de leur donner un outil aussi pratique, mais sûr.
Les métiers et les organisations les plus exposés
| Qui | Ce qui est protégé | Pourquoi l'IA en ligne pose problème |
|---|---|---|
| Avocats | Secret professionnel absolu (art. 66-5 de la loi du 31 décembre 1971) : consultations, correspondances, pièces du dossier | Transmettre un dossier à un tiers sans garanties suffisantes peut constituer un manquement déontologique |
| Experts-comptables, commissaires aux comptes | Secret professionnel sur les comptes, la paie, la situation fiscale des clients | Les grands livres, bulletins de paie et liasses contiennent des données personnelles et financières |
| Notaires | Secret professionnel, actes, situations familiales et patrimoniales | La profession a elle-même choisi une solution souveraine (voir plus bas) |
| Santé (médecins, cliniques, laboratoires) | Secret médical (art. L1110-4 du Code de la santé publique) | L'hébergement de données de santé exige un hébergeur certifié HDS (art. L1111-8 CSP) |
| Banques, family offices, gestion de patrimoine — notamment à Monaco | Secret bancaire, données patrimoniales ; loi monégasque n° 1.565 du 3 décembre 2024 sur les données personnelles | Situation fiscale et patrimoniale de familles fortunées : la discrétion est le cœur du métier |
| Administrations et opérateurs de l'État | Données sensibles de l'État | Depuis le décret n° 2026-272 du 14 avril 2026 (loi SREN, art. 31), ils doivent recourir à un cloud qualifié SecNumCloud pour ces données |
| Industrie, R&D, défense | Secret des affaires, plans, code source, savoir-faire | Une fuite peut coûter un brevet, un marché ou un avantage concurrentiel |
| Ressources humaines | Dossiers du personnel, santé, sanctions, rémunérations | Données personnelles sensibles au sens du RGPD |
Pour les professions réglementées, la violation du secret professionnel est aussi une infraction pénale : jusqu'à un an d'emprisonnement et 15 000 € d'amende (art. 226-13 du Code pénal). Sans compter le risque le plus concret pour un cabinet : perdre la confiance d'un client.
Le cloud n'est pas interdit : il faut choisir le bon niveau
Il serait faux de dire que tout usage d'une IA en ligne est illégal. Il y a plusieurs niveaux, du moins protecteur au plus protecteur :
| Solution | Données envoyées à l'extérieur | Droit applicable | Adapté à |
|---|---|---|---|
| IA grand public gratuite ou personnelle | Oui, réglages par défaut souvent défavorables | Celui du fournisseur | Rien de confidentiel |
| Offre « entreprise » d'un fournisseur américain | Oui, sans entraînement, contrat RGPD | Droit américain (CLOUD Act) en plus du RGPD | Données internes peu sensibles |
| Cloud souverain européen (qualifié SecNumCloud, ex. Mistral sur Scaleway) | Oui, mais chez un acteur soumis au seul droit européen | Droit européen | Une grande partie des usages professionnels, si le contrat est bien négocié |
| IA privée installée dans vos locaux | Non | Le vôtre | Dossiers couverts par le secret, données les plus sensibles |
C'est exactement le raisonnement du Conseil supérieur du notariat : en juillet 2026, il a choisi Mistral AI et l'hébergeur français Scaleway pour offrir aux offices notariaux une IA sur une infrastructure souveraine (CSN). Pour un cabinet indépendant, l'étape suivante est de ne rien faire sortir du tout.
Ce qu'apporte une IA installée chez vous
Un modèle comme Mistral peut aujourd'hui tourner sur une machine de la taille d'une box ou d'un petit serveur, posée dans le bureau :
- rien ne sort : les documents, les questions et les réponses restent sur votre matériel ;
- aucun droit étranger : il n'y a pas de fournisseur à qui un juge pourrait demander quoi que ce soit ;
- accès contrôlé : comptes par collaborateur, journal d'utilisation, uniquement sur le réseau du cabinet ;
- coût fixe : pas d'abonnement par utilisateur ni de quota de requêtes ;
- fonctionne hors ligne : on peut couper Internet, l'IA continue de répondre.
Elle a aussi ses limites, et il vaut mieux les connaître :
- un modèle local est un peu moins puissant que les plus grands modèles en ligne — suffisant pour la recherche dans vos documents, les synthèses et les premiers projets, moins pour des raisonnements très longs ;
- la sécurité de la machine devient votre responsabilité : sauvegardes chiffrées, mises à jour, contrôle des accès ;
- il faut un investissement de départ en matériel, de quelques milliers d'euros.
Avant de choisir : cinq questions à poser
- Quelles données vos équipes collent-elles déjà dans des IA en ligne, aujourd'hui ? (La réponse surprend souvent.)
- Ces données sont-elles couvertes par un secret professionnel, médical, bancaire ou des affaires ?
- Le fournisseur est-il soumis à un droit non européen, même s'il héberge en Europe ?
- Vos données servent-elles à l'entraînement, et combien de temps sont-elles conservées ?
- Pourriez-vous expliquer votre choix à un client, à votre ordre professionnel ou à la CNIL ?
Si la réponse à la deuxième question est « oui », le cloud grand public est exclu et l'IA privée mérite d'être sérieusement étudiée.
En résumé
L'IA en ligne n'est pas dangereuse en soi : elle est dangereuse pour certaines données. Pour les avocats, les comptables, les notaires, la santé, les family offices et les administrations, la question n'est pas « faut-il utiliser l'IA ? » mais « où vont les dossiers de mes clients quand je l'utilise ? ».
J'installe des IA privées basées sur Mistral dans les cabinets à Strasbourg, en Alsace, sur la Côte d'Azur et à Monaco : choix du matériel, installation, indexation de vos documents, comptes et sécurité, formation de l'équipe. Le calculateur de matériel donne une première estimation selon la taille de votre équipe et de vos archives. Parlons de votre cabinet →
Cet article est une information générale et ne constitue pas un avis juridique. Pour une question déontologique précise, consultez votre ordre professionnel.