IA et avocats : souverain, conforme RGPD, compatible avec le secret professionnel, trois exigences à ne pas confondre

Les outils d'intelligence artificielle générative se sont installés dans les cabinets, portés par des promesses commerciales qui se ressemblent toutes : « hébergement en Europe », « conformité RGPD », « souveraineté des données ». Ces qualificatifs ne sont pourtant pas interchangeables. Un outil parfaitement conforme au RGPD peut rester exposé au Cloud Act américain, et un outil souverain peut néanmoins se révéler incompatible avec le secret professionnel selon l'usage qui en est fait. Pour l'avocat, le choix d'un outil d'IA suppose de vérifier trois niveaux d'exigence distincts, qui s'additionnent sans jamais se confondre.

L'essentiel en 30 secondes. La conformité RGPD encadre le traitement des données personnelles mais ne protège pas contre les lois extraterritoriales américaines. La souveraineté suppose un fournisseur échappant au Cloud Act, ce que seuls garantissent en pratique les acteurs européens non soumis à la juridiction américaine, au premier rang desquels les offres qualifiées SecNumCloud. Le secret professionnel impose une discipline supplémentaire : le guide déontologique du CNB d'avril 2026 interdit de communiquer à une IA générative toute donnée relative à un client ou à un dossier sans anonymisation préalable. Ces trois exigences forment une grille de lecture, pas un slogan marketing.

Le Cloud Act, ou pourquoi l'hébergement en Europe ne suffit pas

Le Cloud Act de 2018 autorise les autorités américaines à exiger des fournisseurs soumis à la juridiction des États-Unis la remise de données placées sous leur contrôle, où qu'elles soient stockées dans le monde. Le critère n'est pas la localisation du serveur mais la nationalité et le contrôle du fournisseur. Un datacenter à Paris exploité par Microsoft, Google, OpenAI ou AWS reste donc dans le champ de la loi américaine, à laquelle s'ajoute le dispositif de surveillance de la section 702 du FISA.

Le risque n'a rien de théorique. Dans un arrêt du 24 janvier 2025, signalé par le CNB, la cour d'appel de Paris a validé la suppression par Google des comptes Gmail et Google Drive d'un avocat, après détection automatisée d'images pédopornographiques issues d'un dossier pénal dans lequel il intervenait. En acceptant les conditions d'utilisation, l'utilisateur consent à l'analyse de ses contenus, sans que Google vérifie la légitimité de leur détention. Le CNB en tire une conclusion sans ambiguïté : ces services grand public sont incompatibles avec les exigences du secret professionnel, et les solutions américaines exposent de surcroît les données aux demandes des autorités fondées sur le FISA ou le Cloud Act.

Les grands éditeurs américains ont construit des réponses contractuelles sérieuses. Microsoft déploie son EU Data Boundary, qui cantonne stockage et traitement des données clients dans l'Union, avec des exceptions documentées. OpenAI propose depuis 2025 une résidence des données en Europe pour ChatGPT Enterprise et son API, étendue début 2026 à l'inférence sur des serveurs européens. Ces engagements réduisent les risques opérationnels, mais aucun ne fait obstacle à une réquisition fondée sur le Cloud Act : une société américaine ne peut pas s'exonérer par contrat de sa propre loi.

Le cadre des transferts transatlantiques n'offre plus la stabilité espérée. Le Data Privacy Framework, adopté en juillet 2023 et validé par le Tribunal de l'Union en septembre 2025 dans l'affaire Latombe, reste formellement en vigueur. Sa solidité est toutefois sérieusement entamée depuis l'arrêt Trump v. Slaughter de juin 2026, par lequel la Cour suprême américaine a remis en cause l'indépendance de la FTC, pilier du dispositif. L'association noyb a déjà demandé à la Commission d'abroger la décision d'adéquation. Fonder une stratégie d'externalisation sur ce socle relève du pari.

La souveraineté au sens strict suppose donc un fournisseur européen échappant à toute juridiction extraterritoriale. C'est l'objet de la qualification SecNumCloud de l'ANSSI, dont le référentiel 3.2 intègre des critères d'immunité aux lois non européennes.

La conformité RGPD, nécessaire mais jamais suffisante

Le RGPD s'applique pleinement aux usages de l'IA au cabinet, et la CNIL a précisé le cadre dans ses recommandations du 22 juillet 2025 accompagnées de fiches pratiques. L'avocat qui soumet des données personnelles à un outil d'IA agit en responsable de traitement : il doit une base légale, une information des personnes, une analyse des transferts hors Union et un contrat de sous-traitance conforme à l'article 28.

Les offres professionnelles cochent généralement ces cases. ChatGPT Business et Enterprise, Copilot ou Le Chat de Mistral proposent des accords de traitement des données, des certifications de sécurité et un engagement de non-entraînement des modèles sur les données clients. Ce dernier point mérite un examen lucide : le guide du CNB relève que ces engagements contractuels ne sont en général ni prouvables ni vérifiables par l'utilisateur. La conformité RGPD d'un outil se documente, elle ne se présume pas sur la foi d'une page marketing.

Surtout, un outil peut être irréprochable au regard du RGPD tout en restant soumis au Cloud Act. Les deux analyses sont indépendantes : la première porte sur le traitement des données personnelles, la seconde sur l'exposition du fournisseur à des réquisitions étrangères. Le règlement européen sur l'IA ajoute une troisième couche : l'obligation de maîtrise de l'IA s'applique aux cabinets depuis février 2025, et les obligations des déployeurs deviennent applicables à compter d'août 2026, sous réserve des ajustements de calendrier en discussion à Bruxelles.

Le secret professionnel, l'exigence la plus stricte

Le secret professionnel de l'article 66-5 de la loi du 31 décembre 1971 et de l'article 2 du RIN est général, absolu et illimité dans le temps. L'avocat n'en est pas titulaire : il en est le garant. Aucune clause contractuelle d'un éditeur d'IA ne peut l'en décharger.

Le guide pratique du CNB sur la déontologie et l'intelligence artificielle, publié en mai 2026, en tire des conséquences concrètes. L'avocat ne doit jamais renseigner dans un prompt le nom d'un client, des informations confidentielles, la stratégie d'un dossier ou des pièces, quelle que soit la robustesse annoncée de l'outil. La règle vaut avec une rigueur particulière pour les IA gratuites grand public, qui n'offrent aucune garantie de confidentialité. Les solutions praticables existent : pseudonymisation ou anonymisation systématique des éléments soumis à l'outil, minimisation du contexte transmis, et pour une étanchéité complète, installation d'un modèle open source, tel Llama ou Mistral, sur les propres systèmes du cabinet.

Le guide rappelle aussi le devoir de vérification, que la jurisprudence récente illustre sans indulgence. Le tribunal judiciaire de Périgueux en décembre 2025, le tribunal administratif d'Orléans le même mois, celui de Rennes en janvier 2026 puis la cour administrative d'appel de Bordeaux en février 2026 ont relevé des références de jurisprudence hallucinées dans des écritures. Le tribunal administratif de Rennes a rejeté une requête manifestement rédigée par IA générative. La production de contenus non vérifiés engage la responsabilité civile de l'avocat et l'expose à des poursuites disciplinaires.

L'IA, révélateur d'un impensé qui ne date pas d'hier

La lucidité oblige à un constat inconfortable : la profession découvre avec l'IA des questions qu'elle aurait dû se poser depuis longtemps. L'arrêt de la cour d'appel de Paris évoqué plus haut ne concernait aucun outil d'IA, mais une messagerie et un espace de stockage grand public. Une boîte Gmail ou Outlook, un dossier partagé sur Google Drive ou OneDrive, des échanges avec un client sur WhatsApp répondent exactement aux mêmes obligations que le prompt adressé à ChatGPT. Le cabinet qui s'interdit de soumettre un dossier à une IA américaine mais fait transiter toute sa correspondance par un service soumis aux mêmes lois entretient une conformité de façade.

Traiter l'IA comme un sujet isolé revient donc à manquer l'essentiel. L'arrivée de ces outils doit déclencher un processus de réflexion global sur l'environnement numérique du cabinet : cartographier l'ensemble des services utilisés, y compris les usages officieux des collaborateurs, qualifier la sensibilité des données qui y circulent, puis appliquer à chaque maillon la même grille souveraineté, RGPD, secret professionnel. Cette démarche se prolonge par une politique interne écrite et par la formation des équipes, que l'obligation de maîtrise de l'IA du règlement européen impose du reste depuis février 2025. Le débat sur l'IA aura eu ce mérite : rendre indéfendable le statu quo sur tout le reste.

Quel outil pour quel usage : une gradation raisonnée

Ces trois niveaux d'exigence dessinent une grille de décision selon la sensibilité des données. Pour la recherche documentaire, la veille ou la reformulation de textes publics, un outil grand public en version professionnelle peut suffire, sans jamais y introduire d'élément de dossier. Pour le travail sur dossiers avec données pseudonymisées, les outils juridiques français audités par le CNB dans sa grille de lecture de juin 2025 offrent des garanties documentées : Ordalie héberge exclusivement en France chez Scaleway et Azure avec ses propres modèles, Jimini s'appuie sur Scaleway et des modèles Mistral, Doctrine héberge chez AWS à Francfort avec un GPT-4o servi via Azure sans transfert vers OpenAI aux États-Unis. Ces architectures diffèrent sensiblement : la localisation de l'hébergeur, sa nationalité et celle du fournisseur de modèle s'examinent ligne à ligne.

Pour les dossiers les plus sensibles, seules deux voies assurent une protection complète : un environnement qualifié SecNumCloud, ou un modèle déployé localement sur l'infrastructure du cabinet. Cette dernière option, longtemps réservée aux grandes structures, devient accessible avec les modèles ouverts et constitue la recommandation de référence du CNB pour l'étanchéité du secret.

L'IA n'est pas l'ennemie du secret professionnel. Mal choisie ou mal utilisée, elle en devient la faille ; correctement encadrée, elle libère du temps pour le cœur du métier. La différence tient à trois questions posées dans le bon ordre : qui peut accéder aux données, comment sont-elles traitées, et qu'ai-je le droit d'y confier.

Votre cabinet ou votre entreprise s'interroge sur le déploiement d'outils d'IA conformes à vos obligations réglementaires et déontologiques ? Le cabinet vous accompagne dans l'audit de vos outils et la sécurisation de vos usages. Prendre rendez-vous pour une consultation

Sources

• CNB, Guide pratique « La déontologie et l'intelligence artificielle », avril 2026
• CNB, Grille de lecture « Synthèse des consultations sur l'intelligence artificielle », juin 2025
• CNIL, Recommandations pour le développement des systèmes d'IA, 22 juillet 2025
• CNB, « Une décision de la cour d'appel de Paris met en lumière les risques liés à l'utilisation de services numériques grand public pour les avocats », 19 février 2025
• Département de la Justice des États-Unis, Cloud Act Resources
• ANSSI, Cloud et qualification SecNumCloud
• Microsoft, EU Data Boundary
• OpenAI, résidence des données en Europe