IA au cabinet d'avocats : ce que le guide du CNB change concrètement

Des règles de toujours, appliquées à un outil nouveau

Ce n'est pas le premier texte du CNB sur le sujet. Un guide pratique sur l'IA générative avait déjà paru en septembre 2024, et la nouvelle version va plus loin. Elle ne crée pas une déontologie à part : elle applique à l'IA les principes que tout avocat connaît déjà, le secret professionnel, la compétence, la prudence, l'indépendance et l'information du client.

La question n'est donc pas de savoir si l'IA est autorisée. Elle est de savoir si l'usage qu'on en fait respecte les règles de la profession.

Les cinq exigences, en clair

1. Le secret couvre tout ce que vous saisissez

   Et le guide va plus loin que ce rappel. Il demande de ne pas communiquer du tout à une IA générative les données du dossier ou du client : le nom, les coordonnées, les informations financières, les éléments de stratégie, et les fichiers qui les contiennent. Les outils gratuits, qui ne garantissent pas la confidentialité, sont à manier « avec la plus grande prudence », selon ses propres termes.

2. Pseudonymiser, et ne transmettre que le nécessaire

   Remplacer les données qui identifient le client avant de les soumettre, et se limiter aux informations utiles à la tâche. Le guide distingue soigneusement l'anonymisation, irréversible, de la pseudonymisation, qui substitue aux données directement identifiantes des données qui ne le sont qu'indirectement. Il donne les techniques : des initiales fictives à la place des noms, la seule année à la place d'une date de naissance complète.

3. L'avocat reste seul responsable du résultat

   Une IA peut se tromper avec beaucoup d'assurance, et inventer une décision qui n'existe pas. Le guide ne s'en tient pas à l'avertissement de principe : il recense des affaires françaises, à Périgueux, Orléans, Rennes et devant la cour administrative d'appel de Bordeaux, où des références inexistantes ont été relevées, à côté de cas étrangers plus connus. Sa parade est la plus simple possible : comparer la synthèse produite par l'IA avec la décision officielle. Une erreur reprise dans des conclusions reste l'erreur de l'avocat.

4. Le RGPD s'applique

   Soumettre des données personnelles à un outil d'IA est un traitement : il faut savoir où vont ces données, qui les traite, combien de temps elles sont conservées, et pouvoir le justifier. Le guide suggère un critère de comparaison des éditeurs, l'article 28.1 du RGPD, celui qui exige du sous-traitant des garanties suffisantes. C'est une question à poser par écrit.

5. Le client doit être informé, et c'est plus nuancé qu'il n'y paraît

   Le guide laisse à l'avocat le soin d'apprécier l'opportunité d'informer, au regard de la relation de confiance, de la nature du dossier et des attentes du client. Deux cas ne se discutent pas. Si le client pose la question, la réponse lui est due. Et si ses données servent à entraîner une IA interne au cabinet, son consentement est nécessaire. Le guide propose une clause type pour la convention d'honoraires, rappelle qu'un agent conversationnel mis à disposition des clients doit annoncer qu'il est une IA, et recommande une charte d'usage interne connue de tous les membres du cabinet. Informer ne transfère rien : la responsabilité reste celle de l'avocat.

La pseudonymisation au quotidien

Sur le papier, la règle est simple. En pratique, c'est elle qui pèse le plus.

Prenons un dossier de contentieux de 300 pages : des noms, des adresses, des numéros de contrat, des montants, des dates qui suffisent parfois à reconnaître quelqu'un. Pour poser une seule question à l'IA, il faut repérer chacun de ces éléments, les remplacer, relire, puis faire le chemin inverse pour exploiter la réponse. Et recommencer pour le dossier suivant.

S'ajoute une contrainte dont on parle peu. La pseudonymisation est réversible, c'est tout son intérêt, ce qui suppose que quelqu'un garde la correspondance entre les alias et les vrais noms. Ce fichier-là devient à son tour une pièce à protéger.

Le guide reconnaît d'ailleurs la limite de l'exercice. Il prend l'exemple du compte rendu en direct d'un rendez-vous client : on ne pseudonymise pas une conversation pendant qu'elle se tient. Et c'est précisément à cet endroit qu'il mentionne les systèmes d'IA fermés développés par certains cabinets.

Où vont vos données quand vous utilisez une IA ?

C'est la question que le guide invite, en creux, à se poser.

Cela ne dispense de rien. Le secret, la vérification des résultats, le RGPD et l'information du client restent l'affaire de l'avocat, quel que soit l'outil. Mais cela retire du tableau le risque de voir un dossier partir chez un tiers, qui est le plus difficile à maîtriser une fois qu'il est pris. Nous détaillons ce point dans notre article sur le Cloud Act et dans notre guide de l'IA souveraine en entreprise.

Cinq questions à poser avant de choisir un outil

1. Où mes documents et mes questions sont-ils traités ?

   En France, en Europe, ailleurs ? Et chez qui, concrètement ? Le nom de l'éditeur ne suffit pas, celui de son hébergeur compte autant.

2. Sont-ils conservés, et combien de temps ?

   Peuvent-ils servir à entraîner le modèle ? La réponse doit figurer au contrat, pas dans une page d'aide.

3. Qui peut y accéder ?

   L'éditeur, ses sous-traitants, une autorité étrangère ? Demandez la liste des sous-traitants : elle existe toujours.

4. Puis-je vérifier d'où vient une réponse ?

   L'outil cite-t-il le document ou la source qu'il a utilisés ? Sans cela, la vérification exigée par le guide vous coûte le temps que l'outil prétend vous faire gagner. C'est le principe de la recherche documentaire augmentée.

5. Comment cela s'inscrit-il dans ma charte et dans l'information de mes clients ?

   Un outil qui ne rentre dans aucune des deux n'a pas sa place au cabinet.

Si l'éditeur ne sait pas répondre clairement à ces questions, c'est déjà une réponse.