Passer au contenu principal

LegalFamily

Menu
Soft skills

RGPD et secret professionnel face à l’IA : le cadre avocat

Avocats : secret professionnel, RGPD et AI Act – le cadre juridique complet que vous devez maîtriser avant d’utiliser l’IA sur vos dossiers.

4 min de lecture Mis à jour le 14 septembre 2026
Man typing on laptop at a desk

Avant toute utilisation d’une IA générative sur un dossier client, l’avocat doit maîtriser trois corps de règles qui encadrent son usage et engagent sa responsabilité professionnelle. Le secret professionnel, le RGPD et l’AI Act forment ensemble un cadre juridique précis, dont les implications pratiques sont très concrètes : choix du forfait, configuration des paramètres de confidentialité, anonymisation ou pseudonymisation systématique. Les institutions professionnelles ne proscrivent pas l’IA – elles en encadrent strictement l’usage. L’avocat qui ne connaît pas ce cadre ne peut pas utiliser l’IA en toute légalité.

Premier corps de règles : le secret professionnel sans exception

L’article 66-5 de la loi du 31 décembre 1971 est d’une clarté absolue : “En toute matière, que ce soit dans le domaine du conseil ou dans celui de la défense, les consultations adressées par un avocat à son client ou destinées à celui-ci, les correspondances échangées entre le client et son avocat, les notes d’entretien et, plus généralement, toutes les pièces du dossier sont couvertes par le secret professionnel.”

Le CNB a rappelé dans son guide IA du 13 mars 2026 que ce secret s’applique sans exception, y compris vis-à-vis des prestataires technologiques. Envoyer un document à Claude – ou à tout autre LLM – c’est le transmettre à un tiers situé en dehors du cabinet, hébergé sur des serveurs américains. La qualification juridique est claire : il s’agit d’une transmission à un tiers au sens du secret professionnel. C’est de ce constat que découlent toutes les obligations pratiques de configuration et d’anonymisation.

Woman working on laptop at office desk with city view

Deuxième corps de règles : le RGPD et la responsabilité de traitement

Chaque fois qu’un avocat soumet un document contenant des données personnelles à Claude – une fiche de paie, un RIB, un contrat avec les identifiants des parties – il réalise un traitement de données personnelles au sens du RGPD. En tant que responsable de traitement, c’est l’avocat qui répond de ce traitement, pas l’outil utilisé.

Le contexte de l’infrastructure mérite d’être pleinement compris. Les données envoyées à Claude transitent par des serveurs d’Anthropic situés aux États-Unis. Or, le Cloud Act américain permet aux autorités américaines de demander l’accès à certaines données détenues par une société américaine, même lorsque celles-ci sont hébergées en Europe. Le risque est réel et documenté. C’est pourquoi le choix du forfait Claude n’est pas une simple question de budget : il détermine le niveau de protection contractuelle des données.

Sur les forfaits commerciaux (Team et Enterprise), un Data Processing Agreement conforme à l’article 28 du RGPD est incorporé automatiquement. Anthropic s’engage contractuellement à ne pas entraîner ses modèles sur vos données, à notifier toute violation sous 48 heures, et à restituer ou supprimer les données à la fin du contrat. Ces garanties n’existent pas sur les forfaits Consumer.

Troisième corps de règles : l’AI Act et l’obligation de maîtrise

Le règlement européen sur l’intelligence artificielle (AI Act) est entré en vigueur le 1er août 2024. Son application est progressive. Depuis le 2 février 2025, les systèmes à risque inacceptable sont interdits, et l’article 4 impose une obligation de maîtrise de l’IA aux fournisseurs et aux déployeurs. L’avocat qui utilise une IA générative est un “déployeur” au sens du règlement. Former son équipe à l’usage responsable et conforme de l’IA – comme vous le faites en suivant cette formation – participe directement de cette obligation réglementaire.

Depuis le 2 août 2025, des règles spécifiques s’appliquent aux grands modèles de langage comme Claude. À compter du 2 août 2026, l’application sera pleine pour les systèmes à haut risque, dont certains usages liés à la justice.

Young woman working at a desk with laptop and laptop

Ce que recommande le CNB en pratique

Au-delà des textes, le CNB a pris position de façon très concrète dans son guide IA du 13 mars 2026 : pseudonymisation ou anonymisation systématique avant toute soumission à un outil d’IA générative, vérification humaine systématique des productions, et refus de tout transfert non contrôlé de données couvertes par le secret professionnel.

Ces recommandations ne sont pas des précautions théoriques. Elles constituent la grille d’appréciation que les instances disciplinaires utiliseront en cas de manquement. L’avocat qui ne respecte pas ces bonnes pratiques expose son cabinet à un risque disciplinaire qui peut être lourd.

Pour approfondir votre connaissance de ces obligations, notre article sur la formation continue obligatoire des avocats et nos ressources sur la déclaration des heures de formation continue vous donnent un cadre complet. Notre formation e-learning homologuée CNB couvre en détail ce cadre juridique et ses implications pratiques pour l’usage de l’IA au cabinet : Maîtriser l’IA générative dans le cadre déontologique de l’avocat. Elle permet de valider des heures de formation continue avocat à distance, dans un format flexible.

En résumé

Trois corps de règles encadrent l’usage de l’IA par l’avocat : le secret professionnel (sans exception, y compris vis-à-vis des prestataires technologiques), le RGPD (l’avocat est responsable de traitement, le Cloud Act américain est une réalité), et l’AI Act (l’avocat est un déployeur soumis à une obligation de maîtrise). Les recommandations du CNB se traduisent en pratique : anonymisation, forfait adapté, vérification systématique.

Sources

Me Romane Levy
Écrit par
Me Romane Levy
Romane Levy est avocate au barreau de Paris, spécialisée en droit des sociétés et droit des affaires. Après un parcours en cabinets d'affaires, elle exerce aujourd'hui à titre individuel, principalement en fusions-acquisitions, private equity et baux commerciaux.   Depuis plus d'un an, elle forme les professionnels du droit, avocats, juristes d'entreprise et notaires, à l'utilisation de l'intelligence artificielle dans leur pratique quotidienne. Elle a conçu SILIV, une offre de formation à l'IA pensée par une avocate pour les professionnels du droit, qu'elle déploie en sessions collectives et en formations intra-cabinet.   Sa singularité : elle est une praticienne, pas une consultante. Les méthodes qu'elle enseigne sont celles qu'elle applique réellement sur ses propres dossiers, de la rédaction d'actes à l'organisation du cabinet en passant par l'automatisation des tâches récurrentes. Les cas travaillés en formation sont tirés de dossiers réels, systématiquement anonymisés, et elle parle sans détour de ce qui fonctionne comme de ce qui ne fonctionne pas.   Son objectif n'est pas de convertir les avocats à une technologie, mais de leur donner des outils maîtrisés, utiles et compatibles avec leurs obligations déontologiques, au premier rang desquelles le secret professionnel.